BE:Liquid Democracy — Anforderungen, Betrieb und Sicherheitsrichtlinien

Diese Seite ist noch im Entwurfs-Stadium und wird gerade gemeinschaftlich erstellt. Beteilige Dich und beachte die Artikeldiskussionsseite.

Ausarbeitung basierend auf Liquid Democracy Squad Beschluss vom 28.10.09 von Jbe & Bischof

Anforderungen an die Software

Beachtung demokratischer Grundsätze

Die von der Software vorgesehenen Abläufe müssen demokratischen Grundsätzen genügen. Insbesondere:

• Allgemeine Wahl: Jeder Pirat darf an allen Abstimmungen teilnehmen (aktives Wahlrecht) und Anträge einbringen (passives Wahlrecht)
• Gleiche Wahl: Alle Piraten können gleichberechtigt am System teilnehmen und haben grundsätzlich gleich viele Stimmen. Das System kann, muss jedoch nicht zwingend die Übertragung von Stimmgewicht und anderen personenbezogenen Privilegien (z. B. Antragskontingent) unterstützen.

Open Source

Die verwendete Software muss in verständlichem, dokumentiertem Quellcode öffentlich verfügbar sein. Die Software selbst sowie alle für den Betrieb notwendigen Softwarekomponenten müssen in ihrer aktuell eingesetzten Version unter OpenSource-Lizenzen verfügbar sein, die mindestens den Kriterien der Open Source Initiative, Stand vom 1. Januar 2010, genügen.

Zugänglichkeit

Die Software muss sich auf einem Internetserver installieren lassen und mittels üblicher Webbrowser barrierefrei, ohne Installation weiterer Software verwendbar sein.

Skalierbarkeit

Die Software muss im Betrieb zu erwartende Lastspitzen (z. B. aufgrund von Abstimmungen zu umstrittenen Themen) ohne Ausfälle verkraften können oder hierzu ggf. auf eine vertretbare Anzahl von Servern aufgeteilt werden können.

Nachvollziehbarkeit

Um die Nachvollziehbarkeit zu gewährleisten protokolliert die Software sämtliche Schreibzugriffe und administrativen Vorgänge.

Benutzerkonten

Die Software muss die Einrichtung von Benutzerkonten für jeden Piraten unterstützen. Für den Fall einer Authentisierung mittels Kennwörtern sind diese ausschließlich mittels Hashfunktion verschlüsselt zu speichern.

Vorschlag: "... sind diese ausschließlich als Hash von Passwort, eines serverseitigen Geheimnisses sowie eines pro Benutzer eindeutigem Salting zu speichern." Ein einfacher Hash ist für die Tonne, die umgekehrten Tabellen gibt's bei Google. Drahflow 21:53, 8. Nov. 2009 (CET)

Du hast natürlich technisch vollkommen recht, aber bitte lass uns nicht anfangen hier technische Details zu diskutieren, das führt an anderer Stelle ins Verderben. --Pudo 22:28, 8. Nov. 2009 (CET)

Veröffentlichung der Abstimmungsergebnisse

Die Berechnungsgrundlagen von Abstimmungsergebnissen oder Antragsbewertungen müssen nach Abschluss des jeweiligen Themas (z. B. durch eine endgültige Abstimmung) jedem Benutzer des Systems noch für mindestens 23 Wochen zur Verfügung gestellt werden. In den Berechungsgrundlagen sind Namen oder Pseudonyme der Abstimmenden und bei Stimmübertragung auch die der Delegierenden enthalten. Die Berechungsgrundlagen müssen sowohl in Form einer abrufbaren Webseite als auch in einem offen spezifizierten Format heruntergeladen werden können. Abstimmungsdaten noch laufender verbindlicher Abstimmungen mit einem feststehenden Endzeitpunkt sind hiervon bis zum Abschluss der Abstimmung zum Zwecke der Verhinderung von Wahlmanipulationen (z.B. durch Bots) ausgenommen und dürfen auch von Administratoren, sofern keine technische Notwendigkeit besteht, nicht eingesehen werden.

Betrieb

Administration

Zur Erfüllung der Aufgaben wie Installation, Wartung und Betrieb der Software bestellt der Vorstand Administratoren.

Die Administratoren dürfen in keinem Falle über eine inhaltliche Moderation (Sperrungen, Löschungen, etc.) entscheiden. Wird dem Vorstand bekannt, dass nach geltendem Recht illegale Inhalte im System gespeichert sind, beauftragt dieser die Administratoren des Systems mit der Löschung der entsprechenden Daten. Der Vorstand darf ausserdem eine Löschung von Daten veranlassen, falls diese offensichtlich zum Zwecke der Störung des Systems eingestellt wurden (flooding). Darüber hinaus findet jegliche Form von Zensur ausdrücklich nicht statt. Alle Löschvorgänge müssen inklusive genauer Begründung protokolliert und veröffentlicht werden.

Zugangsverwaltung

Damit Mitglieder am System teilnehmen können, beantragen diese beim Generalsekretär des Landesverbandes, wahlweise unter Angabe eines zu verwendenden Pseudonyms, ein Benutzerkonto. Auf Wunsch kann ein bestehendes Benutzerkonto gelöscht und durch ein neues Benutzerkonto mit neuem Pseudonym ersetzt werden. Die Information darüber, welche alten Pseudonyme welchem Mitglied zugeordnet waren, sind in Form einer Papierakte für 3 Jahre aufzubewahren. Die Landesmitgliederversammlung kann beantragen, dass diese Papierakte von der Wahlkommission geprüft wird.

Vorgehen bei Unstimmigkeiten/Manipulation

Ist das System nach Meinung der Wahlkommission zu einer hinreichend langen Zeit und/oder für hinreichend viele Benutzer nicht erreichbar gewesen oder besteht der begründete Verdacht einer Manipulation, darf die Wahlkommission eine Abstimmung für ungültig erklären und/oder eine Wiederholung der Abstimmung anordnen.

Sicherheitsrichtlinien

Die Software darf keine bekannten Sicherheitslücken enthalten, und es muss organisatorisch sichergestellt sein, dass die Software sowie andere auf dem Internetserver eingesetzten Softwarepakete bei bekanntwerdenden Sicherheitslücken kurzfristig aktualisiert werden. Zur Vermeidung unnötiger Risiken darf das Abstimmungssystem nur mittels eines dedizierten Servers betrieben werden, der keine anderen für den Systembetrieb nicht notwendigen Dienste anbietet. Im Übrigen sind dem Stand der Technik entsprechende Sicherheitsmaßnahmen zu treffen.

Weitere Anregungen zur Ausarbeitung

• 4 Augen Prinzip
• Code Review
• Firewall
• Kennwortsicherheit
• Verschlüsselung bei Übertragung
• Regelungen zu Updates
• personalisierte Administrator-Accounts
• physikalischer Serverzugriff
• Regelmäßige Prüfungen aller Sicherheitssysteme und -prozesse
• Einführen und Einhalten von Richtlinien in Bezug auf Informationssicherheit

Vorsicht: Anforderungen nicht zu hoch stellen, sonst wird eine Implementierung nie fertig oder verschlingt unangemessen viele Ressourcen!

Anmerkungen

• Um der Mitgliederversammlung einen möglichst freien Spielraum bei der Wahl der einzusetzenden Software zu geben, wurden keine weiteren konkreten Features genannt, sondern nur "Abläufe, die demokratischen Grundsätzen genügen" gefordert.
• Die Formulierung "noch laufender verbindlicher Abstimmungen mit einem feststehenden Endzeitpunkt" wurde unter anderem gewählt, um dynamische Abstimmungsmodelle (wie z.B. derzeit von Adhocracy implementiert) nicht von vornherein auszuschließen.
• Im Falle einer gesetzlich erzwungenen Löschung ist eine Rückabwicklungsmöglichkeit ausgeschlossen, da die Daten real gelöscht werden müssen. Falls keine anderen Löschungen durchgeführt werden ("eine Zensur findet nicht statt"), dann wäre die am 28.10.09 geforderte Bedingung, dass Löschungen rückgängig gemacht werden können müssen, überflüssig.

Kritik

Siehe Diskussionsseite.