TEMPEST: stemcomputers en headsets verraden op tientallen meters wat je doet

Oktober 2006, enkele weken voor de Tweede Kamerverkiezingen: de goedkeuring van de Sdu-stemmachines werd ingetrokken. Niet door een hack. Straling verraadde de stem.

Door EenVandaag en actiegroep ‘Wij vertrouwen stemcomputers niet’ kwam de beveiliging van stemmachines op de politieke agenda. De AIVD kreeg opdracht het stralingsgedrag te onderzoeken. Bij de Sdu NewVote bleek het beeld dat de kiezer op het scherm zag te reproduceren tot op veertig meter, met een muur tussen aanvaller en machine, met apparatuur die een amateur kan bouwen. Er kon live worden meegekeken. Een tweede aanval, op karakteristieke audiosignalen, maakte volgens de dienst op meer dan vijftig meter onderscheid naar partij mogelijk.

Minister Nicolaï schorste de goedkeuring. Vierentwintig gemeenten, waaronder Amsterdam, stapten over op potlood en papier. Als aanvaardbaar restrisico gold daarna vijf meter, gemeten vanaf de machine. Sdu paste de machines aan maar haalde die grens niet; op 17 januari 2007 handhaafde de minister de schorsing, zodat de machines ook bij de Provinciale Statenverkiezingen van 7 maart 2007 niet konden worden gebruikt. De Nedap-machines bleven wél binnen vijf meter. In mei 2008 besloot het kabinet dat weer met papier en potlood zou worden gestemd.

Twintig jaar geleden, maar allerminst verleden tijd. In aanloop naar de Braziliaanse verkiezingen van begin oktober 2026 lieten onderzoekers zien dat het scherm van de daar gebruikte stemmachines op afstand is uit te lezen: gereconstrueerde beelden als video in real time, door een muur heen, waarmee te volgen is hoe een keuze verandert vóórdat de stem wordt bevestigd.

Het principe is al decennia bekend en de oorsprong is Nederlands. In 1985 liet Wim van Eck van het PTT-laboratorium in Leidschendam zien dat je met een televisieantenne informatie van een computerscherm op afstand kon reconstrueren. Dat heet sindsdien Van Eck phreaking, en breder TEMPEST: het onderzoeken en beheersen van onbedoelde signalen die informatie kunnen prijsgeven.

Inlichtingendiensten gingen ermee aan de haal. Een uitgelekte NSA-catalogus bevat het implantaat RAGEMASTER, verstopt in de ferrietkern van een videokabel. Straal het aan en het videosignaal wordt teruggekaatst, zodat het beeld op afstand kan worden gereconstrueerd.

Deze zomer lieten onderzoekers op USENIX Security 2026 zien dat een implantaat niet eens nodig is. Hun InjectEave-aanval zendt een afgestemd radiosignaal naar gewone elektronica. Niet-lineaire onderdelen zoals versterkers, AD-omzetters en voedingsomzetters mengen dat signaal met het analoge signaal in het apparaat en stralen het opnieuw uit.

Bij elf regulier verkrijgbare apparaten van onder meer Sony, Philips en HP wonnen de onderzoekers zo informatie terug. De afstanden per apparaat lagen doorgaans tussen één en zes meter. Met een externe vermogensversterker van ruim vierhonderd dollar, die het zendvermogen van 18 naar 40 dBm bracht, reconstrueerden ze verstaanbare spraak van hoofdtelefoons op dertig meter. Ook door glas, hout en beton heen. De onderzoekers merken op dat bestaande verdedigingen als cryptografische masking en gerandomiseerde klokken hier weinig helpen: die zijn gemaakt om digitale logica te verhullen, terwijl de lekkage in het analoge deel ontstaat.

Van stemcomputer tot hoofdtelefoon: de muur van je pand is niet de informatiegrens. Die ligt waar het signaal niet meer bruikbaar is.

Voor stemmachines gold vijf meter als aanvaardbaar restrisico. Welke grens hanteert u voor de kamer waar uw bestuur over een overname praat, of waar uw CFO met oordopjes in een vertrouwelijke call zit? En is dat ooit gemeten?

In 2006 bracht de AIVD in kaart hoe ver steminformatie reikte. Weet u hoe ver vertrouwelijke informatie bij u reikt?