Hackende informatici tonen beveiligingslek in proctoring-software

30 apr 2020

Spieken tijdens een online tentamen? Wetenschappers van de afdeling Cyber Security bewijzen dat het kan, zelfs als er van anti-fraudesoftware gebruik wordt gemaakt. Ze hackten de zogenoemde proctoring-software die de Radboud Universiteit op het oog heeft voor de laatste tentamens van dit collegejaar.

Wat doe je als studenten een tentamen vanuit huis moeten maken, maar de antwoorden simpel te googelen zijn? Om digitaal spieken te voorkomen, kunnen docenten proctoring-software gebruiken. Tijdens het tentamen worden studenten dan in de gaten gehouden via hun webcam en microfoon. Intussen worden andere processen die op de computer draaien gevolgd.

Een ‘laatste redmiddel’, noemde het college van bestuur deze oplossing vorige week tijdens de vergadering met de medezeggenschap. Maar door de software te gebruiken, zouden studenten mogelijk wel hun tentamens kunnen afleggen in de laatste tentamenweek van dit collegejaar. Op dit moment loopt een pilot die duidelijkheid moet verschaffen of proctoring haalbaar is en of de privacy van studenten voldoende gewaarborgd is. Het college van bestuur heeft het Amerikaanse bedrijf Proctorio op het oog als mogelijke leverancier van de software.

Veiligheid

Leden van de centrale medezeggenschap zijn kritisch. Promovenda en informaticus Anna Guinet vindt bijvoorbeeld dat Proctorio de privacy van studenten niet voldoende waarborgt.

Maar dat is niet haar enige zorg. Om haar standpunt kracht bij te zetten, nam Guinet contact op met Veelasha Moonsamy en Peter Schwabe, collega’s bij de Digital Security-groep. Die tonen aan dat proctoring niet alleen vragen oproept over privacy, maar ook over veiligheid. Want hoe zinvol is anti-fraudesoftware als studenten met een simpele truc tijdens hun tentamen tóch gewoon hun antwoorden op Wikipedia kunnen opzoeken?

‘Als het systeem zo gemakkelijk te hacken is, brengt dat de validiteit van tentamens in gevaar’

Als de proctoring-software goed werkt, zouden de surveillanten van het bedrijf Proctorio het moeten kunnen zien als studenten tijdens het beantwoorden van de vragen een pdf-bestand openen waar de antwoorden in staan. Of naar Wikipedia surfen.

Simpele truc

In een opgenomen video laten Moonsamy en Schwabe echter zien dat deze surveillance met een relatief simpele truc zien te omzeilen is. Ze maken het tentamen in een zogenoemde virtuele machine, een computerprogramma dat een andere computer nabootst. Met zo’n virtuele machine is het bijvoorbeeld mogelijk om Windows te draaien op een MacBook, of Apple-software te gebruiken op een Microsoft-computer. In een tweede video is te zien dat Proctorio niet merkt dat de informatici gebruikmaken van de virtuele machine – ze konden dus ongemerkt op internet rondneuzen en hadden net zo goed een opgeslagen pdf-bestand kunnen openen.

Volgens Anna Guinet is dit een truc die veel studenten kunnen toepassen. Student Computing Science Frank Gerlings, die eerder al een tentamen maakte met behulp van software van Proctorio, bevestigt dit. ‘Dit is heel simpel om te doen.’

Opgeteld bij de privacy die niet is gegarandeerd, vindt Guinet dat de universiteit moet afzien van het gebruik van de surveillancesoftware: ‘Als het systeem zo gemakkelijk te hacken is, brengt dat de validiteit van tentamens en diploma’s van deze universiteit in gevaar.’

Brief

Ook de Universitaire Studentenraad (USR) adviseert het college van bestuur af te zien van proctoring en ziet liever dat studenten via essay-opdrachten, mondelingen of andere tentamenvormen worden getoetst. ‘Alleen in het hoogst uitzonderlijke geval dat alternatieve toetsvormen niet geschikt zijn bevonden, kan proctoring worden overwogen’, schrijft de studentenraad in een brief die deze week is verstuurd naar het bestuur.

In dezelfde brief formuleert de raad negen voorwaarden waar in dat geval aan moet worden voldaan. Zo zouden docenten onder meer moeten onderbouwen waarom een alternatieve toetsvorm zoals een mondeling geen optie is, en moet die onderbouwing worden gecheckt door een onafhankelijke commissie. Ook moet de verwerking en opslag van persoonlijke gegevens voldoen aan de AVG, vinden de studenten.

‘Met proctoring dring je diep binnen in de levenssfeer van studenten’

Voorzitter Hans Kunstman van de USR vindt dat het college een goede afweging moet maken tussen het bestrijden van frauderisico’s aan de ene kant, en de inbreuk op de privacy van studenten aan de andere kant. ‘Wij zien het belang van het vermijden van studievertraging natuurlijk ook. Maar met proctoring dring je diep binnen in de levenssfeer van studenten. Het is maar de vraag of deze inbreuk op de privacy van studenten gerechtvaardigd is wanneer proctoring helemaal niet zo fraudebestendig blijkt te zijn.’

Medewerking

Universiteitswoordvoerder Martijn Gerritsen laat weten dat fraudegevoeligheid een van de aspecten is waar in de proctoring-pilot naar gekeken wordt. ‘De universiteit stond dan ook positief tegenover het initiatief van de docenten bij Cyber Security om onderzoek te doen en gaf toegang tot het systeem.’ Moonsamy en Schwabe hadden bij hun hack, aldus Gerritsen, dus de medewerking van het bestuur.

Volgens Gerritsen hoeft het geen probleem te zijn dat tentamendeelnemers via een virtuele machine antwoorden kunnen opzoeken. ‘Proctorio registreert het als een persoon de tentamenomgeving verlaat. Vergelijk het met een student die zonder verklaring het lokaal verlaat tijdens een tentamen op de campus. Als we dat zien kunnen we daar consequenties aan verbinden, zoals het ongeldig verklaren van het tentamen.’

Tegelijkertijd waarschuwen informatici Moonsamy en Schwabe in een e-mail naar hun faculteitsbestuur dat de hack die zij uitvoerden slechts ‘minimale’ inspanningen vereiste. Volgens Moonsaby en Schwabe hadden zij met een paar uur extra werk allerlei andere hacks kunnen verzinnen die de veiligheidsmaatregelen van Proctorio hadden kunnen omzeilen.

De pilot met Proctorio loopt op 22 mei af. Nog voor het einde van dezelfde maand wil het college van bestuur een definitief besluit nemen om wel of geen videosurveillance in te zetten tijdens de laatste tentamenweek van het collegejaar, in juni.

Update 30 april, 19.30 uur: de video’s die Veelasha Moonsamy en Peter Schwabe opnamen en publiceerden, zijn vandaag offline gehaald.

Leuk dat je Vox leest! Wil je op de hoogte blijven van al het universiteitsnieuws?

Bedankt voor het toevoegen van de vox-app!

5 reacties

  1. Pol Van Aubel schreef op 30 april 2020 om 15:54

    Dhr. Gerritsen lijkt het probleem verkeerd begrepen te hebben. Bij deze aanval wordt geen virtuele machine gebruikt om antwoorden op te zoeken; de virtuele machine wordt gebruikt om proctorio zelf te draaien. Voor zover proctorio kan nagaan wordt de tentamenomgeving nooit verlaten, hij blijft immers actief en op de voorgrond van de virtuele machine. Er valt dus niets te registreren, en er valt dus niets te zien.

    Om zijn eigen analogie te gebruiken, het is alsof je een wassen beeld van jezelf op de tentamenstoel zet en het lokaal ongezien uitsluipt, en als de surveillant naar je kijkt ziet hij “jou” gewoon nog steeds daar zitten.

    • Stijn schreef op 30 april 2020 om 18:30

      Klopt Tim, maar in de media werkt het altijd zo dat het trucje – hoe eenvoudig ook – nog even moet worden voorgedaan door een expert.

  2. Eric Maris schreef op 1 mei 2020 om 10:49

    Het verbaast me absoluut niet dat het mogelijk is een online proctoring applicatie te misleiden indien dit draait op een systeem waarop de student alle beheersrechten heeft. Het maakt fraude alleen wat moeilijker. Dat is niet volledig het gewenste resultaat, maar het is alvast iets.

    Het voorstel van de Universitaire Studentenraad (alleen toetsing via essay-opdrachten, mondelingen of andere tentamenvormen), roept bij mij veel sympathie op. Toch zal dit niet werken indien je hun voorstel combineert met twee andere elementen: (1) het tentamen is selectief (niet alle studenten halen het), en (2) de studenten eisen een inzage waarop de docent de toepassing van zijn beoordelingsschema verantwoordt.

    Ik heb zelf gekozen voor de online afname van de herkansing van een groot en selectief vak in het eerste Bachelorjaar van de Psychologie opleiding, en hierbij heb ik gebruik gemaakt van online proctoring. Ik zag de bui al hangen indien ik deze herkansing zou afnemen met een andere tentamenvorm dan de eerste kans (essay, mondeling) en dan dezelfde mate van selectiviteit zou hanteren.

    We mogen niet vergeten dat er grote belangen gemoeid zijn met het al-dan-niet halen van een tentamen, en de studenten komen terecht op voor hun belangen. Het kan echter niet zo zijn dat de docenten opgezadeld worden met de onmogelijke opdracht om alternatieve tentamenvormen (essay, mondeling) te combineren met selectiviteit en het recht op inzage.

    Eric Maris

  3. T schreef op 8 mei 2020 om 16:30

    Prachtig om te zien dat er mensen zijn die de moeite er in stoppen om te bewijzen dat het echt niet gedetecteerd wordt. Dit betekend dat iedere informatica student het systeem kan omzeilen met tools die zijn in hun studie gebruiken. Denk aan virtualbox, vmware, wine, qemu, etc. Deze proctoring applicaties zijn invasief en zijn niet effectief.

    Wanneer er over de integriteit van tentamens gesproken wordt in verband met andere toetsvormen, wordt er niet genoeg gesproken over hoe deze proctoring tools deze garantie ook niet bieden. Niks kan dit bieden buiten fysieke toetsing en er moet echt gezocht worden naar vormen waarin er zonder zulke controle tools een valide tentamen afgenomen kan worden.

Geef een reactie

Vox Magazine

Het onafhankelijke magazine van de Radboud Universiteit

lees de laatste Vox online!

Vox Update

Een directe, dagelijkse of wekelijkse update met onze artikelen in je mailbox!

Wekelijks
Nederlands
Verzonden!