Gymnasieelev piller Den Digitale Prøvevagt fra hinanden – finder 90’er-kryptering

Illustration: mkabakov, BigStock
Undervisningsministeriet har udskudt implementeringen af Den Digitale Prøvevagt med henvisning til stabilitetsproblemer. Men det er ikke bare stabiliteten, der er problemer med.

Den Digitale Prøvevagt (DDP) er blevet udskudt af Undervisningsministeriet med henvisning til problemer med kapacitet og stabilitet.

Men en kodegennemgang af programmet foretaget af Carl Schou, som er gymnasieelev på HTX Roskilde, viser, at problemerne strækker længere end som så.

Forældet kryptering

Blandt de mest iøjnefaldende valg i koden, er brugen af DES-kryptering. Krypteringsstandarden blev første gang brudt i 1997, og betragtes generelt som usikker og forældet.

Hvad værre er, kan både initialiseringsvektoren og den hemmelige nøgle uden videre læses ud af den reverse-engineerede kildekode. De er helt ens: klassikeren 12345678.

private static byte[] key = new byte[] { 1, 2, 3, 4, 5, 6, 7, 8 };
private static byte[] iv = new byte[] { 1, 2, 3, 4, 5, 6, 7, 8 };

Programmet forbinder til en Amazon cloud-server gennem en TLS-krypteret forbindelse, og er derfor ikke umiddelbart sårbart over for man in the middle-angreb.

Krypteringen bruges i programmet kun til at skjule den API-key, der bruges til at forbinde til den Amazon-server, hvor elevernes data lagres. Det er et tiltag med begrænset effekt. I sin gennemgang sætter Carl Schou ordet kryptering i gåseøjne.

At API-key’en er så tvivlsomt skjult kan muligvis også være en kilde til bekymring for Undervisningsministeriet. Der har tidligere været sager, hvor API-keys i kildekode gav angribere mulighed for at tilgå servere med højnede rettigheder.

Det skete blandt andre for betalingskanalen HBO, hvor en API-key lå i klartekst i et usikkert kode-repository, og gav angribere potentiel adgang længere ind i HBO’s serverstruktur.

Det er ikke alle API-keys som giver adgang til sårbare funktioner på cloudserveren, så det er ikke sikkert om den svage kryptering faktisk udgør et sikkerhedshul.

Carl Schou har ikke forsøgt at tilgå serveren med API-keyen, da det ville være ulovligt, og den pågældende cloud-server er siden blevet taget ned.

Overvåger fire browsere – hvis de ikke er blevet omdøbt

Windows-udgaven af DDP sender løbende en liste af åbne tabs i brugerens browser – så længe browseren er Chrome, Firefox, Edge eller Internet Explorer. Og så længe brugeren ikke har omdøbt processen. DDP finder nemlig browseren ud fra processens navn.

DDP kopierer også løbende indholdet af browserens url-bar, ved at sende CTRL-L til browseren, hvilket markerer adressen, og så kopiere indholdet. En metode, som kan omgås ved simpelthen at skrive en anden adresse i feltet, når man har besøgt en side.

Katten efter musen

Carl Schou tror ikke på, at Undervisningsministeriet kan udvikle en udgave af DDP som ikke kan omgås eller undergraves på den ene eller anden måde.

»Det er et katten-efter-musen spil, som man også ser ved antisnyd-programmer til computerspil. Det er en branche, der har kørt i mere end 15 år, og det er stadig ikke lykkedes. Så længe en elev har fysisk adgang til noget elektronik, kan man ikke stoppe dem fra at pille ved det.«

Man har heller ikke haft succes med, at forhindre piratkopiering med DRM-systemer. Er det en lignende problemstilling?

»Ja, det er et lignende scenarie. I DRM-situationen bruger de ofte meget tung kryptering og obfuskering, hvorimod dette program aktivt skal overvåge en computer. Der er rigtigt mange led i overvågningens kæde som kan hookes eller ødelægges, så det er endnu sværere end at lave et fungerende DRM-system, og DRM virker ikke engang.«

De har gabt over mere, end de kan tygge

Carl Schou har lavet sin kodegennemgang i protest mod Undervisningsministeriets overvågning af eleverne.

Ud over at gennemgå de mange tekniske problemer med Den Digitale Prøvevagt, har han også offentliggjort software, som ved hooke programmets funktioner helt omgår overvågningen, inklusive de periodiske screenshots, DDP tager.

»Jeg har gjort det, fordi jeg føler, at det var et overreach af magt på baggrund af, at man formoder at meget få mennesker snyder,« siger han.

Og hvis der skulle komme en ny udgave af DDP, vil Carl Schou stå klar med en ny udgave af sit program.

»Så længe de fortsætter med at opdatere programmet, så opdaterer jeg mit bypass. Det kommer de ikke uden om,« siger han.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (26)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Bjarne Nielsen

Jeg er enig i at DES med hardkodede parametre ser underligt ud. Men tænker to ting:

  1. Er det ikke ligegyldigt? Kan man sikre API-nøglen på en måde, så programmet kan kende den, under at brugeren også vil kunne erhverve den? Det gør ingen forskel om, der så var brugt AES med en lang og tilfældig nøgle og en tilfældig IV, for programmet må nødvendigvis kende parametrene.
  2. Er det ligegyldigt? Ja, det håber jeg så, for hvis sikkerheden afhænger af, at man kan holde API-nøglen hemmelig, så er man i problemer.

Og de overvejelser har man forhåbentlig gjort sig på forhånd. Men så virker det underligt at man i det hele taget orker at forvanske med DES.

Bjarne Nielsen

Er den eneste sikring af kommunikationen TLS og API-nøglen?

  1. Vil en vilkårlig 3. part med kendskab til API-nøglen (og f.eks. brugernavn til unilogin) kunne forbinde til serveren og uploade falske 'observationer'?
  2. Validerer klienten serveren TLS certifikat, eller kan en vilkårlig 3. part lægge sig imellem og lytte med.
  3. Validerer klienten vha. computerens truststore, så eleven kan lave et man-in-the-middle på sig selv, ved at opdatere eget truststore og hostfil, og så ellers have et lille server kørende (lokalt eller eksternt) som renser beskederne inden de når serveren.

...og sådan kunne vi sikkert blive ved. Gudfaderiskuret.

Walther Diechmann

Det er en vigtig opgave, du har påtaget dig, Carl! Men også en utrolig farlig opgave! "Det offentlige Danmark" (og den enkelte læser er her frit stillet til at indsætte hvilken af de 4-6 statsmagter, jeg sådan lige kan komme på) tager sjældent med fløjlshandsker, når "nogen" bevidst hiver det i skørterne ;)

Ude i virkeligheden slås vi med fire- og paywalls, fake-news, budgetter, og en palette af undskyldninger så bred, at vejen til Helvede næsten synes som en gåtur i parken ved siden af - men jeg kender næsten ingen, som siger: i vores virksomhed må man ikke stjæle idéer, og Ctrl-c / Ctrl-V er blokeret på alle computere; og jeg kender ihvertfald overhovedet ingen som kunne finde på at gå i en fed T-shirt, som Messi, Ronaldo, eller Ryan Giggs har sat deres autograf på (og som derefter er blevet trykt i 1000000 eksemplarer).

Måske skulle man - i stedet for at spilde tid på at holde øje med, om eleverne "stjæler" - droppe skriftlig eksamen, og i stedet bede eleven aflevere sin paratviden ved et rektangulært stykke grøn fløjl?

Torben Mogensen Blogger

Måske skulle man - i stedet for at spilde tid på at holde øje med, om eleverne "stjæler" - droppe skriftlig eksamen, og i stedet bede eleven aflevere sin paratviden ved et rektangulært stykke grøn fløjl?

Eller bare lave skriftlig eksamen med papir, blyant og viskelæder, og forbyde alle elektroniske dimser (undtagen pacemakere, men det er næppe relevant for ret mange gymnasieelever).

René Nielsen

Det sig være snyd ved eksamen, svindel med sociale ydelser, udpegning af svage forældre, udpegning at socialt udsatte børn og alt muligt andet. Den bagvedliggende gode hensigt udsletter simpelthen enhver indvending.

Tag børnehavepædagoger, hvor mange mænd er der mon tilbage i det fag? Rigtigt det er omkring 5% og tallet er nedadgående og det fordi et meget lille antal personer ikke holde fingrene for sig selv.

Det er jo ikke fordi at det ikke er alvorligt når det sker, men der går altså hundredtusindvis af børn i børnehaven hver dag. Det er jo lige før at man bliver betragtet som pædofil, når man som forældre efterspørger flere mænd i børnehaven. Og man risiker seriøst at blive indberettet til kommunen – bare for en sikkerheds skyld – ”og det kan du jo godt forstå ikke?”.

Man bliver simpelhen sat ”skakmat” med argumenter for den gode hensigt. Det er jo seriøst lige ved at man bliver kaldt pædofil fordi man synes børnehavens ældste drenge kunne komme på en ekstra ”strabadsetur” imedens pigerne legede med perler.

DDP skal nok komme tilbage – uanset kvaliteten i koden – og ”den gode hensigt” vil trumfe alle indvendinger. Og det betyder ikke noget at sandheden er anderledes end den Undervisningsministeriet lægger for dagen.

Du vil blive kaldt for IT verdenens pædofile, terrorist, kriminel og lignede. For DDP skal bare bruges.

Per Larsen

Det refererede eksempel er blot et af utallige beviser på det offentliges hhv. politikernes manglende evner-kompetencer til at håndtere IT udvikling og implementeringer på en redelig og effektiv måde.
Det refererede system er ganske sikkert lavet af konsulenter - der har scoret kassen på, og med besked om begrænsede ressorcer (læs: penge). Det bevirker dårlig rådgivning, dårlig applikation og hastværk med test / deployment. Sikkerhed - hvad er det!

Asbjørn Hoffskov Lund

@Torben Mogensen: Eller bare gøre som man gjorde i slut-halvfemserne hvor jeg tog min gymnasiale uddannelse... lukke af for internettet, have pensionister som prøvevagter, der skulle ned til printeren for at hente det print man afleverede.

Hvis man endelig vil have digital aflevering, må man jo have en lokal digital platform der kan uploades til fra lokal-netværket.

Mobiler afleveres ved indgangen til lokalet og WiFi er disablet på computerne.

"Jamen, det er jo BYOD-baseret, så hvordan vil du undgå at de ikke bare kobler på deres mobil-telefon som hotspot?"
1. Mobiler skal være slukkede
2. Drop BYOD og tag ansvar/ejerskab over infrastrukturen!

Ja, jeg er gammeldags, men det virkede!!

Peter Kruse

Det er ganske enkelt en omgang makværk fra CGI. Længere er den ikke. Man behøver ikke være en reverser for at "pille" den kode fra hinanden og det var åbenlyst fra først minut, da jeg kigge på den tilbage i starten af Marts, at den slet ikke er gennemtænkt. Der er talrige angrebsscenarier og mulighed for at udtrække data fra klienter der kører med Prøvevagten. Det er en klokkeklar ommer.

Jeg kan også se, at jeg er blevet politisk indraget i sagen efter et interview til DR så glæder mig til at holde møde om løsningen men først skal jeg lige hjem: https://www.ft.dk/samling/20181/almdel/unu/spm/273/svar/1567357/2033476/...

Hans Nielsen

Ja, jeg er gammeldags, men det virkede!!


Nu er det vel også sket en stor teknologisk udvikling, eller skal alle eksamer laves i underbukser og med anal undersøgelse.

De fleste kan vel finde ud af, at skjule en mindre mobil i tøj eller taske, også sætte et skjult AP op. Hvordan ser ingen netværk ud på et OS, som eleven selv har haft kontrol over ?

Igen hvis man vil snyde, så kan man synde til de fleste eksamner. IT "skrammel" kan ikke erstatte gang vagter. Eneste holbare løsninge er at afholde eksamerner på en måde, så løsninger og snyd bliver svært eller ikke brugeligt. - Jo mere simple en opgave form, jo nemmer at stoppe snyd. Lommeregner er ikke nødvendigt, selv ikke til matematiske eksamer. Opgavene skal jo bare udformes så de svare til de midler man har til rådighed.

Her er mundlige eksamner en mulighed, eller tillade brug af alle hjælpemidler, eller ingen.

Eksempler på andre snyde mulighed. Du betaler en person 3000,- kr som kan sit stof for at hjælpe dig. Du går til eksamen, i starten af eksamen går du på WC, og aflevere en afskrivet kopi eller selve opgavene, eller en del der af, som du ikke kan løse selv. Så henter vedkommen opgaven på WC, og løser dem. I slutningen af eksamen, så igen på WC efter "løsningsforslag"

Martin Kofoed

Det er virkelig rystende indsigt i, hvor langt man er villig til at gå for at øse vand ud af båden. Vel at mærke vand som strømmer ind gennem det hul, man selv har banket nede i den anden ende ...

Løsningen er naturligvis lige så simpel som den er effektiv. Enten accepterer man, at eleverne lader sig inspirere af hele verden, eller også fratager man dem muligheden. Og "overvågningssoftware" i denne kaliber, er en meget dyr måde at fejle sidstnævnte på.

Det Offentlige. Man bliver sgu sådan godt, gammeldags træt.

Erling Stage

Lidt en tangent til emnet, men PC overvågning virker som et selvskabt problem.

Jeg har to børn i gymnasiealderen her i Finland. Her bruges egen laptop til prøver, men ved prøven booter man sin laptop fra en USB stick med en Debian baseret løsning kaldet 'Abitti'.
Stick'en udleveres til prøven og indeholder prøven og de programmer der er undervist efter i løbet af skoleåret.

Det er et købskriterium for gymnasie-laptops at 'Abitti' virker.

De samme programmer som findes i Abitti anvendes også på Windows og MacOS til brug i daglig undervisning.

Herved undgås hele diskussionen om 'privatliv' til studentereksamen.

https://www.abitti.fi/?lang=sv_se

PS. Jeg har ikke checket Abitti's forsvar mod at boote i en virtuel maskine.

Heino Svendsen

Det kunne jeg ALDRIG finde på, mester ;-)

Jeg klapper i mine små, fedte næver og tænker "FEDT!!! Så kan de lære det!", men jeg havde faktisk forventet, at skole, kommunen etc. ville have reageret, som de altid gør : "KILL THE MESSENGER!!! KILL HIS CORPSE!!! THEN, BURN THE CORPSE!!! KILL THE ASHES!!"

Cadeaux herfra!

Jakob Nørgaard

Spørgsmålet er om tiden er løbet fra skolen, hvis det er så nemt at snyde...

hvis du hurtigt kan finde svaret på dit problem, ved at bruge nettet, så har du vel egentlig blot bevist at du nok skal klare dig ude i den store stygge verden, og at du har fine kompetencer til problemløsning...

Torben Mogensen Blogger

hvis du hurtigt kan finde svaret på dit problem, ved at bruge nettet, så har du vel egentlig blot bevist at du nok skal klare dig ude i den store stygge verden, og at du har fine kompetencer til problemløsning...

Det argument hører jeg tit, men det fejler af to årsager:

  1. Problemer stillet til eksamen er typisk meget små og meget præcist formulerede, så det er ikke svært at google sig til en løsning. Det er ikke tilfældet i "den virkelige verden".
  2. Udover muligheden for at finde færdige løsninger kan Internettet også bruges til at kommunikere med andre mennesker, som kan løse opgaven for dig mod betaling. Det kan man i princippet også i den virkelige verden (det hedder "outsourcing"), men det er sjældent rentabelt for en enkeltperson at outsource de opgaver, han er betalt for at lave. Og selv om det i enkelte tilfælde kan være rentabelt, så er det normalt ikke velset, at man sender virksomhedens data til en tredjepart. Det er faktisk i reglen fyringsgrund.
Jakob Nørgaard

Hej Torben,

Det jeg siger er, at eksamen intet siger om hvordan eleven vil kunne klare sig i den virkelige verden.

Hvis du er dygtig til at outsource og har styr på at få det til at fungere, er du i mine øjne attraktiv.

Jeg er helt enig i at det i det nuværende setup er snyd og bedrag - men måske skulle man gentænke hele det setup.

Den virkelige verden byder på teknologiske muligheder, hvor du helt uden at have gået på skole kan finde ud af langt det meste.
Det betyder vi ikke har brug for en lærer der skal dele sin viden videre til den næste generation - istedet har vi brug for at lære de studerende, hvordan de udnytter de nye muligheder bedst muligt til at skabe flest resultater!?

Hans Nielsen

"hvis du hurtigt kan finde svaret på dit problem, ved at bruge nettet, så har du vel egentlig blot bevist at du nok skal klare dig ude i den store stygge verden, og at du har fine kompetencer til problemløsning"

Vil give dig ret i at, de fleste kan lære sig selv en helt masse, og at meget infromation kan findes på nettet.

Men værktøjsfagene kan man ikke "lære", de skal jo bruges i forståel med de løsninger som der evt kan findes. Eller vil du sende en arbejdstegning på bygerie direkte fundet på nettet, uden at lave statisk bereginger på den ?
Du finder måske løsnings muligheder på nettet, med det er jo din uddanelse og erfaringer som skal bruges, for både at inplemneter eller forkaste dem.

Desuden, nå man kommer til de rigtige problmmer, så løses de sjældent med google. Det kun din chef eller andre også. Så hvis du kun løser opgaver, hvor løsningen findes på nettet - Så vil jeg se mig om efter nyt job, før jeg bliver fyret.

Om ikke andet, så skal man have lært så meget i sit fag, at man er i forhold til Dunning-Kruger effekt er komme over "peak of Stupidity"

Hans Nielsen

Men det nuværende setup til eksamen er efter min mening både forældet og ubrugeligt.


Har det ikke altid været det. Synes nu aldrig at en eksamen har vis mit rigtige standpunkt. Og det er til begge sider.

Årskaraktere er nok de mest "rigtige". Men igen
Blev erklæret ugegnet til gyminasiet, men blev dog Inginør.
Hvis man "gider", kan man jo indhendte 2-3 års folkeskole undervisning, på 2-3 måneder.

De bedste og dygtigste inden for et fag eller områder, behøves jo ikke have de største gennemsnit. Men det stadig betyde at vedkommen, risikere ikke bliver optaget på det område, hvor han kunne blive en dygtigt forsker.

En måde at løse dette på, kunne være at nedpriotere gennemsnittet. Man kunne f.eks, fjerne den dårligst og beste karakter. Og kun lade det tælle med 1/3. Mens resten blev afgjort af krarakter, som var relevant for det område man søgte.

Eller lave flere gruppe 2 ansøgninger, hvor feks. institutterne kunne lave samtale og optagelse prøver.

Men det bliver det ikke nemmer eller billige af. Så sådan løsninger bliver nok ikke valgt.

Log ind eller Opret konto for at kommentere
Brugerundersøgelse Version2
maximize minimize