Optioneel &#039;view source&#039;-verbod Chromium werkt na verhelpen 3 jaar oude bug

Google Chrome
Google
Browsers

14 november 2021 10:41

Het voorkomen van het openen van de source? Als dat nodig is, dan is de webapplicatie brak. Dat is niet iets om in de browser op te lossen.

[Reactie gewijzigd door The Zep Man op 28 juli 2024 10:44]

Jim80 @The Zep Man • 14 november 2021 11:03

Je mist het punt.... uiteraard is alles wat over http(s) gaat zichtbaar voor de client, maar daar gaat het niet om.

Stel dat ik een examencentrum heb, met thin-clients die Chrome in fullscreen draaien (kiosk of app mode). Dan mag een student niet even "shift-ctrl-i" kunnen drukken om vals te spelen.

Of als app-ontwikkelaar wil je ook niet dat door per ongeluk ingedrukte toetsencombinaties er één of andere debug console zichtbaar wordt voor mijn grootmoeder.

De feature is dus eerder bedoeld om een applicatie dummy proof te maken.

Google Chrome
Google
Browsers

@Jim80 • 14 november 2021 11:06

Stel dat ik een examencentrum heb, met thin-clients die Chrome in fullscreen draaien (kiosk of app mode). Dan mag een student niet even "shift-ctrl-i" kunnen drukken om vals te spelen.

Waarom kan een student valsspelen door "shift+ctrl+i" in te drukken?

Het antwoord is omdat je als examencentrum je examensoftware niet op orde hebt. In de client-side code moeten geen geheimen staan die een gebruiker niet mag weten.

[Reactie gewijzigd door The Zep Man op 28 juli 2024 10:44]

Jim80 @The Zep Man • 14 november 2021 11:39

Het antwoord is omdat je als examencentrum je examensoftware niet op orde hebt. In de client-side code moeten geen geheimen staan die een gebruiker niet mag weten.

Je hebt deels gelijk, maar de situatie "zoals het zou moeten zijn" is helaas niet altijd gelijk aan "de situatie zoals het is".

Als je als examencentrum geen controle hebt over je softwareleverancier, neem je het zekere voor het onzekere en scherm je de source code af.

Waarom kan een student valsspelen door "shift+ctrl+i" in te drukken?

Er dus van uitgaande dat de examensoftware geen geheimen prijsgeeft aan de client, hier enkele voorbeelden om toch op je vraag te antwoorden:

Stel dat het gebruik van een rekenmachine is niet toegestaan. Dan rekent een slimme student dat wel gauw even uit in de javascript console
In dezelfde javascript console zou ik antwoorden kunnen opzoeken op externe sites via een XMLHttpRequest
Ik zou een simpele chat-api kunnen hebben gebouwd om met medestudenten via de console antwoorden te kunnen doorchatten

koelpasta @Jim80 • 14 november 2021 12:39

Stel dat het gebruik van een rekenmachine is niet toegestaan. Dan rekent een slimme student dat wel gauw even uit in de javascript console

Als je op een toets waar hoofdrekenen wordt vereist zo slim bent om via het debugvenster in de JS console iets uit te rekenen dan denk ik niet dat er een echt probleem is.

In dezelfde javascript console zou ik antwoorden kunnen opzoeken op externe sites via een XMLHttpRequest

Alleen maar als de developers zo dom zijn dat ze die functie geimplementeert hebben.

Ik zou een simpele chat-api kunnen hebben gebouwd om met medestudenten via de console antwoorden te kunnen doorchatten

Je zou ook een mini-radio-zender-ontvanger in je oor kunnen stoppen en je de antwoorden toe kunnen laten fluisteren. Er zijn altijd wel manieren om te cheaten. En er zijn denk ik weinig mensen die eventjes tijdens een examen een chat-api uit hun mouw kunnen schudden en daarmee ook nog aan de juiste antwoorden kunnen komen.

Jim80 @koelpasta • 14 november 2021 13:50

Het zijn maar voorbeelden over een dom examencentrum. Het gaat erom dat er een "outside the box" mogelijkheid is, die je bijvoorbeeld niet in een kerncentrale, belastingdienst, politie, FBI (ehum), ... wil hebben.

Een heel kleine onbedoelde "feature" kan immense gevolgen hebben.

Door dergelijke denkfouten zoals "hoe kan deze loophole nu ooit misbruikt worden" lezen we dagelijks op Tweakers over het zoveelste bedrijf dat gehacked werd en/of informatie die op straat ligt.

Sorry om het zo in het extreme te trekken

koelpasta @Jim80 • 14 november 2021 14:26

Het zijn maar voorbeelden over een dom examencentrum.

Mijn punt is dat je het hoe dan ook niet waterdicht kunt krijgen, ook al is de software op orde.
Daarbij vond ik de voorbeelden die je gaf een beetje vergezocht en als daar fraude mee gepleegd wordt dan zal dat een heel klein percentage van de geexamineerden vertegenwoordigen.

Dat gedoe met dat antwoorden in de sourcecode staan is echter direct het gevolg van slecht geschreven stukken software. De fout is makkelijk te misbruiken en had in eerste instantie voorkomen moeten worden.
In de basis ben ik van mening dat als je die software gebruikt je zelf verantwoordelijk bent voor de kwaliteit van die software.
Nu heb ik net geleerd dat er door o.a. het onderwijs betaald wordt voor deze software en dan is dit google aan te rekenen. Het is niet eens een kwestie van "hoe kan deze loophole nu ooit misbruikt worden". Google weet namelijk donders goed dat alles in de lokale source code gewoon te lezen is door de gebruikers. Dit 'lek' is al meer dan 20 jaar bekend en het weglaten van gevoelige zaken in de sourcecode behoort tot de standaard ideeen die men over de jaren heeft ontwikkeld over webdevelopment.

Zenomyscus @koelpasta • 14 november 2021 23:35

Zo vergezocht is het niet hoor. Ik weet dat wij vroeger net send gebruikten om te communiceren, totdat de beheerder erachter kwam. Het was voor onze groep altijd een kat en muis spel. Nou is die groep niet geheel toevallig in de ICT beland, maar toch. Even via JS wat uitrekenen of chatten met anderen is zo gedaan. Sterker nog, we hebben voor de lol een p2p netwerk opgezet om te communiceren. Dat netwerk werkte nog best goed ook, maar is nooit gebruikt om mee te cheaten. Hoe dan ook was het een sport om het systeem te omzeilen. Het is maar goed dat ik nooit gepakt ben.

Overigens heb ik daar enorm veel van geleerd. Misschien wel meer dan ik mis door het cheaten.

Oon

@Jim80 • 15 november 2021 07:41

Het zijn maar voorbeelden over een dom examencentrum. Het gaat erom dat er een "outside the box" mogelijkheid is, die je bijvoorbeeld niet in een kerncentrale, belastingdienst, politie, FBI (ehum), ... wil hebben.

Ik kan je zeggen als iemand die veel met o.a. een examencentrum te maken heeft dat dit toch echt niet iets is dat veel voorkomt. De terminals van examencentra die een gewone browser gebruiken hebben of een flink aangepaste browser of vaak een heel verouderde, en zeker niet zomaar een splinternieuwe Chrome waarin deze fix zit. Meestal hebben ze toegang tot een beperkt intern netwerk (in sommige gevallen zelfs per ruimte, dus een server met een router in ieder lokaal) en niet tot het internet, maar hoe dan ook zijn sneltoetsen buiten wat nodig is om de toets af te leggen gewoon uitgeschakeld. Veel van de verouderde software van wat simpelere leveranciers kun je zelfs geen ctrl+a in een invulvakje doen, omdat ze heel de ctrl toets afvangen.

Maar hoe dan ook is het vrijwel nooit het geval dat een persoon gewoon de antwoorden in de broncode kan vinden. Was vast ooit wel het geval, maar dat kan tegenwoordig echt niet meer.

Jim80 @Oon • 15 november 2021 08:50

Maar hoe dan ook is het vrijwel nooit het geval dat een persoon gewoon de antwoorden in de broncode kan vinden. Was vast ooit wel het geval, maar dat kan tegenwoordig echt niet meer.

Bij de FBI kan dat blijkbaar nog wel, daar werd het e-mail verificatietoken gewoon in de client javascript aangemaakt.

Er 'kan' nog heel veel tegenwoordig....

RobinR @koelpasta • 15 november 2021 09:54

Je onderschat duidelijk de creativiteit van studenten

blissard @The Zep Man • 14 november 2021 13:09

Kan me voorstellen dat het voor jou logisch is, maar is dit “In de client-side code moeten geen geheimen staan die een gebruiker niet mag weten.” een regel die je nu zelf verzint? Of het een werkelijke norm / wet / regelgeving?

[Reactie gewijzigd door blissard op 28 juli 2024 10:44]

Jogai @blissard • 15 november 2021 08:03

Ja, dat is regel A03:2017 van owasp: https://owasp.org/www-pro...7-Sensitive_Data_Exposure

Maar buitenom dat, software ontwikkelaars die dit niet weten zou ik niet aannemen.

Lapa @blissard • 14 november 2021 13:22

Het is geen wet of zo, maar wel een vrij basale best-practice in web development.

De client-side code is voor mensen met ook maar een heel klein beetje kennis van hoe websites werken met een paar klikken te bekijken en doorzoeken. Dus het is nogal logisch dat je een probleem hebt als daar dingen instaan die de gebruiker niet mag weten.

emn13 @Lapa • 14 november 2021 20:57

Dat is logisch indien je de website aanbied aan de grote boze buitenwereld. Dat is in dit soort gevallen typisch niet zo; de omgeving is dichtgetimmerd (of zou dat iig moeten zijn).

Hier wordt html e.d. gebruikt meer om een app UI te maken dan een gewone gebruikers-gecontrolleerde browser - niet heel anders dan hoe veel moderne apps trouwens draaien, via een ingebouwde maar functioneel uitgeklede webbrowser - vaak electron, obv chromium.

Als web_site_ is het onverstandig om aan te nemen dat je broncode niet inzichtelijk is; maar als (niche) web_browser_ hoef je niet perse een view source feature aan te bieden aan elke gebruiker.

AlRoke @emn13 • 15 november 2021 07:46

Dat is logisch indien je de website aanbied aan de grote boze buitenwereld. Dat is in dit soort gevallen typisch niet zo; de omgeving is dichtgetimmerd (of zou dat iig moeten zijn).

Dichtgetimmerd of niet, er is simpelweg geen reden om het antwoord naar de student te sturen. Want dat is praktisch gezien gewoon wat er gebeurt in zo'n geval. Ja, misschien gebruikt een school op dit moment een dichtgetimmerde oplossing, maar dat hoeft over een paar jaar niet meer het geval te zijn. Het schrijven van niet-slechte code zou simpelweg een gegeven moeten zijn.

Wat gebeurt er dan met Google Forms? Blijkbaar 'misbruiken' docenten de 'response validation' functie die bedoeld is om bijv. te forceren dat een gebruiker een telefoon nummer intypt, of dat hij een geboorte jaar na 1900 intypt, etc. om in plaats daarvan daar hun 'antwoord' in te typen (in plaats van de speciale antwoord functie te gebruiken). Hier is een voorbeeld van een dergelijk slecht formulier: https://forms.gle/D1sLHehDjKYne8Kj9 .

In contrast, dit is een goed opgezet formulier dat gebruik maakt van de quiz functionaliteit van Google Forms: https://forms.gle/MVBpEcasTNREtuCb8 . Studenten zien pas hun score en de juiste antwoorden nadat de docent 'Release scores' drukt. (Iedereen krijgt een email met hun score).

[Reactie gewijzigd door AlRoke op 28 juli 2024 10:44]

Mijzelf @blissard • 14 november 2021 13:35

Het is geen regelgeving of wet. Natuurlijk niet, het staat je volkomen vrij om brakke websites te maken, zolang je maar aan de AVG voldoet. Maar het is common practise dat je de client side niet mag vertrouwen. Herinner je je het pizza festijn nog?

Stoelpoot @The Zep Man • 15 november 2021 09:29

Omdat de devs incompetent zijn. En als browsermaker heb je dan een keuze: Ga ik voor marktaandeel of principes? Die keuze is doorgaans heel gemakkelijk.

TJRef @The Zep Man • 15 november 2021 19:48

Misschien, maar waarom zou iemand zoveel moeite moeten doen om elke code zo privé mogelijk te schrijven als je ook een functie als het beperken van de browser kunt gebruiken? Hebben mensen niet betere dingen te doen dan constant elk gaatje te moeten dichten omdat je je studenten niet kunt vertrouwen? In een ideale wereld zouden ze gewoon met hun tengels van dit soort dingen af moeten blijven (de kids), niet de school de schuld geven dat er mogelijk informatie in de broncode staat. Moeten leraren nu ook programmeur zijn?

LOTG @Jim80 • 14 november 2021 11:13

Lijkt mij nog dat die feature niet geactiveerd moet worden door de applicatie maar dat je dat dan als admin op de thin clients wilt uitschakelen.

koelpasta @Jim80 • 14 november 2021 12:25

Stel dat ik een examencentrum heb, met thin-clients die Chrome in fullscreen draaien (kiosk of app mode). Dan mag een student niet even "shift-ctrl-i" kunnen drukken om vals te spelen.

Als jij zo slim bent om een examencentrum te hebben, hoezo laat je de examencode dan zo schrijven dat er iets van de antwoorden op te maken valt door de sourcecode te lezen?

SpiceWorm @Jim80 • 15 november 2021 11:39

Jij mist het punt - de controle of de vragen wel of niet goed beantwoord zijn zou niet client side moeten gebeuren. Dat kan anno 2021 echt niet meer.
Jammer dan dat je die software verkoopt als bedrijf, maar dan zou je gewoon failliet moeten gaan als je zulke slechte software aflevert.

ro4sho @Jim80 • 15 november 2021 12:45

Dan zou ik eerder een optie verwachten om die toetscombinaties te verbieden in Kiosk mode. Zou eigenlijk verwachten dat dat als zo is in een Kiosk mode, daar is die modus immers voor.

GurbieV

@The Zep Man • 14 november 2021 10:45

De websites van 2 grote Nederlandse kranten zijn op die manier leesbaar zonder ervoor te betalen. Er verschijnt een paywall-overlay over het artikel, maar het artikel wordt dus toch geladen en is via de source of via speciale apps gewoon leesbaar.

Google Chrome
Google
Browsers

@GurbieV • 14 november 2021 10:48

Case in point.

Die websites doen dat waarschijnlijk bewust, zodat crawlers alsnog hun pagina's goed oppikken zonder dat zij zich zorgen hoeven te maken over de aangeboden User-Agent.

Google
Browsers

@The Zep Man • 14 november 2021 11:09

Die user-agent methode is natuurlijk vele malen netter.
Dat is uiteraard ook kinderlijk simpel om te spoofen als je weet hoe, maar dit kost dus alleen maar extra bandbreedte die ‘nergens voor gebruikt wordt’.

Google Chrome
Google
Browsers

@lenwar • 14 november 2021 11:11

Die user-agent methode is natuurlijk vele malen netter.

Dat is het niet. Wat nu als er een nieuwe crawler met een nieuwe User-Agent langskomt, en je mist je kans om je pagina's correct te laten indexeren?

Het mislopen van bovenaan zoekresultaten staan is een groter risico dan die paar gebruikers die om paywalls heen weten te werken.

[Reactie gewijzigd door The Zep Man op 28 juli 2024 10:44]

Google
Browsers

@The Zep Man • 14 november 2021 11:16

We hebben het hier specifiek over 2 grote Nederlandse kranten. Goede kans dat zij zich alleen bekommeren om Google en Bing, misschien als ze heel hip willen zijn ook DuckDuckGo.

Ik heb me er niet in verdiept, maar ik denk niet dat er erg veel nieuwe crawlers in een jaar bijkomen of veranderen, die echt impact hebben op die kranten. Wat ik al schreef, sturen ze nu een hele pagina op (bandbreedte, cpu-kracht, enz, enz) die ‘nooit’ gelezen wordt.

Google Chrome
Google
Browsers

@lenwar • 14 november 2021 11:32

We hebben het hier specifiek over 2 grote Nederlandse kranten. Goede kans dat zij zich alleen bekommeren om Google en Bing, misschien als ze heel hip willen zijn ook DuckDuckGo.

Een momentopname in tijd. Wat nu als Google plots hun User-Agent verandert? Is dat een risico dat je echt wil lopen als krant? Alles dat een actieve actie vereist is een risico.

Ik heb me er niet in verdiept, maar ik denk niet dat er erg veel nieuwe crawlers in een jaar bijkomen of veranderen, die echt impact hebben op die kranten.

Ik denk dat zij een betere risicoanalyse hebben gedaan dan dat jij en ik kunnen doen.

Wat ik al schreef, sturen ze nu een hele pagina op (bandbreedte, cpu-kracht, enz, enz) die ‘nooit’ gelezen wordt.

Bandbreedte en CPU cycles kosten niets (praktisch niets aan de kant van de krant, helemaal niets voor de krant aan de kant van de gebruiker).

[Reactie gewijzigd door The Zep Man op 28 juli 2024 10:44]

Google
Browsers

@The Zep Man • 14 november 2021 19:20

Bandbreedte en CPU cycles kosten niets (praktisch niets aan de kant van de krant, helemaal niets voor de krant aan de kant van de gebruiker).

Dat is natuurlijk een non-argument. Een beetje als je extravagant veel water gebruiken omdat het bijna niks kost. (In Nederland ongeveer €1,20 per kuub, inclusief belasting)

Er gaat iedere dag gigantisch veel data over de lijnen. Als je ziet dat menig website bijvoorbeeld voor de helft (of meer) aan reclamedata bestaat (inclusief alle (tracking)scripting en dergelijke er omheen), dan is dat natuurlijk op meerdere vlakken idioot

Ik acht het overigens bijzonder onwaarschijnlijk dat bijvoorbeeld Google haar user-agent spontaan gaat veranderen zonder grote aankondiging. (Niet uitgesloten maar voor mij zeer onwaarschijnlijk)

Ik vind de opmerking van @djiwie een stuk logischer klinken over dat Google cloaking (zoals het blijkbaar heet) als onwenselijk beschouwd.

Kevin1Smid @The Zep Man • 14 november 2021 21:38

Ik heb zelf bij een website het dynamischer aangepakt, als een bepaalde user agent binnen enkele seconden meerdere pages pakt wordt die toegevoegd aan de whitelist. Alsnog makkelijk te omzeilen maar je hebt alle crawlers en normale users kan je hiermee prima achter de paywal zetten...

wankel @The Zep Man • 14 november 2021 22:39

[...]
Ik denk dat zij een betere risicoanalyse hebben gedaan dan dat jij en ik kunnen doen.

Ik zou niet verbaasd zijn als blijkt dat de verantwoordelijke stagiair wat voorbeelden gezocht heeft van 'HTML block page', het eerste resultaat getest heeft en zag dat er een paywall getoond werd. Demo, baas blij, afgestudeerd en nooit meer naar omgekeken.

mikeyfire643 @lenwar • 14 november 2021 22:20

Je kunt bij google login gegevens opvoeren voor crawlers.

djiwie @lenwar • 14 november 2021 11:46

Dat is cloaking en door Google verboden. Dus als ze dat doen lopen ze een redelijk groot risico helemaal niet meer opgenomen te worden in Google.

IStealYourGun @djiwie • 14 november 2021 15:27

Het is niet verbonden, je krijgt gewoon een lagere score in de zoekresultaten.

HKLM_ 14 november 2021 10:36

Google
Browsers

@djiwie • 14 november 2021 18:59

Daar was ik niet van op de hoogte. Dan is het in elk geval logisch dat reguliere sites als krantensites dit niet doen.

vliegendehommel @GurbieV • 14 november 2021 10:50

Dat lijkt me makkelijk op te lossen door het hele artikel dan niet in de bron mee te geven.

if user_has_subscription:
content = article.full_content
else:
content = article.excerpt

Lijkt me niet te moeilijk. En ja, ik weet dat ze dit voor zoekmachines gebruiken.
Maar dit lijkt me niet de verantwoordelijkheid van de browser.

Robin H @vliegendehommel • 14 november 2021 11:14

Door de authorizatie in JavaScript te steken kan je elke bezoeker dezelfde pagina aanbieden. Je kan dan een CDN gebruiken als cache waardoor je (zeer) veel minder requests moet afhandelen.

Het is een afweging die gemaakt moet worden want is inderdaad triviaal te omzeilen.

Met jouw voorbeeld kan dit cachen niet standaard en moet je andere oplossingen bedenken. Ik zeg hiermee niet dat het niet gaat. Enkel dat de oplossing soms niet zo voor de hand liggend is.

Anoniem: 84997 @GurbieV • 14 november 2021 10:53

volgens mij doen kranten dat, omdat het voordeel van SEO groter is dan het nadeel dat sommige op deze manier gratis 't artikel lezen. Het staat me bij dat er browser-plugins zijn die automatisch pay-walls verbergen.
Maar eigenlijk is het inderdaad slecht ontwerp als antwoorden van proefwerken in opvraagbare broncode staat.

Barsonax @GurbieV • 14 november 2021 11:31

Maar dat is een probleem van die website en niet iets wat de browser zou moeten oplossen.

Om de source op te halen heb ik echt geen Chromium ook nodig.

itsgreen

@GurbieV • 14 november 2021 10:49

Dat is wat ik doe, in Dev Tools zijn die artikelen prima leesbaar. Zal nu wel weer lastig gemaakt worden :\

Kees BOFH @itsgreen • 14 november 2021 10:53

Tenzij jij de kranten administrator maakt van jouw chrome browser, en jouw hele computer laat beheren, en ChromeOS gebruikt denk ik niet dat de kranten 'view source' bij jou zullen disablen.

wica @itsgreen • 14 november 2021 10:54

Het wordt alleen maar lastiger, als de admin het "onmogelijk" maakt?
En wie is bij jouw thuis de admin op je computer?

Tokkes @wica • 14 november 2021 17:25

save link as... -> .html file op je desktop -> edit in notepad.

ejabberd @Tokkes • 15 november 2021 00:59

https://viewsourcepage.com/

GekkePrutser @itsgreen • 14 november 2021 16:33

Firefox

Overigens zijn er ook gewoon plugins die dergelijke sites gewoon in de browser goed laten werken. Vaak zelfs als ze de data niet in de source showen (dan faken ze de useragent en wissen cookies e.d.).

Het probleem is dat deze sites van 2 walletjes willen eten. Ze willen wel hun content publiek maken aan google om publiek te trekken, maar als het publiek er dan komt willen ze dat laten betalen. Dat vind ik nogal scheef. Het komt een beetje over als een clickbait site, je denkt dat je doorlinkt naar een artikel maar dan kom je er en heb je niks.

Ik heb een abo op een online (lokale) krant, dus ik ben niet tegen betalen. Maar ik ga natuurlijk niet voor elke site die door iemand gelinkt wordt een abonnement nemen.

[Reactie gewijzigd door GekkePrutser op 28 juli 2024 10:44]

rammes @GurbieV • 14 november 2021 11:32

van de telegraaf weet ik het, welke andere krant bedoel jij?

Goldwing1973 @rammes • 14 november 2021 11:40

Ad, en de vele lokale varianten daarvan.

GurbieV

@rammes • 14 november 2021 11:42

De Telegraaf juist niet. Die laadt alleen de eerste alinea.

Trouw en De Volkskrant wel.

SJBijzitter @GurbieV • 14 november 2021 14:22

Kanttekening: De Telegraaf kan ook heel simpel omzeild worden door een extensie de cookies/local storage voor elke page load te laten legen.

latka @SJBijzitter • 14 november 2021 14:40

Gewoon de pagina openen op een prive/incognito tabblad.

Perryv @GurbieV • 14 november 2021 14:22

Het gehele article staat daadwerkelijk in de source, op een vreemde plek wel maar wel degelijk in de source. Alleen foto's niet om de een of andere reden

kozue

Browsers

@GurbieV • 14 november 2021 14:56

Geen source of apps voor nodig hoor. Gewoon de devtools openen (F12) en die paywell overlay deleten. Overlays om onbetaald lezen te voorkomen zijn om een heleboel redenen een slecht idee.

lancekapers @GurbieV • 14 november 2021 17:21

Tip, installeer een chrome extentie om javascript aan/uit te zetten, dit soort sites kan je dan vaak gewoon bezichtigen zonder de paywall

purplevendetta @lancekapers • 14 november 2021 23:50

Of voor degenen die daar geen extensie voor willen installeren:

Devtools (F12) > ctrl + shift + P > Disable Javascript

ATS @The Zep Man • 14 november 2021 11:56

De browser moet zich natuurlijk wel houden aan de regels die er in de policy gezet zijn. Tuurlijk, je kan je sterk afvragen of dit goede beveiliging is, maar het blijft een bug.

Anoniem: 1322 @The Zep Man • 14 november 2021 13:50

En daarom heeft het waarschijnlijk zolang geduurd. In de discussie staat ook 'I'm going to release this back as this does not affect Secure Mode Quizzes - both Save and View Source ARE disabled when in Secure Mode.'.

En daarom geeft de MS engineer ook aan dat het niet veel doet... Er zijn nog vele manieren om hier omheen te werken.

Geen idee wat de bedoeling van dit bericht is. Is het om de complexiteit van sommige problemen uit te leggen? Dan is dit gefaald. Is het om de bedoeling een boel Google=Bad polarisatie te creëren. Gefeliciteerd, dat is dan gelukt.

HollowGamer @The Zep Man • 14 november 2021 14:57

Ik kan mij voorstellen dat het in sommige gevallen niet handig is, zoals in kioks en dat soort toepassingen.

atm0s @The Zep Man • 14 november 2021 18:51

Er zijn situaties denkbaar, zoals;

Wanneer Chrome in kioskmode gestart is
Bij geïnstalleerde Progressive-Web-Apps (PWA's)

Want in alle andere gevallen, vermoed ik dat het volgende in de adresbalk intypen (niet pasten) en daarna op enter drukken, nog steeds wel zal werken:

javascript:alert(document.body.innerHTML)

Nimja @The Zep Man • 14 november 2021 19:26

Dit is bedoelt voor interne dingen blijkbaar.

In managed installaties van Chrome kan de administrator allerlei onderdelen van de Chrome-browser afschermen van de gebruiker. In de melding wordt geschreven dat 'view-source' als url-blacklist-regel niet werkt, waardoor men de broncode van een webpagina kan bekijken zonder toestemming van de administrator van de browser.

emn13 @The Zep Man • 14 november 2021 20:45

Dit gaat juist niet om gewone open PCs, maar om kiosk-achtige systemen. Daar is het prima logisch om dit soort features uit te kunnen zetten - en dat kan ook, alleen werkte dat niet voor view source. Dat zegt niks over de webapplicatie; het maakt niet eens echt uit of 't een webapplicatie is.

Soggney @The Zep Man • 14 november 2021 23:21

Is dit niet eerder een lokale policy. Zo dat browsers op gedeelde computers deze feature kunnen in/uitschakelen op url niveau.
Handig voor scholen/gedeelde computers. maar van zodra het byod is, out the door

ro4sho @The Zep Man • 15 november 2021 12:43

Van mij mag dit een plus 3 krijgen.

Natuurlijk moet het niet mogelijk zijn om antwoorden uit de broncode te halen Dat is lazy coding.

Waarom zou je een toets maken / aanbieden in Google forms..

ari @HKLM_ • 14 november 2021 11:35

Omdat het inmiddels aardig geïntegreerd is met Google Classroom, door veel scholen gebruikt. Een paar leuke features: Chromebook vergrendelen voor andere zaken via een vinkje, automatisch nakijken (scheelt veel tijd) en nakijken per vraag (waarbij je alle identieke antwoorden in één keer van hetzelfde aantal punten voorziet). Je kunt ook de scores direct laten importeren naar Classroom als je dat gebruikt om je cijfers bij te houden. Er zijn ook genoeg nadelen te benoemen, maar dit zijn zeker ten opzichte van een simpel toetsje op papier wel wat interessante voordelen.

@ari • 14 november 2021 12:20

Ik zou echt trots op m’n kind zijn als ze zo’n Chromebook helemaal binnenstebuiten zou hacken. Zo’n super locked-down apparaat waar je verder niks van je creativiteit in kwijt kan staat me echt tegen.

dasiro @teek2 • 14 november 2021 12:51

even trots als inbreken in de lerarenkamer om een fysiek exemplaar van de toets te stelen? Het is een werkmiddel van school dat ter beschikking wordt gesteld, daar moet je helemaal niet creatiefs mee doen tenzij gevraagd. Op de wereldbol in de klas ga je ook geen zelfverzonnen landen bijtekenen.

@dasiro • 14 november 2021 14:01

Deze instelling is echt wat er mis is met ons onderwijssysteem, je krijgt een prachtig stuk techniek in je handen en "daar moet je helemaal niet creatiefs mee doen tenzij gevraagd".

En er is een verschil tussen dingen mogelijk maken die eerst niet konden (hacken) en toetsen stelen. Ik snap dat de context van dit artikel impliceert dat het om toetsen stelen gaat, en dat keur ik niet goed (al zou ik als leraar zeggen, "hmm, knap hoor, volgende keer even melden als je een kwetsbaarheid vindt, responsible disclosure etc", en verder geen consequenties), maar (want) ik heb hier toch een Kobayashi Maru gevoel hierbij.

[Reactie gewijzigd door teek2 op 28 juli 2024 10:44]

dasiro @teek2 • 14 november 2021 16:01

daarvoor heb je tegenwoordig aparte vakken en daarbuiten moet je je gewoon aan de leerstof van het vak houden. Vb je tekent graag en daar is de tekenles voor, de leerkracht wiskunde zal het dan ook niet op prijs stellen als je je kladschrift vol tekent en je je berekening niet meer kan maken (lees: je hebt aan je chromebook zitten prutsen en je kan niet meer inloggen).

elk onderwijssysteem heeft zijn voor- en nadelen, wil je daartegen rebelleren dan moet je de gevolgen ervan dragen.

Uiteindelijk volg je specifieke vakken om daar de vaardigheden voor aan te leren. Wat ben je met een grote onderscheiding Frans door te cheaten als je dan met dat diploma bij een bedrijf moet solliciteren en geen woord kan uitbrengen.

@dasiro • 14 november 2021 16:31

Als leraar tekenen zou ik zeker zeggen, als je wat wilt leren, moet je oefenen en de lessen die ik geef zijn een beproefde methode. Maar zo gaat het niet, ik heb zelf jaren vakken als Tekenen en Frans met absoluut minimale inzet gehaald en laten vallen zo snel als het kon, ik herinner me vooral de slaapverwekkendheid.

Als ik mijn eigen leraar was en ik zag mijzelf met een prachtige creatieve hack mijzelf onder mijn verplichte vakken uit coderen met een vaardigheid waar je alleen maar ontzag voor kan hebben, dan zou ik daar vooral bewondering voor hebben.

dasiro @teek2 • 14 november 2021 21:38

draai het eens om: als leraar informatica ga je ook geen punten geven voor een mooie tekening als code niet af is

@dasiro • 15 november 2021 11:18

Mja, maar misschien weer wel als je op ingenieuze wijze de computer met je tekenskills iets hebt laten doen. Maar goed, ik snap je punt wel, we praten een beetje langs elkaar. Ik heb het meer, om deze metafoor te volgen, over het aanpassen van je potloden of het bouwen van een tekenrobot. Het is valsspelen, maar het getuigd van een ander soort, waardevolle creativiteit.

Niosus @dasiro • 14 november 2021 13:21

Tijdens een toets zou het hacken tot een minimum beperkt moeten worden. Maar daarbuiten? Ga je gang zou ik zeggen.

Er is toch absoluut niets mis met je eigen apparaat wat verder te duwen dan waarvoor het bedoeld was. We zitten hier toch op Tweakers.net, right? Ik weet dat die Chromebooks vaak in bruikleen zijn, maar die horen gewoon gewiped te worden wanneer ze worden doorgegeven.

Hoeveel van de lezers hier hebben vroeger stiekem in de computer klas wat meer gedaan dan ze eigenlijk mochten? Ik zou het argument willen maken dat ik meer heb geleerd over IT door de beveiligingen te omzeilen dan dat ik ooit in de les zelf geleerd heb. Die gedetailleerde cursus over Word 2003 komt nu echt wel van pas moet ik zeggen!

TheDutchChief @Niosus • 15 november 2021 09:03

De computerklas... We hadden vijf Commodore 64's in een zwaar afgesloten lokaal. Computerles bestond uit vijf uur basic-programmeren tijdens de wiskundeles. Maar ik snap wat je bedoeld, Om iets voor elkaar te krijgen kun je een klus doen en zo leren of je leert uit een boek. In dat laatste was ik ook nooit zo goed.

hackerhater @Niosus • 15 november 2021 09:31

Stiekem? Gewoon in het open

Iets met computer-lokaal en dan boot from cd niet uitzetten

Deed niks bijzonders, wilde gewoon mijn ding kunnen doen zonder de vertragingen en meegluren van de "beheerder" en daar voldeden Linux-cd's prima voor.

kozue

Browsers

@dasiro • 14 november 2021 15:08

Appels en peren. Fysieke toetsen stelen is diefstal en valsspelen op examens. Chromebooks hacken is een protest tegen het gebruik van privacyschendende systemen van bedrijven die niks op scholen te zoeken hebben. Hoe het ooit zo ver heeft kunnen komen dat Google, het grootste advertentie-, tracking-, datamining- en spywarebedrijf ter wereld, zichzelf op scholen binnen heeft kunnen wurmen snap ik niks van, en alle pogingen om dat te ondermijnen en ze daar weer weg te krijgen ben ik voorstander van ja.

dasiro @kozue • 14 november 2021 16:05

trek het anders helemaal uit zijn context

als je het met een lesmethode niet eens bent, dan zoek je een andere school die wel bij je past. De activist uithangen doe je maar in je vrije tijd

@dasiro • 14 november 2021 16:33

Ik was het zeker niet eens met mijn vakken Duits, Frans, Tekenen, Nederlands... Maar helaas gaven ze dat op elke andere school ook.

PhilipsFan @dasiro • 14 november 2021 23:10

WTF? Hij heeft volkomen gelijk! Google heeft niks te zoeken binnen scholen, binnen het onderwijs moet je er vanuit kunnen gaan dat je kind kan leren zonder dat er profielen over hem/haar/whatever worden opgebouwd.

En de rest van je houding staat me ook enorm tegen. Alles precies in de juiste hokjes, dat is natuurlijk niet hoe het onderwijs werkt. Als je een leerling een stuk papier en een pen geeft met de opmerking 'ga maar even lekker creatief zitten wezen' dan komt daar uiteraard niks bijzonders uit. Er moet een bepaalde motivatie zijn voor creativiteit.

Ik zie bij mijn kinderen (op het MBO) dat het onderwijs volkomen is afgeplat. Alles gaat online in een of ander systeem (waarbij je bij god niet weet wie er allemaal inzage heeft in de gegevens, voortgang en leersystematiek van je kind) en alle toetsen worden gereduceerd tot het juiste vakje invullen. In het echte leven kun je discussieren met een docent waarom een antwoord fout is (het gebeurt veel vaker dan je denkt dat toetsen gewoon niet kloppen of dat een vraag op meerdere manieren is uit te leggen), maar met zo'n systeem valt niet te discussieren, als het antwoord niet _exact_ gelijk is aan wat de vraagsteller heeft bedacht, dan wordt het gewoon fout gerekend.

Of heb jij dat nooit gehad op school, dat je de vraag (soms ook wel express) anders opvatte dan de docent, daar een goed antwoord op gaf en dat de docent je achteraf gelijk gaf dat hij de vraag niet goed heeft gesteld? DAT is creativiteit. Ontstaan door motivatie (ik wil een hogere score), daarmee kweek je slimmere leerlingen.

Je hebt niet altijd de keus om naar een andere school te gaan (omdat ze bijvoorbeeld Google gebruiken). De marktwerking gaat hier niet op, want niet in elke woonplaats is dezelfde opleiding aan meerdere scholen te volgen. Als je uit noodzaak op een school terechtkomt waar ze achteraf Google blijken te gebruiken en je wil dat niet, dan is het je goed recht om daartegen in opstand te komen, op welke manier dan ook. Activist ben je niet in je 'vrije tijd', activist ben je altijd.

dasiro @PhilipsFan • 15 november 2021 06:50

Ik heb het niet over google als evil corp, maar als een generieke keuze van hoe een opleiding gegeven wordt.
Ik heb in Vlaanderen m'n opleiding gevolgd. Geen idee hoe ze het bij jullie doen, laat staan hoeveel verschillende soorten onderwijs jullie wel of niet hebben, maar vakoverschreiding was geen ding (als er geen natuurlijke overlap was tussen bvb chemie en fysica of de verschillende Germaanse talen, wat allemaal aparte vakken waren). Elke leerkracht gaf zijn vak en daarbinnen kon je wel dingen in vraag stellen of anders interpreteren, bij de ene leerkracht al wat meer dan bij de andere, maar je moest niet voetballen tijdens basketbal (opnieuw: aparte vakken, allemaal binnen dezelfde opleiding, zelfs muziek, plastische opvoeding en esthetica).
De ene leerkracht zag dat ik goed was en wilden ze me zelfs extra uren geven wat me een top3 in Vlaanderen heeft opgeleverd in een bepaalde sport, terwijl die van biologie onder de indruk was dat ik genetische analyses deed die vielen onder leerstof die dichter aansloot bij wat in de universiteit werd gegeven dan in het middelbaar en die van geschiedenis had nog geen eindwerk gepresenteerd gekregen in de vorm van een zelfgeschreven website (maar hem wel afgeprint moest hebben om officieel te kunnen quoteren).
Vakjesdenken is in jouw ogen misschien slecht, maar zorgt er wel voor dat je erg kan uitblinken in dingen die je wel liggen en tegelijk kan werken op dingen waar je problemen mee hebt.

dasiro @kozue • 14 november 2021 21:45

wtf zit je ineens op mij te zeiken??? Ik ben geen voorstander van chrome, laat staan van een chromebook, maar je moet respect hebben voor het materiaal dat je ter beschikking wordt gesteld en de inzet van je leerkracht. DAT zijn waarden die ik aan kinderen zou meegeven, niet om de boel om zeep te helpen of zomaar je eigen zin te doen als het je niet aan staat. Zou jij het leuk vinden als andere kinderen in de klas plots grafiti op de muren beginnen te spuiten of beginnen te beatboxen omdat ze zich liever artistiek willen uiten tijdens c++ ? Dat heeft niets met blind schapengedrag te maken maar met een omgeving inschatten en je ernaar weten te gedragen.

hackerhater @kozue • 15 november 2021 09:34

Wat is het verschil tussen Google en verplicht met MS-spul moeten werken (oa office)? beide zijn ongewenst

veltnet @kozue • 15 november 2021 13:12

En fyi, ik stuur ze inderdaad niet naar scholen waar ze met Google moeten werken.

Mag ik vragen waar jij je kinderen dan naar school stuurt?
Volgens mij maakt het voortgezet onderwijs veel gebruik van Google/Microsoft.
Ik ben het met je eens dat je dat niet moet willen maar denk dat we niet veel keuze hebben.

ari @teek2 • 15 november 2021 21:40

Mijn reactie was puur antwoord op de gestelde vraag, namelijk redenen waarom je toetsen zou maken in Google Forms.

Voor wat betreft dat hacken, in theorie heel tof. Totdat zo'n leerling z'n Chromebook brickt en niet meer mee kan doen met de les. Toen leerlingen vroegen waarom ze geen Linux konden draaien heb ik ze dat ook zo uitgelegd. Ga vooral lekker experimenteren, maar wel graag op een apparaat dat je niet elke schooldag nodig hebt. En bij voorkeur ook buiten lestijd.

Overigens draai ik binnenkort met 2 vwo een activiteit waarbij ze ook een website gaan hacken. Met daarbij natuurlijk ook aandacht voor wat is legaal en wat niet, responsible disclosure en dat soort dingen.