Surveillancesoftware Proctorio gebruikt door veel universiteiten had ernstig lek

Proctorio, de surveillancesoftware die veel Nederlandse universiteiten inzetten bij het afnemen van online tentamens, bevatte een ernstig lek. De software was vatbaar voor een universal cross-site-scripting-aanval en daarmee eenvoudig over te nemen.

Via een UXSS-aanval konden criminelen in theorie Proctorio-accounts overnemen als gebruikers op een link zouden klikken. Die software heeft onder andere toegang tot de camera en microfoon van de computer en de aanvaller krijgt daar dus ook toegang toe.

Het lek werd op 18 juni ontdekt door de ethische hackers Daan Keuper en Thijs Alkemade van beveiligingsbedrijf Computest. Zij voerden in opdracht van RTL Nieuws onderzoek uit naar de software. Nadat het lek werd gemeld, heeft Proctorio de kwetsbaarheid een week later opgelost. Omdat de software werkt met browser-plug-ins die automatisch geüpdatet worden, zijn gebruikers sindsdien niet meer kwetsbaar. In overleg tussen Proctorio en de hackers is het bestaan van de kwetsbaarheid dinsdag bekendgemaakt, blijkt uit de tijdlijn van de responsible disclosure op HackerOne.

Het is niet bekend of het lek in de praktijk is misbruikt. Volgens RTL wilde Proctorio niet reageren op de vraag of het bedrijf dat kan uitsluiten. De surveillancesoftware van Proctorio is in Nederland door veel hogescholen en universiteiten ingezet sinds de coronapandemie. Onder andere de Universiteit van Amsterdam, Vrije Universiteit Amsterdam, Erasmus Universiteit Rotterdam, Universiteit Tilburg, Hogeschool van Amsterdam en de Hogeschool van Utrecht gebruiken de software.

Vorig jaar zei de Autoriteit Persoonsgegevens onderzoek te doen naar examensurveillance- en videobelsoftware in het onderwijs. Dat onderzoek loopt nog. Veel studenten klaagden over privacyschendingen die de monitoringsoftware met zich meebrengt. UvA-studenten probeerden met een rechtszaak surveillancesoftware tijdens tentamens te verbieden, maar verloren die zaak.

Reacties (59)

Stel dát het lek is misbruikt en er data is gelekt, dan moet het slachtoffer aangifte doen. Vervolgens moet het slachtoffer aantonen dat de ervaren schade aantoonbaar is ontstaan door dit specifieke lek (en niet iets wat op Facebook stond of een ander lek).
Oftewel - dit soort praktijken stoppen pas wanneer het compleet uit de hand is gelopen. Er moet veel data gestolen en gepubliceerd worden voordat onderwijsinstellingen én deze softwareontwikkelaars zich eens goed achter de oren gaan krabben. De studenten valt niets te verwijten - ze hebben een zeer zwakke onderhandelingspositie. Niet akkoord gaan met de voorwaarden van de surveillancesoftware betekent geen toets, geen beoordeling en uiteindelijk geen diploma. De student gaat geen jaren studie weggooien.
Ik vind het zeer treurig om te zien hoe eindgebruikers min of meer gedwongen worden om allerlei 3e partijen toegang te geven tot de privésfeer. In de zorg zijn al lang beveiligde verbindingen (ook webstreams) mogelijk die zo ver versleuteld zijn dat het zeer moeilijk is om daar mee te klooien. Maar ja, dan kan de onderwijsinstelling niet ~300 (of meer) toetsen tegelijk afnemen, en dáár heeft de onderwijsinstelling de foute afweging gemaakt. Liever dat de student privacy inlevert dan de toetsingsvorm zelf aanpassen (meer mondelinge toetsafnames, meer varianten van een toets). Nee, die alternatieven zijn niet perfect en ja, daar kan misbruik van gemaakt worden. Maar de oude manier van toetsing (in lokalen) was ook niet perfect en deze manier van toetsing is dat ook niet. Accepteer de risico's en omarm de nieuwe werkelijkheid zonder de belangen van de studenten uit het oog te verliezen.

[Reactie gewijzigd door Kuusje op 14 december 2021 18:09]

Een student kan weigeren en dan moet de school een alternatief bieden.

Verder ben ik het helemaal met je eens.

Dat is helemaal niet waar. Ik werk voor een organisatie die hier veel mee te maken heeft, en het is echt niet dat een student kan weigeren.
Een student kan bezwaar maken en met zwaarwegende redenen vragen om een alternatief, maar zoals @boombat1307 hieronder al quote is het dan aan de docent danwel organisatie om hier over te beslissen. Uiteindelijk heb je toegezegd dat je het eens bent met de methodes en middelen die de school/opleider gebruikt voor het geven van lessen en afleggen van examens, dus je hebt als student weinig te zeuren.

Je hebt weinig te zeuren? Men mag en moet zich steeds meer druk maken om z'n eigen privacy. Het is makkelijk weggegeven en lastig te behouden.

Nieuwsberichten als dit zijn er steeds vaker. En dan zeg jij je hebt weinig te zeuren? Zo'n mentaliteit is waar het al helemaal fout gaat en hoe mensen aangepraat worden dat het de norm is dat je op je privacy in moet leveren, zelfs nu om je studie af te kunnen ronden. Ronduit belachelijk.

Als je iets te zeuren wil hebben moet je niet akkoord gaan met de voorwaarden bij inschrijving, niemand die je verplicht om een opleiding te volgen bij een specifieke opleider.

niemand die je verplicht om een opleiding te volgen bij een specifieke opleider.

Dat is een nare dooddoener. Alsof de keuze zo groot is. En op dit moment zullen de verschillen tussen opleiders er niet eens zijn. Verder ben je vaak al student en wordt dit nu pas ingevoerd. Wat zeg je dan? Halverwege stoppen en proberen ergens anders te beginnen? Wat als je bent ingeloot?

Niet akkoord geven bij inschrijving is een grap. Hetzelfde is al eerder behandeld bij bijv. smart-TV's. Die starten op met de vraag of je akkoord gaat - ga je dat niet valt bijna alle functionaliteit weg... maar daarvoor kocht je dat ding niet. Dan kun je stellen: dan breng je hem terug. Maar dat is niet houdbaar als alle aanbieders hetzelfde doen. In feite wordt je 'gegijzeld' door de aanbieder (of dat nu fabrikant of opleider is).
Je hebt zogenoemd een keuze maar dat is dus niet waar.

(edit: typo)

[Reactie gewijzigd door Tintel op 15 december 2021 10:23]

Ik ben het er volledig mee eens dat het niet eerlijk of netjes is, maar toch echt is dat hoe het werkt.

Een opleider heeft in dit geval alle macht, en als student heb je je maar te houden aan hun keuzes. Bij een TV kun je nog zeggen van dit stond niet geadverteerd, maar bij vrijwel alle opleiders staat al in de overeenkomst die jij tekent dat dit het geval is. Alsnog niet netjes, maar je bent er wel mee akkoord gegaan.

Werkgevers mogen heel veel dingen niet vragen van hun werknemers. Er is namelijk een afhankelijkheid waardoor de werknemer eigenlijk geen keuze heeft. Nee zeggen kan wel eens betekenen dat je geen inkomen meer hebt, dus zeg je maar ja. Dit thema is het afgelopen jaar regelmatig voorbij gekomen in het nieuws.

Voor studenten zie ik de zelfde afhankelijkheid. Mogelijk minder bij de start, maar zeker tijdens de opleiding is die aanwezig. Zoals eerder aangegeven, van school wisselen doe je niet snel. Vrije keuze is dan minder of gewoon niet meer aanwezig. Het is daarom ook goed dat er vragen gesteld worden en onderzoek gedaan wordt door Autoriteit Persoonsgegevens. Het is een ethisch vraagstuk, en dat zijn niet de makkelijkste. Dit afdoen als, dan moet je maar niet akkoord gaan, is echt te kort door de bocht.

Ik snap het belang van de scholen, maar persoonlijk zou ik er heel veel bezwaar tegen hebben. En er ook heel veel aan doen om er onderuit te komen. Maar over stappen naar een andere opleiding wanneer je bv in je laatste jaar zit? Denk het niet, die stap is te groot.

Ja en wanneer zijn die methodes / lessen vastgesteld?

Als een student 3 jaar geleden begonnen is met een opleiding en zijn curriculum wordt omgegooid en hij geen keuze krijgt om dit te weigeren. Dan klopt er iets niet @Oon of moet die student dan maar z'n opleiding laten vallen omdat er zo nodig een bepaalde proctoring software gebruikt moet worden...

Je gaat niet akkoord met een expliciet pakket van hulpmiddelen, maar met de keuze van de organisatie waarbij je je opleiding volgt. Als je opleider er inderdaad voor kiest om midden in je opleiding andere boeken te gaan gebruiken dan heb je de keuze om te stoppen met je opleiding of ook mee te gaan in die keuze.

Meestal proberen ze dat met methodes vanaf jaar 1 aan te bieden en dus ieder jaar op te schuiven (zodat jaar 2 en verder dezelfde methodes houdt), maar bij proctoring software heb je gewoon hele dikke vette pech, want er zijn weinig medische redenen die het gebruik ervan onmogelijk maken.

...dus je hebt als student weinig te zeuren.

Jammer, ik had gehoopt dat je dit ironisch bedoelde, maar gezien je andere reacties is dat niet zo.

Ook al ga je akkoord met de manieren van de school, dat ontslaat de school niet van zorgvuldigheid. En bovendien: welke keuze heb je nog als alle scholen nagenoeg dezelfde voorwaarden hanteren of die in de loop van de tijd aanpassen?

Bij mijn uni was het wel mogelijk om te weigeren.

Je doet alsof dit iets makkelijks was (of is?), maar de realiteit was (of is) anders.

De informatie van de FAQ van een universiteit hierover:
"What if I don't want to participate in an online proctored exam? Am I allowed to refuse?
If you have very serious objections to proctoring, you can request an opt-out. We will then see if you can take the exam in an alternative way. In most cases, the alternative will be to take the exam on campus. First and foremost, this must be a viable option for the professor."

Zoals ik het had ervaren was de optie om het niet te doen niet gemakkelijk. Ik heb zelf niet het doorzettingsvermogen gehad om écht werk te maken van mijn bezwaren, maar het klinkt ook niet alsof er een garantie is dat de school in alle gevallen een alternatief zou bieden mocht iemand anders dit wel hebben gedaan.

Ik snap dat het je niet makkelijk gemaakt wordt. Daarom ben ik het ook helemaal eens met het verhaal van Kuusje. Maar je hebt rechten.

In Tilburg betekende dat afwisselend dat dezelfde vragen met pen en papier gedaan werden of dat je ook tentamen kreeg via de computer maar dat Proctorio gebypassed werd met een wachtwoord. Dan zat je dus met mensen met heel veel verschillende tentamens in één zaal. Valt prima te organiseren.

Zoals je in het artikel kan lezen zijn studenten zelfs naar de rechter gegaan om mogelijke alternatieven te kunnen krijgen. Dat is niet alleen bij de rechtbank maar daarna ook bij het gerechtshof afgewezen. Dat was niet omdat er geen recht geschonden zou worden, maar omdat er meer rechten en plichten zijn wat om een afweging vraagt. De studenten hebben de rechter onder andere niet kunnen overtuigen dat alternatieven redelijker waren.

Eigenlijk jammer dat de AP er zolang over doet om de privacy waarborgen te onderzoeken. Zeker de studenten die ook nog een tweede camera moesten gebruiken werden helemaal bekeken. Niet alleen de studenten zelf, maar de hele kamer!

Het maken en publiceren van software is nu erg gemakkelijk. Alle lekken zijn voor risico van de gebruikers en alleen werkelijke schade zou je (met veel moeite) misschien vergoed kunnen krijgen. Als ik overal weer nieuwe wachtwoorden moet gaan instellen, kost me dat tijd en tijd. Wil ik daar nog wat van vergoed krijgen, dan moet ik bewijzen dat ik in die tijd inkomsten ben misgelopen. Andere schade kan soms pas maanden later aan het licht komen en daar hoef jezelf niet eens slachtoffer van te zijn. Als men bijvoorbeeld de inloggegevens van je werk-account heeft gevonden kan men die weer gebruiken om op de server van je werkt in te breken.

Eigenlijk zouden bedrijven meer werk moeten maken van de beveiliging. Wat RTL heeft laten doen kan een software-uitgever ook. De enige prikkel om dat te bereiken is puur door het voor de bedrijven goedkoper te maken om software regelmatig op veiligheid te laten controleren. Er moeten daarom gewoon wetten komen waarbij de gebruikers standaard bepaalde bedragen kunnen claimen bij bepaalde veel voorkomende lekken.

Gebruiken het op de HvA ook. Ben er zelf er op tegen. Beetje een schijnmiddel tegen cheaten, je moet hopen dat het afschrikt. Weegt wat mij betreft niet op tegen de privacy inbreuk.

Een onderliggend probleem waarvoor men dit soort software wil gebruiken, is de ouderwetse manier waarop veel examens worden afgenomen. Tegenwoordig is de vaardigheid over hoe goed je kennis in je kop kan stampen steeds minder van belang. Het is veel belangrijker dat je weet hoe je zaken kan vinden, verifiëren en gebruiken.

[Reactie gewijzigd door The Zep Man op 14 december 2021 17:00]

Dat is toch geheel afhankelijk van welk werk je doet. Voor een IT'er kan ik het me nog wel voorstellen. Maar iemand die in het veld beslissingen moeten maken zonder directe toegang tot naslagwerk zal toch wel echt over parate kennis moeten beschikken.

Maar iemand die in het veld beslissingen moeten maken zonder directe toegang tot naslagwerk zal toch wel echt over parate kennis moeten beschikken.

Parate kennis krijg je niet via tentamens. Daarvoor zijn tentamens te nauw opgezet.

Voor het veld doe je bijvoorbeeld eerst stages of heb je een assistentiefunctie. Daar blijft je veel meer van bij dan van stoffige tentamens ('doen' in plaats van enkel 'weten').

[Reactie gewijzigd door The Zep Man op 14 december 2021 17:42]

Dan leer je vaardigheden, op een universiteit staat kennis centraal.

Dan leer je vaardigheden, op een universiteit staat kennis centraal.

Kennis stampen, of leren met kennis om te gaan (wat meer is dan enkel stampen)?

Dat ligt er ook een beetje aan waar je in je opleiding zit. Basiskennis in de eerste twee jaren moet helaas gewoon gestampt worden. Daarna werden bij mijn opleidingen steeds meer eindopdrachten en open boek tentamens gegeven.

Daar zijn wel andere oplossingen voor voorhanden natuurlijk. Zet een tijdslimiet op zo’n vraag. Als het het toch digitaal doet kan dat prima. Beetje creativiteit mag je van een school wel verwachten toch? In plaats van meteen naar zo’n paardenmiddel als dit grijpen?

Ik kan me prima voorstellen dat je in specifieke gevallen gebruik maakt van zoiets als dit (bijvoorbeeld iemand in quarantaine of een topsporter op een trainingskamp) maar in z’n algemeenheid gaat de privacyinbreuk gewoon te ver.

Inderdaad overdreven, maar om als "creatieve oplossing" een tijdslimiet op vragen te zetten is een slecht idee. Ik heb zelf vaak genoeg dat ik een vraag gedeeltelijk beantwoord om er later nog op terug te komen, of 'm alleen lees en besluit om eerst een makkelijkere opgave te maken. Bovendien is een tijdslimiet per vraag ook niet representatief voor toetsing op locatie.

Een betere oplossing is open-boek toetsing, waarbij alle studiematerialen mogen worden gebruikt, en de vragen een casus-vorm hebben en je de kennis moet toepassen in plaats van domweg reproduceren. Ik kan uit ervaring vertellen dat deze vorm van toetsing ook veel effectiever is.

Vaak doet men beide. Je theoretische kennis controleren dmv een toets en de praktische toepassing van je kennis met een practicum; waarbij beiden met een voldoende afgerond moeten worden.

Mee eens, maar dat kan dus niet altijd. Als je de situatie ‘je bent dokter en je staat op de traumakamer en je moet nu weten welke ader je moet aanprikken’ wil simuleren dan kan dat prima met een tijdslimiet. Dan heb je ook niet even de gelegenheid om een uurtje later nog een terug te komen.

Ik ben ook fan van open boek toetsen hoor, maar er zijn vak(gebieden) waar dat minder werkt.

Ik was een paar jaar geleden bij een techniekconventie. Daar liet men een tablet zien, die aan hand van wat er te zien was door de camera, documentatie en andere details kan weergeven.

Dit zou bijvoorbeeld in de bouw, heel goed gebruikt kunnen worden om juist even snel naslagwerk te kunnen lezen.

Dit soort AR is de toekomst binnen infrastructuur.

Volgens mij is het meer een questie van zorgen dat studenten niet tijdens het tentamen kunnen communiceren inplaats van zorgen dat ze niks kunnen opzoeken. Als je antwoorden met elkaar kan delen via whatsapp tijdens het tentamen schaad dat natuurlijk zeker de waarde van een diploma. Dat is een probleem los van wat de vraag toetst.

Dat hangt nogal van de situatie af zou ik denken.

Bij een medische opleiding heb ik liever niet dat een arts even rustig op Google gaat kijken hoe hij moet optreden, als ik met een hartaanval op de behandeltafel lig. Dan is enige parate kennis tcoh wel erg prettig.

Daarnaast gaat het bij examens vaak niet alleen om testen of je parate kennis hebt, maar ook of je bijvoorbeeld bepaalde methodieken beheerst en doorziet. Dat valt minder makkelijk op te zoeken doorgaans.

Ik heb liever dat die arts die handelingen vaker heeft gedaan in de laatste maanden en niet de dag van tevoren nog even de materie in z'n kopt gestapt heeft.

Uit elkaar halen is makkelijk, het terug in elkaar zetten is lastig.

Dan heb je gewoon een arts met ervaring, opgedaan meestal na de universiteit. Net ervan af is het vaak zo groen dat je er nog steeds niet gek veel mee kan. Een diploma zie ik eigenlijk als niet veel meer dan een bewijs van inzet en enigzins niveau. Maar vooral die inzet is wat je wilt als je mensen vervolgens wat wilt leren in de praktijk. Ik weet bijv. nog maar bar weinig van mijn examen-stof, maar geen enkele werkgever die dat wat interesseert.

Het is veel belangrijker dat je weet hoe je zaken kan vinden, verifiëren en gebruiken.

Dat klinkt alsof je alle tentamens wilt vervangen door "hoe goed kun je googlen?". Dat is wel heel kort door de bocht. Mijns inziens zou een goed tentamen niet moeten testen hoe goed je getallen en formules uit je hoofd kent, maar hoe goed je begrijpt waar die getallen vandaan komen en waarom de formules werken. Iedereen kan getallen in een rekenmachine of software kloppen, de kunst is om te weten waar je mee bezig bent. Dan merk je het tenminste als er iets mis gaat en schrijf je niet zonder nadenken een verkeerd antwoord over.

Het probleem met tentamenvragen die je "niet kunt googlen" is dat mensen met Internet-toegang niet alleen op WolframAlpha kunnen, maar dat binnen de kortste keren de hele zaal (of, iedereen thuis) zit te overleggen op StackExchange of Discord en ze uiteindelijk allemaal dezelfde antwoorden inleveren. Dat universiteiten in de gaten willen houden dat je je tentamen zelf maakt, zonder hulp van buitenaf, daar kan ik nog best inkomen. Proctorio (gelukkig zelf nooit mee hoeven werken) klinkt echter alsof het een gigantisch zwaar middel is, waarbij de belangen van de universiteit en de belangen van de student zijn afgewogen volgens "wij maken de regels, als het voor ons maar makkelijk is, de studenten hebben niets te willen".

Edit (naar aanleiding van andere reacties): deze reactie was geschreven met ingenieursopleidingen in gedachte, voor andere soorten studies (zoals artsen, die hierboven een paar keer genoemd worden), zal het ongetwijfeld anders werken.

[Reactie gewijzigd door robvanwijk op 14 december 2021 17:19]

Mee eens, daarop aanvullend geven bepaalde opleidingen ook een inzicht in hun toekomstige werkgevers in hoeverre de student in staat was om comlexe materie tot zich te nemen. De meeste banen zijn na drie jaar toch gedeeltelijk op de automatische piloot uit te voeren omdat je je baan meester wordt. Als werkgever wil je dat je medewerker een korte, efficiente inwerktijd functioneel wordt en deze tentamens geven daar inzicht in.

Het is veel belangrijker dat je weet hoe je zaken kan vinden, verifiëren en gebruiken.

Oke, dus het is prima dat iemand die een buitenlandse taal bestudeert geen woordenschat heeft en het gewoon in een vertaalmachine kwakt als hij woorden niet kent? Lijkt mij nogal een beperkte kijk op onderwijs, en op moderne vaardigheden in het algemeen. Als je bij vragen bij een sollicitatie meteen google opentrekt maak je niet zo'n beste indruk, om het maar zwak uit te drukken...

Nog los van het feit dat je ook bij het toetsen van vaardigheden kan spieken door middel van hulpmiddelen. Genoeg software die bijvoorbeeld gewoon een vergelijking voor je oplost en alle tussenstappen laat zien. Als je het niet al gewoon aan je buurman vraagt die naast je zit.

Niet dat ik daarmee voorstander ben van proctorio, maar "maak maar een toets waarbij niet te spieken is" is een utopie.

[Reactie gewijzigd door bwerg op 14 december 2021 17:19]

Reproductie is ook belangrijk, vaak zijn er daarom werkgroepen en essays voor het inzicht én een schriftelijk tentamen voor de repro.

Leveren ze zelf ook materiaal aan waarop deze software dan kan draaien? Ik hoef ook niet willekeurige software van derden op mijn systeem. Je zou er al bijna virtual machines voor moeten gaan maken, dat alleen al zou mij zo irriteren dat manieren om dit te dwarsbomen uitvinden een doel op zich zouden worden.

Ik mag hopen dat ze zelf de hardware leveren bedenk ik me nu, ik zou op geen enkele manier meewerken aan dat ding op mijn systeem buiten een afgeschermde virtual machine, wat het volgens mij meteen vrij makkelijk maakt om te omzeilen.

Ik snap het verder ook niet zo, in je thuissituatie kan je extreem makkelijk spieken etc., waarom dan dit soort software? Daar valt toch helemaal niets aan te doen... Tenzij je een soort van 360 camera neerzet ofzo, en zelfs dan... Wat een onzin (en zwaktebod lijkt mij, waarom tentamineer je niet gewoon d.m.v. gesprek o.i.d.?).

Je zou er al bijna virtual machines voor moeten gaan maken

Als ie dat detecteert is je tentamen ongeldig en mag je voor de examencommissie uit komen leggen waarom je gefraudeerd hebt op je tentamen.

ik zou op geen enkele manier meewerken

Dan zul je moeten wachten met je tentamens totdat corona voorbij is en tentamens weer in een collegezaal gemaakt kunnen worden. Dat zou je best veel studievertraging kosten.

Ik snap het verder ook niet zo, in je thuissituatie kan je extreem makkelijk spieken etc., waarom dan dit soort software? Daar valt toch helemaal niets aan te doen... Tenzij je een soort van 360 camera neerzet ofzo, en zelfs dan...

Ze hebben het (afhankelijk van welke universiteit en faculteit we het over hebben) soms behoorlijk ver dichtgetimmerd. Er zijn tentamens waarbij je aan het begin een "room scan" moet doen (met je laptop in je hand een rondje draaien om je hele kamer aan de webcam te laten zien), tijdens het tentamen houdt de webcam je gezicht in de gaten en je moet je telefoon achter je leggen, als tweede camera, om in de gaten te houden dat je niet ergens een spiekbriefje vandaan tovert en die achter je scherm (buiten het zicht van de webcam) openklapt.

Is het waterdicht? Nee, vast niet. Maar het probleem met frauderen op tentamens (het practische probleem, ook ethisch zitten er een paar haken en ogen aan...) is dat er maar één manier is om erachter te komen hoe goed de fraudedetectie is: het risico nemen en daadwerkelijk fraude plegen. Mocht je ermee weg komen dan heb je een klein voordeel. Ik noem het een klein voordeel, want elke keer dat je fraudeert slaag je voor hooguit één vak; om een hele rits vakken te halen moet je een heleboel keer frauderen en dan schiet de kans dat je (niet altijd, maar minimaal één keer) gepakt wordt enorm omhoog. Mocht het echter fout gaan dan heb je meteen een gigantisch probleem; fraude wordt je heel zwaar aangerekend.
Een tentamen niet halen is niet het eind van de wereld, je kunt altijd voor de herkansing gaan. Daardoor zouden er weinig situaties moeten zijn waarin dat gigantische risico een logische (maar nog steeds onethische!) keuze zou kunnen zijn. Het hoeft dus ook helemaal niet waterdicht te zijn; zolang nagenoeg alle studenten het het risico niet waard vinden (of het totaal niet nodig vinden omdat ze de stof gewoon prima kennen, dat kan ook nog ) zal het zijn doel bereiken.

[Reactie gewijzigd door robvanwijk op 14 december 2021 17:38]

Een VM gebruiken gelijk stellen aan frauderen zonder enige verdere onderbouwing lijkt me niet iets dat standhoudt bij het college van beroep.

Als in de regels van het tentamen staat dat je geen VM mag gebruiken (en ik neem even aan dat ze daaraan gedacht hebben, anders heeft het gebruik van Proctorio nauwelijks zin) en je doet dat toch, dan is dat fraude; hoe wou jij het noemen?

Geen fraude. Je kan weliswaar regels overtreden hebben misschien, maar dat maakt het nog geen fraude… Examenfraude is wanneer je iets doet om jouw kennis anders voor te doen dan die werkelijk is; zoals dmv een spiekbriefje, iemand die je de antwoorden voorzegt, de antwoorden stelen, vervalsen of een ander die de toets maakt, plagiaat, et cetera. Dat is fraude.

Het draaien van de browser in een VM, overigens puur om jezelf te beschermen tegen gevaarlijke spyware met extreem vergaande permissies, maakt het niet zo dat je dat soort fratsen uithaalt en daadwerkelijk aan het frauderen bent met je antwoorden. Ze kunnen hoogstens wellicht stellen dat ze niet adequaat hebben kunnen controleren of je wel of niet gefraudeerd hébt en wellicht idd een of andere regel hebt overtreden, maar dat maakt het nog niet automatisch het zware vergrijp “fraude”. Daar is pas sprake van als je werkelijk de boel oplicht, niet als ze op een technicality vinden dat ze je onvoldoende hebben kunnen controleren óf dat zo is.

En ik vind dat toch een belangrijk verschil. Hoewel in beide gevallen mogelijk het resultaat ongeldig wordt verklaard, is fraude echt heel andere koek dan een of andere arbitraire regel overtreden die verder nooit automatisch kan betekenen dat je daadwerkelijk fraudeert.

Laat ik ‘t zo stellen, even een hypothetische situatie; als jij in een klaslokaal achter een muurtje zit en de leraar komt daar pas bij het eind achter, dan zou je kunnen stellen dat hij niet adequaat heeft kunnen checken of je niet hebt gefraudeerd. Wellicht bestaat er een regel dat je altijd goed in het zich moet zitten en wellicht ken je die regel niet eens. Je toets wordt mogelijk ongeldig verklaard en moet opnieuw, maar dat is dan toch ook geen fraude…? Dat moeten ze echt bewijzen voordat ze zo’n zware beschuldiging uiten lijkt me. Puur dat ie je niet kon zien betekent niet dát je werkelijk gefraudeerd hebt, enkel dat je ‘t met meer gemak zou hebben kúnnen doen dan iemand vol in het zicht.

Imho kan je simpelweg niet, puur omdat je iemand niet (volledig) “kon zien”, automatisch stellen dat iemand het zeer zware vergrijp “fraude” daadwerkelijk heeft begaan.

[Reactie gewijzigd door WhatsappHack op 14 december 2021 21:50]

Laat ik ‘t zo stellen, even een hypothetische situatie; als jij in een klaslokaal achter een muurtje zit en de leraar komt daar pas bij het eind achter, dan zou je kunnen stellen dat hij niet adequaat heeft kunnen checken of je niet hebt gefraudeerd. Wellicht bestaat er een regel dat je altijd goed in het zich moet zitten en wellicht ken je die regel niet eens.

De regels niet kennen is wel het zwakste excuus waarmee je kunt komen. Het voorbeeld is ook niet bepaald realistisch, want de plekken waar je überhaupt mag zitten zijn aangegeven, dus dan moeten de surveillanten de zaalindeling grondig verprutst hebben.

Proctorio in een VM opstarten is niet iets wat je per ongeluk doet, dat is een zeer bewuste keuze. Ik verwacht dat het omzeilen van een anti-fraude systeem automatisch behandeld zou worden als een vorm van fraude, maar zelfs in het aller beste geval dan wordt het "de examencommissie uit komen leggen waarom je het examenreglement hebt overtreden op je tentamen". Je zou geluk kunnen hebben dat daar een net iets lagere straf op staat, maar je hebt nog steeds een levensgroot probleem.

Ik vind het draaien in een VM van software die extreem vergaande permissies op je systeem wilt een erg logische keuze eigenlijk. Ik zou er ook totaal niet bij nadenken en meteen een VM starten om het daarin te draaien. Dat moet echt expliciet vermeld worden dat dat absoluut niet mag. Zal misschien wel gebeuren, geen idee; heb gelukkig niet in deze situatie gezeten dat scholen dat soort meuk verplichten op je privé eigendom. Als ze dat wel vermelden, dan zou ik een burner lap- of netbookje pakken dat ik daarna gewoon weer helemaal wipe en re-image. Want no f-ing way dat zulke spul op m'n productiemachine komt.

Proctorio in een VM opstarten is niet iets wat je per ongeluk doet, dat is een zeer bewuste keuze

Dat je iets bewust doet, wilt niet zeggen dat je dat a.) doet uit foute overwegingen, als je securitybewust bent is het een zeer logische instinctieve reactie als je weet waar het spul allemaal toegang toe krijgt, b.) dat je het doet om te frauderen, c.) dat je wist dat het niet *mocht* om dit zo te doen. Dat ik bewust een VM opspin om het er in te draaien, wil niet zeggen dat ik dat doe om bewust te frauderen of dat ik wist dat dit niet mocht. Dat ligt er echt aan hoe het geadverteerd wordt.

"Installeer even Proctorio" of "Installeer een Proctorio en je mag het niet in een VM draaien!" zit toch ook een wereld van verschil in... Bij die eerste zou ik ook meteen denken "sure thing, maar wel in Fusion.". Niet omdat ik zou frauderen of wil frauderen (dat kan m'n ego niet eens aan ), maar puur omdat ik die troep niet wil hebben rondspoken op m'n systeem. Ik zou er dus inderdaad bewust voor kiezen om het in een VM te draaien, maar dat betekent niet dat ik het bewust in een VM draai omdat ik wil frauderen!

Ik verwacht dat het omzeilen van een anti-fraude systeem automatisch behandeld zou worden als een vorm van fraude

Weet je wat. Ik ga het reglement eens opvragen bij m'n alumni groepen. Ik denk namelijk oprecht dat dat juridisch geen stand kan houden. Het kan best zijn dat het resultaat meteen ongeldig verklaard zou kunnen worden, maar je automatisch betichten van fraude en je direct als fraudeur te boek zetten of om die reden je van de opleiding aftrappen lijkt me echt een hele grote stap te ver. Dat je mogelijk makkelijker kán frauderen door een bepaalde (vrij normale) actie te ondernemen, wil nog niet zeggen dát je werkelijk fraudeert.

[Reactie gewijzigd door WhatsappHack op 15 december 2021 00:10]

software die extreem vergaande permissies op je systeem wilt

Dit heb je nu al een paar keer gezegd. Voor de duidelijkheid, voor het doel waarvoor deze software gebruikt wordt (of je het nou eens bent met dat doel of niet) daarvoor heeft het die permissies gewoon nodig.

"Installeer even Proctorio" of "Installeer een Proctorio en je mag het niet in een VM draaien!" zit toch ook een wereld van verschil in... Bij die eerste zou ik ook meteen denken "sure thing, maar wel in Fusion.". Niet omdat ik zou frauderen of wil frauderen (dat kan m'n ego niet eens aan ), maar puur omdat ik die troep niet wil hebben rondspoken op m'n systeem.

Dus als jij software moet installeren met precies één doel (controleren dat je niet fraudeert tijdens je tentamen) dan is jouw eerste ingeving "dit installeer ik op zo'n manier dat het onmogelijk zijn werk kan doen"? En dan voorzie je niet dat dat gezeik op gaat leveren...!? Nee sorry, dan ben je echt willens en wetens je kop in het zand aan het steken.

Ik ga het reglement eens opvragen bij m'n alumni groepen. Ik denk namelijk oprecht dat dat juridisch geen stand kan houden.

Dat hoef je niet eens via-via te vragen, het zou me ten zeerste verbazen als dat achter een login verstopt is. De naam van het document is "OER": "onderwijs" of "opleiding" / "examen" / "regeling", "regelingen" of "reglement". Als je de naam van je universiteit (en eventueel faculteit) samen met "oer" in Google gooit, dan zou je hem zo moeten kunnen vinden. Ik verwacht dat regels rondom Proctorio in een appendix van de OER terecht zouden komen (de officiële versies; samenvattingen zullen vermoedelijk overal en nergens rondgespamd worden om zeker te weten dat iedereen het gezien heeft).

Of het de moeite waard is betwijfel ik overigens; hier nog even de laatste alinea van het artikel:

Vorig jaar zei de Autoriteit Persoonsgegevens onderzoek te doen naar examensurveillance- en videobelsoftware in het onderwijs. Dat onderzoek loopt nog. Veel studenten klaagden over privacyschendingen die de monitoringsoftware met zich meebrengt. UvA-studenten probeerden met een rechtszaak surveillancesoftware tijdens tentamens te verbieden, maar verloren die zaak.

Nou weet ik niet hoe goed jouw juridische kennis is, maar bij de UvA hebben ze er letterlijk een rechtszaak over verloren, dus dan kan het geen al te erge gatenkaas zijn.

je automatisch betichten van fraude

Voor de duidelijkheid: dat was mijn aanname. Ik ben niet op de hoogte van mensen die hier daadwerkelijk op zijn gepakt, dus ik kan niet garanderen dat het zo uit zou pakken. Maar los van de vraag of ze het onder "fraude" of onder een ander kopje zouden hangen, als je betrapt wordt, dan heeft je opleiding geen andere keuze dan proberen je (op de een of andere manier) te straffen. Als ze niets doen dan staan ze het in feite toe en gebruikt de volgende tentamenperiode iedereen die truc, waarmee het gebruik van Proctorio feitelijk is afgeschaft.

Dit heb je nu al een paar keer gezegd. Voor de duidelijkheid, voor het doel waarvoor deze software gebruikt wordt (of je het nou eens bent met dat doel of niet) daarvoor heeft het die permissies gewoon nodig.

Dat maakt het niet minder indringend of risicovol? Wat is er mis met het benoemen van dit feit?
Ik bedoel, laten we wel wezen... Zie artikel waarom je daar toch minder vrolijk van wordt en waarom je eigenlijk al snel de ingeving zou (moeten) krijgen bij dit soort software om het voor je eigen veiligheid lekker in een VM of, als dat niet mag, dedicated machine te knikkeren.

Dus als jij software moet installeren met precies één doel (controleren dat je niet fraudeert tijdens je tentamen) dan is jouw eerste ingeving "dit installeer ik op zo'n manier dat het onmogelijk zijn werk kan doen"? En dan voorzie je niet dat dat gezeik op gaat leveren...!? Nee sorry, dan ben je echt willens en wetens je kop in het zand aan het steken.

Nee, dat is niet mijn eerste ingeving; en dat staat ook niet in mijn post, daar staat juist het tegenovergestelde. Mijn eerste ingeving is "Okee, dat gaat naar een VM om mijn machine te beschermen". Het uitgangspunt is niet om het proces/fraude-detectie te frustreren, maar simpelweg om mijn systeem veilig te stellen. En nee, als er niet expliciet vermeld wordt dat je het NIET in een VM mag draaien, dan zie ik niet in waarom dit gezeik op zou moeten leveren.

Ter aanvulling: er werd op mijn opleiding bijvoorbeeld wel vaker gevraagd om met allerlei tooltjes te werken/test te doen met software (soms wat dubieuze tools), dat ging allemaal een VM in en dat werd ons ook zo het hart gedrukt. Dat was weliswaar geen toets, maar wel wat we geleerd hebben. (Opleiding was in de security richting. ) Dan is het toch niet gek als dat je instinctieve gedrag is imho. Goed, bij andere opleidingen is dat waarschijnlijk natuurlijk anders, vooral bij niet-technische opleidingen die minder getraind worden om borderline-paranoïde te zijn; maar er zijn zat studenten met als hobby techniek/Tweaken/privacy freaks, die het interessant vinden en ook uit veiligheidsoverwegingen meteen aan een VM denken om hun primaire machine te beschermen als ze de waslijst aan permissies horen.

Er is geen kwade wil hier bij de keuze voor een VM als eerst ingeving, zeker niet als daar niet duidelijk en uitgebreid voor gewaarschuwd wordt.

Dat hoef je niet eens via-via te vragen, het zou me ten zeerste verbazen als dat achter een login verstopt is.

Je wil niet weten. Sommige opleidingen lijken echt hellbent te zijn op alles maar in troep als Sharepoint te gooien, met elk hun eigen kekke "site", nauwelijks te navigeren subs en weet ik veel wat allemaal.

De naam van het document is "OER": "onderwijs" of "opleiding" / "examen" / "regeling", "regelingen" of "reglement". Als je de naam van je universiteit (en eventueel faculteit) samen met "oer" in Google gooit, dan zou je hem zo moeten kunnen vinden. Ik verwacht dat regels rondom Proctorio in een appendix van de OER terecht zouden komen (de officiële versies; samenvattingen zullen vermoedelijk overal en nergens rondgespamd worden om zeker te weten dat iedereen het gezien heeft).

Ja, dat dacht ik dus ook haha. En daar had ik ook al naar gezocht voor ik zei dat ik het ging opvragen. Ik heb gekeken bij de HU; daar wordt er met geen woord over gerept in de OER en ook niet in het "Addendum COVID-maatregelen", behalve dan dat ze mogen afwijken van "hetgeen in de studiegids staat, met voorafgaande mededeling". M.a.w.: als ze de toetsvorm veranderen, dan krijg je daar bericht over; en daar zullen dan mogelijk wat regels staan over Proctorio enzo. Heb nog niet bij de uni gekeken, zal ik zo eens doen als ik er tijd voor heb.

Nou weet ik niet hoe goed jouw juridische kennis is, maar bij de UvA hebben ze er letterlijk een rechtszaak over verloren, dus dan kan het geen al te erge gatenkaas zijn.

Dat was een toch iets andere zaak. Men probeerde de software geheel te verbieden, dat is niet gelukt. Dat betekent niet dat er automatisch sprake van fraude is bij gebruik in een VM hehe.

Voor de duidelijkheid: dat was mijn aanname. Ik ben niet op de hoogte van mensen die hier daadwerkelijk op zijn gepakt, dus ik kan niet garanderen dat het zo uit zou pakken. Maar los van de vraag of ze het onder "fraude" of onder een ander kopje zouden hangen, als je betrapt wordt, dan heeft je opleiding geen andere keuze dan proberen je (op de een of andere manier) te straffen. Als ze niets doen dan staan ze het in feite toe en gebruikt de volgende tentamenperiode iedereen die truc, waarmee het gebruik van Proctorio feitelijk is afgeschaft.

Oh begrijp me niet verkeerd, ze kunnen er zeker wel consequenties aan verbinden zoals het ongeldig verklaren van de resultaten, ALS ze van te voren hebben gezegd dat het op manier X en Y moet tenminste. Niets doen is idd geen optie. Dan zul je het opnieuw moeten doen en dat kan studievertraging opleveren enzo. Waar het mij om ging, was puur dat het me heel bizar en stug lijkt dat een examencommissie meteen kan zeggen dat je een fraudeur bent die gefraudeerd heeft, puur omdat je software in een VM hebt gezet. De actie van het in een VM zetten, wil niet zeggen dat je vals hebt gespeeld. Het wil enkel zeggen dat de software mogelijk niet helemaal waterdicht kan controleren of je cheat of niet.

[Reactie gewijzigd door WhatsappHack op 15 december 2021 02:24]

hoe wou jij het noemen?

Een gangbare veiligheidsmaatregel.

Oh wauw @robvanwijk, ik had niet door hoe extreem ingrijpend ze verwachten dat je dingen doet, je moet ook nog eens hun materiaal installeren op meerdere van je apparaten en je thuissituatie laten filmen... Terwijl dit soort tentamens vaak niet eens een goede manier zijn om te kijken of iemand het benodigde niveau heeft bereikt.

Ik vind dat het wel vrij ver gaat zeg, wat erg. Wel gek ook dat een virtual machine gelijk wordt gesteld aan fraude? Google chrome laptops zijn standaard virtual machines bijvoorbeeld, en er zijn legio valide toepassingen.
Bijvoorbeeld die van een idiote school die je privacy wil schenden, en je wilt meedoen, maar je hardware niet blootstellen aan een of andere derde die je niet vertrouwd...

Inhoudelijk lijkt het mij nog steeds vrij ingewikkeld om te detecteren of je op een virtual machine zit, danwel andere manieren om te spieken te implementeren aangezien de hardware niet onder jouw controle is.

Ik zou inderdaad geen fan zijn van zoiets en de instelling vragen mij te examineren in een kamer op de faculteit o.i.d., ik hoef geen willekeurige vreemden en hun kennissen en vrienden achter mijn voordeur [en zeker niet op mijn vertrouwde systemen].

Edit: Software kan nooit waterdicht controleren dat je niet hebt valsgespeeld, daarmee zou een tentamen nooit geldig zijn.

[Reactie gewijzigd door Siaon op 16 december 2021 14:01]

Ja, als je daar naar vraagt

Ik blijf dit een bijzonder fenomeen vinden, die controledrang. We hebben ook veel verplicht onderwijs om onze registratie te behouden. We zijn nog nooit gecontroleerd. Je mag toch ook verwachten dat volwassenen een eigen verantwoordelijkheid hebben.

Ik ook. Mijn vrouw werkt op een hogeschool waar ze deze tool hebben moeten gebruiken. De beelden (de signalen) zijn door een onafhankelijke partij beoordeeld, en er zijn toch serieus wat studenten op de vingers getikt.

Dus hoe graag ze dat spul zien verdwijnen, want voor niemand leuk, kan je nog steeds niet uitgaan van volledige integriteit.

De beelden (de signalen) zijn door een onafhankelijke partij beoordeeld, en er zijn toch serieus wat studenten op de vingers getikt.

Voor spieken of voor het niet volgen van (veel te strenge) regels die spieken onmogelijk moeten maken? Ik vind het een wereld van verschil of iemand op zijn vingers wordt getikt omdat ie net niet zijn hele kamer liet zien aan het begin van het tentamen of dat de controleur een spiekbriefje zag liggen.

Bovendien is die "onafhankelijke" partij alleen onafhankelijk in de zin dat het ze niet uitmaakt of je je tentamen haalt of niet. Ze zijn absoluut niet onafhankelijk in de zin dat ze geen belang hebben bij het beoordelen van de gegevens. Zeg nou zelf, als de universiteit aan het eind van de tentamenperiode een mailtje krijgt "Goed nieuws, niemand heeft gefraudeerd!" worden ze bij de volgende tentamenperiode dan weer ingeschakeld? Natuurlijk schiet niemand iets op met een waslijst aan overduidelijke false-positives, maar ze moeten wel een flink aantal mensen betrappen op mogelijk spieken (die in een latere stap vrijgepleit kunnen worden) om te laten zien dat ze hun werk goed doen.

Heb dit ooit eens moeten gebruiken toen ik een microsoft certificaat voor C# ging halen. Man man man wat was dat een rampenplan. Ik moest mijn bureau laten zien met mijn webcam en toen zei men dat alle boekenplanken boven mijn bureau leeg moesten en de vensterbank ook. Echt veel te overdreven, alsof je uberhaupt de tijd had om even rustig en stiekem (terwijl een webcam op je gericht staat) een boek door te nemen tijdens de toets.

Hele ouderwetse manier van zaken wat mij betreft.

Ja, het gaat ver, vertrouwen is er in deze maatschappij en op school allang niet meer bij helaas. Veel te benauwd allemaal, het komt (vind ik) het doel van onderwijs niet echt ten goede. Als ik spiekend mijn tentamens haal, wat denk je dat ik dan presteer op de werkvloer, ik heb er alleen mijzelf mee.

De rechter oordeelde eerder dat de beveiliging gewaarborgd moet worden en leek te gebeuren. Het probleem daarbij is dat het tegenstrijdig lijkt bij het compleet gebrek aan inzicht in wat de leverancier daarvoor wel en niet doet en hoe dat effectief is. Ik zie dan niet hoe dat dan maar genegeerd kan worden of irrelevant is.

Zeker door dit beveiligings-lek niet, aangezien het juist toont dat de leverancier, de universiteit of de student niet zomaar meer controle heeft als een crimineel van dit beveiligings-lek gebruik maakt. Dus tenzij die controle bewezen kan worden, en dan ook nog blijkt hoe dat dan achteraf maar prima is bij de gevolgen die er al voor de student kunnen zijn, lijkt het eerder op groot gebrek aan beveiliging.

De universiteit verplicht iets, waar de leverancier financieel voordeel bij heeft en de student het privacy-nadeel.

[Reactie gewijzigd door kodak op 14 december 2021 19:30]

Ik ben ook met deze software geconfronteerd. Het kon nagenoeg alles van je PC uitlezen, en als je in de extensie-opties wilde kijken deed het gelijk alsof je aan het 'hacken' was, compleet met de dreiging dat er een foto van je gezicht (via je webcam) gemaakt is en naar je onderwijsinstelling is gestuurd. Ik probeerde alleen maar die spyware weer zo snel mogelijk uit te schakelen.

Heb er overigens nooit iets van gehoord.

Waarom niet gewoon standaard mondelinge examens.

Met 600 studenten in mijn vak? Nee dank je. Dat geldt trouwens ook voor alle opties mbt essays, iedereen andere vragen/casussen geven etc.
Ik gebruik geen procotorio, maar bedenk wel dat we als docenten vaak weinig tijd krijgen om tentamens na te kijken. Zeker geen half uur per student (en dat is al krap voor een mondeling of essay/ open tentamen beoordeling). En daarbij willen studenten ook nog hun uitslag liever gisteren dan vandaag hebben.