Spieken tijdens een online tentamen? Wetenschappers van de afdeling Cyber Security bewijzen dat het kan, zelfs als er van anti-fraudesoftware gebruik wordt gemaakt. Ze hackten de zogenoemde proctoring-software die de Radboud Universiteit op het oog heeft voor de laatste tentamens van dit collegejaar.

Wat doe je als studenten een tentamen vanuit huis moeten maken, maar de antwoorden simpel te googelen zijn? Om digitaal spieken te voorkomen, kunnen docenten proctoring-software gebruiken. Tijdens het tentamen worden studenten dan in de gaten gehouden via hun webcam en microfoon. Intussen worden andere processen die op de computer draaien gevolgd.

Een ‘laatste redmiddel’, noemde het college van bestuur deze oplossing vorige week tijdens de vergadering met de medezeggenschap. Maar door de software te gebruiken, zouden studenten mogelijk wel hun tentamens kunnen afleggen in de laatste tentamenweek van dit collegejaar. Op dit moment loopt een pilot die duidelijkheid moet verschaffen of proctoring haalbaar is en of de privacy van studenten voldoende gewaarborgd is. Het college van bestuur heeft het Amerikaanse bedrijf Proctorio op het oog als mogelijke leverancier van de software.

Veiligheid

Leden van de centrale medezeggenschap zijn kritisch. Promovenda en informaticus Anna Guinet vindt bijvoorbeeld dat Proctorio de privacy van studenten niet voldoende waarborgt.

Maar dat is niet haar enige zorg. Om haar standpunt kracht bij te zetten, nam Guinet contact op met Veelasha Moonsamy en Peter Schwabe, collega’s bij de Digital Security-groep. Die tonen aan dat proctoring niet alleen vragen oproept over privacy, maar ook over veiligheid. Want hoe zinvol is anti-fraudesoftware als studenten met een simpele truc tijdens hun tentamen tóch gewoon hun antwoorden op Wikipedia kunnen opzoeken?

‘Als het systeem zo gemakkelijk te hacken is, brengt dat de validiteit van tentamens in gevaar’

Als de proctoring-software goed werkt, zouden de surveillanten van het bedrijf Proctorio het moeten kunnen zien als studenten tijdens het beantwoorden van de vragen een pdf-bestand openen waar de antwoorden in staan. Of naar Wikipedia surfen.

Simpele truc

In een opgenomen video laten Moonsamy en Schwabe echter zien dat deze surveillance met een relatief simpele truc zien te omzeilen is. Ze maken het tentamen in een zogenoemde virtuele machine, een computerprogramma dat een andere computer nabootst. Met zo’n virtuele machine is het bijvoorbeeld mogelijk om Windows te draaien op een MacBook, of Apple-software te gebruiken op een Microsoft-computer. In een tweede video is te zien dat Proctorio niet merkt dat de informatici gebruikmaken van de virtuele machine – ze konden dus ongemerkt op internet rondneuzen en hadden net zo goed een opgeslagen pdf-bestand kunnen openen.

Volgens Anna Guinet is dit een truc die veel studenten kunnen toepassen. Student Computing Science Frank Gerlings, die eerder al een tentamen maakte met behulp van software van Proctorio, bevestigt dit. ‘Dit is heel simpel om te doen.’

Opgeteld bij de privacy die niet is gegarandeerd, vindt Guinet dat de universiteit moet afzien van het gebruik van de surveillancesoftware: ‘Als het systeem zo gemakkelijk te hacken is, brengt dat de validiteit van tentamens en diploma’s van deze universiteit in gevaar.’

Brief

Ook de Universitaire Studentenraad (USR) adviseert het college van bestuur af te zien van proctoring en ziet liever dat studenten via essay-opdrachten, mondelingen of andere tentamenvormen worden getoetst. ‘Alleen in het hoogst uitzonderlijke geval dat alternatieve toetsvormen niet geschikt zijn bevonden, kan proctoring worden overwogen’, schrijft de studentenraad in een brief die deze week is verstuurd naar het bestuur.

In dezelfde brief formuleert de raad negen voorwaarden waar in dat geval aan moet worden voldaan. Zo zouden docenten onder meer moeten onderbouwen waarom een alternatieve toetsvorm zoals een mondeling geen optie is, en moet die onderbouwing worden gecheckt door een onafhankelijke commissie. Ook moet de verwerking en opslag van persoonlijke gegevens voldoen aan de AVG, vinden de studenten.

‘Met proctoring dring je diep binnen in de levenssfeer van studenten’

Voorzitter Hans Kunstman van de USR vindt dat het college een goede afweging moet maken tussen het bestrijden van frauderisico’s aan de ene kant, en de inbreuk op de privacy van studenten aan de andere kant. ‘Wij zien het belang van het vermijden van studievertraging natuurlijk ook. Maar met proctoring dring je diep binnen in de levenssfeer van studenten. Het is maar de vraag of deze inbreuk op de privacy van studenten gerechtvaardigd is wanneer proctoring helemaal niet zo fraudebestendig blijkt te zijn.’

Medewerking

Universiteitswoordvoerder Martijn Gerritsen laat weten dat fraudegevoeligheid een van de aspecten is waar in de proctoring-pilot naar gekeken wordt. ‘De universiteit stond dan ook positief tegenover het initiatief van de docenten bij Cyber Security om onderzoek te doen en gaf toegang tot het systeem.’ Moonsamy en Schwabe hadden bij hun hack, aldus Gerritsen, dus de medewerking van het bestuur.

Volgens Gerritsen hoeft het geen probleem te zijn dat tentamendeelnemers via een virtuele machine antwoorden kunnen opzoeken. ‘Proctorio registreert het als een persoon de tentamenomgeving verlaat. Vergelijk het met een student die zonder verklaring het lokaal verlaat tijdens een tentamen op de campus. Als we dat zien kunnen we daar consequenties aan verbinden, zoals het ongeldig verklaren van het tentamen.’

Tegelijkertijd waarschuwen informatici Moonsamy en Schwabe in een e-mail naar hun faculteitsbestuur dat de hack die zij uitvoerden slechts ‘minimale’ inspanningen vereiste. Volgens Moonsaby en Schwabe hadden zij met een paar uur extra werk allerlei andere hacks kunnen verzinnen die de veiligheidsmaatregelen van Proctorio hadden kunnen omzeilen.

De pilot met Proctorio loopt op 22 mei af. Nog voor het einde van dezelfde maand wil het college van bestuur een definitief besluit nemen om wel of geen videosurveillance in te zetten tijdens de laatste tentamenweek van het collegejaar, in juni.

Update 30 april, 19.30 uur: de video’s die Veelasha Moonsamy en Peter Schwabe opnamen en publiceerden, zijn vandaag offline gehaald.