Cito hack: eindexamen informatie buitgemaakt

[Bor]

Na o.a. de berichten over beveiligingsissues bij de OV chipkaart (OV-site lekt Persoonlijke data 168.000 mensen) is nu een issue bij het CITO aan het licht gekomen. Anonieme leerlingen blijken volgens bronnen inzage te hebben gehad in delen van examens.

Het is vandaag de tweede dag van het eindexamen en er zijn enkele examens gelekt. Drie anonieme leerlingen claimen de site van het CITO gekraakt te hebben en beweren delen van examens te hebben gezien.

De leerlingen vertelden voorafgaand het examen dat er 46 vragen waren verdeeld over 5 opgaven. Dit bleek achteraf te kloppen. Ook hebben ze inzage in het havo-examen van Wiskunde van vanmiddag. CITO heeft inmiddels bevestigd dat het om de examens van dit jaar gaat.

De leerlingen hadden geen inzage in de antwoorden, maar wisten wel wat de vragen waren. De opgaven staan echter niet online, want de hack is, volgens de leerlingen, slechts een statement om de beveiliging op de website aan te scherpen.

"Op deze manier worden veel scholieren benadeeld. Het is erg jammer dat de website van het CITO te kraken valt en dat er scholieren zijn die dergelijke getallen naar buiten brengen," aldus een woordvoerder van het LAKS.

Wat zijn volgens jullie goede maatregelen?

[RobIII]

Bor de Wollef schreef op dinsdag 18 mei 2010 @ 20:26:

Wat zijn volgens jullie goede maatregelen?

Maatregelen tegen het gehacked worden of maatregelen als in straffen?

Maatregelen: de zooi niet online zetten (ook niet "online met het 'hidden' of 'offline' veldje aangevinkt") voordat de examens afgenomen zijn. Wat niet online staat kan ook niet gehacked worden. Hoe simpel kan het zijn?

offtopic:
Vanwaar de 2 medeauteurs?

[ Voor 12% gewijzigd door RobIII op 18-05-2010 22:13 ]

[RedHat]

Ach ik vind het wel goed dat ze zich iig gemeld hebben (Al dan niet anoniem). Dan kunnen ze er wat aan doen. Maar goed; wil je anoniem blijven en zeg je "Ik heb je gehackt" dan moet je ook met bewijs komen, anders gelooft niemand je.

Vind de berichtgeving te kort om te zeggen dat ze straf verdienen Het lijkt er zelfs op dat ze het netjes gedaan hebben.

Vanwaar de 2 medeauteurs?

Het is leuk om allemaal medeauteurs toe te voegen (Zoals Femme enzo). Zie dit wel vaker bij topics waarbij de mede auteur er helemaal niets mee te maken heeft. Daarom vind ik nog steeds dat een auteur een bericht moet krijgen en moet accepteren, je naam kan met iets verbonden worden zonder dat je het daar mee eens bent (En zonder dat je erachter hoeft te komen).

[ Voor 37% gewijzigd door RedHat op 18-05-2010 22:12 ]

[LuckY]

RobIII schreef op dinsdag 18 mei 2010 @ 22:06:
[...]

Maatregelen of straffen?

Maatregelen: de zooi niet online zetten (ook niet "online met het 'hidden' of 'offline' veldje aangevinkt") voordat de examens afgenomen zijn. Wat niet online staat kan ook niet gehacked worden. Hoe simpel kan het zijn?

offtopic:
Vanwaar de 2 medeauteurs?

Maar kom je dan niet met het probleem van een laatste test ?
Want dan heb je maar een kleine deadline om te testen of alles werkt.

Persoonlijk vind ik dat er soort beloning tegenover moet staan en geen waarschuwing... maar thats just me i guess

RobIII schreef op dinsdag 18 mei 2010 @ 22:06:
[...]

offtopic:
Vanwaar de 2 medeauteurs?

RedHat schreef op dinsdag 18 mei 2010 @ 22:10:

[...]

Het is leuk om allemaal medeauteurs toe te voegen (Zoals Femme enzo). Zie dit wel vaker bij topics waarbij de mede auteur er helemaal niets mee te maken heeft. Daarom vind ik nog steeds dat een auteur een bericht moet krijgen en moet accepteren, je naam kan met iets verbonden worden zonder dat je het daar mee eens bent (En zonder dat je erachter hoeft te komen).

iets kan ook doorgesproken zijn, bijvoorbeeld om de TS up-to-date te houden, zie het als een themagroepje (zie ook de andere thematopics )

[ Voor 37% gewijzigd door LuckY op 18-05-2010 22:14 ]

[RobIII]

LuckY schreef op dinsdag 18 mei 2010 @ 22:11:
[...]

Maar kom je dan niet met het probleem van een laatste test ?
Want dan heb je maar een kleine deadline om te testen of alles werkt.

Testen met een (representatieve) dummy? Denk ik nou zo moeilijk of...?

[CodeCaster]

Ik weet nou niet welk bericht ik moet geloven:

quote: http://www.gelderlander.n...xamens-Latijn-gehackt.ece

Ze hebben geen vragen en antwoorden gezien, aldus het Cito. Het Cito laat onderzoeken hoe de leerlingen op het besloten deel van de website zijn gekomen. Wellicht hebben ze de wachtwoorden van een docent afgekeken.

Ze hebben daardoor de blanco antwoordmodellen kunnen bekijken. "Hoeveel open en gesloten vragen bevatten de opgaven Hoeveel punten kun je per vraag scoren. Het zijn gegevens waar ze geen voordeel aan gehad hebben."

De scholieren hebben, volgens dezelfde site, zelf het bericht naar diverse nieuwssites gemaild. Het was, als het klopt dat ze de wachtwoorden hebben afgekeken, niet eens het in het nieuws komen waard. Als de scholieren het slordig hebben gedaan, bijvoorbeeld vanaf een thuis-ip dat nog nooit eerder is gebruikt om in te loggen, vallen ze toch wel door de mand. Laat Cito maar lekker hun logs nakijken en de scholen op de hoogte stellen.

Wat zijn volgens jullie goede maatregelen?

Geen heisa maken voor er meer bekend is, want dat laat alleen maar de fantasie de vrije loop.

[ Voor 7% gewijzigd door CodeCaster op 18-05-2010 22:20 ]

[Bor]

De beste maatregel is natuurlijk om dit soort zaken gewoon niet online te zetten echter nu de informatie reeds verkregen is: wat te doen als damage control? Zijn de examens nog geldig vraag ik mij af gezien voorkennis blijkbaar aangetoond kan worden.

RedHat schreef op dinsdag 18 mei 2010 @ 22:10:
Het is leuk om allemaal medeauteurs toe te voegen (Zoals Femme enzo).

offtopic:
Dat gaat natuurlijk in overleg. Zie bv ook de thema topics of het OV topic wat nu ook loopt.

[ Voor 3% gewijzigd door Bor op 18-05-2010 22:17 ]

[LuckY]

RobIII schreef op dinsdag 18 mei 2010 @ 22:13:
[...]

Testen met een (representatieve) dummy? Denk ik nou zo moeilijk of...?

Mwah, een andere kijk. Je zit wel met een situatie van als Murphey's Law toeslaat dat X duizend mensen geen examen kunnen doen.

Daar zag ik meer het risico in, ik neem aan dat er vooraf dingen als connectie testen gedaan worden op de scholen.

[WouterKvG]

Maar goed; wil je anoniem blijven en zeg je "Ik heb je gehackt" dan moet je ook met bewijs komen, anders gelooft niemand je.

Als je de tweede alinea leest blijkt volgens het bericht dat er wel degelijk bewijs is geleverd.

Ik vind niet dat je de leerlingen die de site hebben gekraakt moet straffen. Ze hebben immers Cito op de hoogte gesteld van het 'lek' zoals het echte hackers betaamt. Blijft alleen de vraag in hoeverre de examens nog geldig kunnen zijn.

[Bor]

Nou heb ik al tijden geleden mijn laatste examen afgelegd en wat ik mij dus afvraag is waarom de examens überhaupt via een met internet verbonden systeem op te vragen zijn. Worden alle eindexamens tegenwoordig online afgelegd?

[navlim]

Waarom zouden een X duizend mensen geen examen kunnen doen? De exames worden toch van tevoren gedrukt en naar de school toegezonden waar ze vervolgens de kluis in gaan?

Ik snap niet waarom die überhaupt online zouden moeten staan.

Op papier gaat het al jaren goed, why change a winning concept?

[ Voor 12% gewijzigd door navlim op 18-05-2010 22:22 ]

[CodeCaster]

Bor de Wollef schreef op dinsdag 18 mei 2010 @ 22:21:
waarom de examens überhaupt via een met internet verbonden systeem op te vragen zijn

navlim schreef op dinsdag 18 mei 2010 @ 22:21:
Ik snap niet waarom die überhaupt online zouden moeten staan.

Op papier gaat het al jaren goed, why change a winning concept?

Er stáán (noch stonden) waarschijnlijk ook helemaal geen examens online.

[ Voor 86% gewijzigd door CodeCaster op 18-05-2010 22:23 ]

[Bor]

navlim schreef op dinsdag 18 mei 2010 @ 22:21:
Ik snap niet waarom die überhaupt online zouden moeten staan.

Ik ook niet. Eerder werd het voorbeeld van afgekeken wachtwoorden van leraren genoemd. In mijn optiek zouden leraren van te voren ook geen toegang mogen krijgen gezien men dan voorkennis van de exacte examenvragen en inhoud kan verkrijgen.

[RedHat]

Als je de tweede alinea leest blijkt volgens het bericht dat er wel degelijk bewijs is geleverd.

Dat bedoel ik dus ook. Anders hadden ze niet kunnen weten wat de samenstelling was. Ik zeg alleen dat als je zegt dat je iemand gehackt hebt je informatie los moet laten anders gelooft niemand je.

[RobIII]

LuckY schreef op dinsdag 18 mei 2010 @ 22:16:
[...]

Mwah, een andere kijk. Je zit wel met een situatie van als Murphey's Law toeslaat dat X duizend mensen geen examen kunnen doen.

Ik heb nog in de oude papieren tijd examen gedaan; ik weet dus niet hoe het nu is. Maar ik neem toch aan dat mensen nog gewoon examen kunnen doen als ze niet (en al zeker niet met antwoord-en-al) online staan Waarom zou een examen online moeten staan?

[CodeCaster]

Bor de Wollef schreef op dinsdag 18 mei 2010 @ 22:23:
[...]


Ik ook niet. Eerder werd het voorbeeld van afgekeken wachtwoorden van leraren genoemd. In mijn optiek zouden leraren van te voren ook geen toegang mogen krijgen gezien men dan voorkennis van de exacte examenvragen en inhoud kan verkrijgen.

"Eerder" is zeven posts geleden (het is nou niet alsof dit topic al pagina's lang is, alsnog geen excuus om te posten zonder te lezen maar goed), en in diezelfde post staat dat de leerlingen antwoordmodellen hebben ingezien waarin enkel en alleen staat hoeveel punten er per vraag zijn te behalen.

[Mint]

Nouja, ik denk dat er in zo'n geval wel herexamen kan komen. Deze personen hebben inzage gehad in de opgaven, en blijkbaar bekeken (anders weten ze het aantal opgaven enzo niet). Aangezien niet te controleren valt of ze van tevoren deze vragen hebben beantwoord, lijkt het me niet onwaarschijnlijk dat er herexamen zal volgen.

Verder snap ik inderdaad niet waarom het CITO op deze manier handelt. Ik heb vorig jaar eindexamens gedaan, toen heeft het CITO placeholders bij de examen (+ antwoorden) online gezet. Dit wekte bij mij een beetje het gevoel alsof er een ander bestand genaamd WI_A12examen_antwoorden(1).pdf ergens online zou staan, waar de site linkt naar WI_A12examen_antwoorden.pdf. Het zal zo simpel niet zijn, de ICT'ers bij het CITO zijn ook niet dom. Maar er wordt zo ontzettend veel zorg besteed aan het correct verlopen van examens (enveloppen mogen pas om een bepaalde tijd geopend worden. Gebeurt dit eerder --> examen ongeldig). Waarom dan niet op ICT-gebied?

CodeCaster schreef op dinsdag 18 mei 2010 @ 22:26:
[...]

"Eerder" is zeven posts geleden (het is nou niet alsof dit topic al pagina's lang is, alsnog geen excuus om te posten zonder te lezen maar goed), en in diezelfde post staat dat de leerlingen antwoordmodellen hebben ingezien waarin enkel en alleen staat hoeveel punten er per vraag zijn te behalen.

Dit keer zijn het alleen antwoordmodellen met het aantal punten, misschien hadden ze ook wel volledige examens en antwoordmodellen gevonden?

[ Voor 22% gewijzigd door Mint op 18-05-2010 22:29 ]

[Ricvdp]

Het is nogsteeds papier alleen direct na afloop verschijnen de antwoorden online, kun je zien wat je ervan hebt gebakken.

[navlim]

CodeCaster schreef op dinsdag 18 mei 2010 @ 22:26:
[...]

"Eerder" is zeven posts geleden (het is nou niet alsof dit topic al pagina's lang is, alsnog geen excuus om te posten zonder te lezen maar goed), en in diezelfde post staat dat de leerlingen antwoordmodellen hebben ingezien waarin enkel en alleen staat hoeveel punten er per vraag zijn te behalen.

Ok, dus ze hebben niet de antwoorden gezien volgens CITO, maar dan blijft de vraag waarom moeten die dingen online staan? Dat kan toch ook een paar uur na het examen online komen.

[LuckY]

RobIII schreef op dinsdag 18 mei 2010 @ 22:24:
[...]

Ik heb nog in de oude papieren tijd examen gedaan; ik weet dus niet hoe het nu is. Maar ik neem toch aan dat mensen nog gewoon examen kunnen doen als ze niet (en al zeker niet met antwoord-en-al) online staan Waarom zou een examen online moeten staan?

Tja, zover ik weet zijn er digitale cito toetsen. Ik heb een User ge-dmed om hier meer info te komen geven omdat het voor mij ook onbekend is. Zelf deed ik ook papieren examens.
Ik denk dat ze iets online willen doen om mogelijk sneller antwoorden te geven, niet meer de (2?) controleurs het manueel laten nakijken? Ik zou het ook niet weten, maar alles moet modern en web 2.0 toch

Ricvdp schreef op dinsdag 18 mei 2010 @ 22:28:
Het is nogsteeds papier alleen direct na afloop verschijnen de antwoorden online, kun je zien wat je ervan hebt gebakken.

Stuk duidelijker nu maar hopen dat die niet naar de lokale tijd kijkt maar het manueel online wordt gezet.

[CodeCaster]

adyta schreef op dinsdag 18 mei 2010 @ 22:28:
Dit keer zijn het alleen antwoordmodellen met het aantal punten, misschien hadden ze ook wel volledige examens en antwoordmodellen gevonden?

Een paar maanden geleden konden mensen die bij de politie de foto's van hun snelheidsovertredingen wilden inzien door het veranderen van de URL ook de foto's van anderen zien. Misschien hebben ze ook wel het strafblad van anderen kunnen inzien? Dat is toch geen logische gedachtengang...

navlim schreef op dinsdag 18 mei 2010 @ 22:29:
Ok, dus ze hebben niet de antwoorden gezien volgens CITO, maar dan blijft de vraag waarom moeten die dingen online staan? Dat kan toch ook een paar uur na het examen online komen.

Omdat een docent een paar honderd examens na moet kijken binnen vrij korte tijd, omdat de cijfers en gemiddelden zo snel mogelijk bekend moeten zijn?

Begrijp me niet verkeerd - de scholieren hadden natuurlijk het recht niet om dit te doen, of het nu een hack of het ontfutselen van een wachtwoord was, en ongeacht de gegevens die openbaar zijn gekomen, om daar nu meteen een schandpaaltopic van te maken met als enige bron de FOK!-frontpage (andere sites reppen namelijk totaal niet over het inzichtelijk zijn van de examenvragen)...

[Bor]

CodeCaster schreef op dinsdag 18 mei 2010 @ 22:26:
[...]

"Eerder" is zeven posts geleden (het is nou niet alsof dit topic al pagina's lang is, alsnog geen excuus om te posten zonder te lezen maar goed), en in diezelfde post staat dat de leerlingen antwoordmodellen hebben ingezien waarin enkel en alleen staat hoeveel punten er per vraag zijn te behalen.

Klopt echter spreekt de eerste post (nieuwsitem op Fok) dat tegen zoals je ook "eerder" kon lezen

De leerlingen hadden geen inzage in de antwoorden, maar wisten wel wat de vragen waren.

Vergeet niet dat het antwoord van Cito ook een vorm van damage control kan zijn. De meeste bedrijven gaan er doorgaans niet prat op dat vertrouwelijke gegevens zijn gelekt.

[ Voor 12% gewijzigd door Bor op 18-05-2010 22:48 ]

[Duinkonijn]

Zo ver ik weet heeft het geen zin om die spullen online aan te bieden.

ook digitale examens vinden hun weg niet via internet.

Over de werking e.d. van programma`s e.d. kan je dit gewoon op cito vinden.

_{zonder inlog / hack}

[ Voor 31% gewijzigd door Duinkonijn op 19-05-2010 09:34 ]

[Vaan Banaan]

Dat van die antwoordkaarten heb ik ook al gelezen, dat is een google search op pfd bestanden op www2.cito.nl
http://www.google.nl/sear...w2.cito.nl+filetype%3Apdf
Het zou me dan ook niks verbazen als je met meer peuren ook bij de examens zelf kan komen. Het lijkt me dan ook meer waarschijnlijk dat de site het besloten deel niet genoeg heeft afgeschermd (voor een webcrawler), dan dat er een wachtwoord is gebruikt.

[dcm360]

Probeer maar, alle links staan al op de site, je krijgt alleen een 404.pdf terug als je een bestand probeert te downloaden dat pas later gepubliceerd mag worden

[CodeCaster]

Vaan Banaan schreef op woensdag 19 mei 2010 @ 17:43:
Dat van die antwoordkaarten heb ik ook al gelezen, dat is een google search op pfd bestanden op www2.cito.nl
http://www.google.nl/sear...w2.cito.nl+filetype%3Apdf
Het zou me dan ook niks verbazen als je met meer peuren ook bij de examens zelf kan komen. Het lijkt me dan ook meer waarschijnlijk dat de site het besloten deel niet genoeg heeft afgeschermd (voor een webcrawler), dan dat er een wachtwoord is gebruikt.

Wat is dat nou voor logica?

Ik kan wel bij dit topic, maar een ID van één hoger blijft ontoegankelijk. Is de beveiliging van GoT dan ook ruk?

[i7x]

"...en dat er scholieren zijn die dergelijke getallen naar buiten brengen,"

Wat een onzin. Wees blij DAT ze het naar buiten brengen in plaats van de informatie openbaar te maken en zo het hele examen te ruineren.

De Cito zit hier fout, niet deze hackers. Ok, juridisch gezien misschien ook wel maar ik neem aan dat de beveiliging niet heel veel soeps is geweest. Ik bedoel, wat deden die bestanden al op de servers voordat de examens gegeven waren? Dan zou het slimmer zijn de Cito hier op aan te spreken en te voorkomen dat dit opnieuw gebeurt.

[Lex2]

i7x schreef op donderdag 20 mei 2010 @ 13:23:
[...]

De Cito zit hier fout, niet deze hackers. Ok, juridisch gezien misschien ook wel maar ik neem aan dat de beveiliging niet heel veel soeps is geweest. Ik bedoel, wat deden die bestanden al op de servers voordat de examens gegeven waren? Dan zou het slimmer zijn de Cito hier op aan te spreken en te voorkomen dat dit opnieuw gebeurt.

Eigenlijk is het een fout van beide partijen... Om dit in de toekomst te voorkomen zijn er twee mogelijkheden: óf na afloop van de examens de antwoorden publiceren; of helemaal niet publiceren (en dan op papier meegeven misschien?)

[ Voor 18% gewijzigd door Lex2 op 21-05-2010 11:32 ]

[CodeCaster]

Om even alle verdere bron tot speculatie weg te nemen:

quote: http://cito.nl/over_cito/...website_cito_gekraakt.htm

Website Cito gekraakt?

Diverse media hebben op 18 mei een mail ontvangen van leerlingen die menen bruikbare informatie over de examens te hebben gevonden via de beveiligde website van Cito. Het gaat om informatie in het programma WOLF, waarvoor iedere school een eigen wachtwoord heeft dat zij schriftelijk van ons hebben ontvangen. Met dit wachtwoord kunnen scholen diverse documenten downloaden. In hun mail zeggen de leerlingen dat het wachtwoord makkelijk te kraken was. Deze drie leerlingen hebben hierdoor toegang gekregen tot informatie waarmee zij denken voordeel te hebben bij het examen. Het gaat hier echter alleen om blanco antwoordmodellen. Er is te zien hoe de verdeling tussen de open en de gesloten opgaven is en hoeveel punten er per vraag te verdienen zijn. Over de inhoud van de opgaven of de antwoorden staat er niets, dit is bij de leerlingen dus niet bekend.
Er staan nooit examenopgaven en antwoorden op webservers van Cito voor de examens afgelopen zijn. Cito publiceert na elk examen de opgaven en correctievoorschriften op de website, volgens onderstaand schema:

* vmbo ochtendzittingen: 11.00 uur
* vmbo middagzittingen: 15.30 uur
* havo en vwo ochtendzittingen: 12.00 uur
* havo en vwo middagzittingen: 16.30 uur

Cito betreurt dat deze commotie in examentijd ontstaat, maar feitelijk is er niet veel aan de hand. Leerlingen hebben geen voordeel met deze informatie. Scholieren hoeven niet bang te zijn dat ze examens van 18 mei opnieuw moeten maken.

WOLF

Via de website van Cito wordt het programma WOLF aangeboden. Het programma is door alle scholen vrij te downloaden. WOLF is een hulpmiddel voor correctie en data-uitwisseling. Elk jaar sturen examinatoren met WOLF de scores/antwoorden van de zogenoemde versnelde correctie via het internet naar Cito. Cito analyseert deze gegevens per examen. Vervolgens gebruikt het College voor Examens (CvE) de analyses bij het vaststellen van de definitieve normen. Scholen kunnen ook een groepsrapportage opvragen. In de groepsrapportage worden de resultaten van de ingezonden groep vergeleken met die van een landelijke steekproef.
Examinatoren selecteren in het programma WOLF het examen waarvoor zij gegevens willen invoeren. Daarna voeren zij de scores/antwoorden van de leerlingen in. Vervolgens versturen ze vanuit WOLF deze gegevens via een internetverbinding naar Cito. Daarom staan de blanco antwoordmodellen in WOLF.

Storm in een glas water dus.

Lex2 schreef op vrijdag 21 mei 2010 @ 11:28:
Eigenlijk is het een fout van beide partijen... Om dit in de toekomst te voorkomen zijn er twee mogelijkheden: óf na afloop van de examens de antwoorden publiceren; of helemaal niet publiceren (en dan op papier meegeven misschien?)

Er wordt dus pas na de examens gepubliceerd.

[ Voor 6% gewijzigd door CodeCaster op 21-05-2010 11:43 ]

[Lex2]

@CodeCaster: Ik las het inderdaad, gelukkig dat het maar om blanco antwoordmodellen ging. Desalniettemin blijken de wachtwoorden van het programma Wolf eenvoudig te kraken. Dat lijkt mij - ondanks dat het gelukkig gaat om blanco antwoordmodellen, niet handig...

[CodeCaster]

Zonder dat je weet waar dat wachtwoord vandaan komt kun je daar geen uitspraken over doen. Wellicht vinden de scholieren al dat ze het "gekraakt" hebben als ze het uit een mailbox van een docent hebben gevist die even niet bij zijn computer was, of de docent had het omdat hij het telkens vergat veranderd in "Achternaam01".

Hierover kun je wel blijven gissen en speculeren, er is in ieder geval in mijn ogen niks boeiends gebeurd.

[Lex2]

@CodeCaster: Daar heb je inderdaad een punt. Het zijn en blijven natuurlijk maar middelbare scholieren...