Abittiin on ollut mahdollista tuoda pieniä määriä tekstiaineistoa hyödyntäen ohjelmoitavia pelihiiriä tai ‑näppäimistöjä. Näissä laitteissa on pieni käyttäjän ohjelmoitava muisti, joka on tarkoitettu näppäinyhdistelmien tallentamiseen.
Tällaisten laitteiden käyttö on ylioppilaskokeessa kielletty. Ylioppilastutkintolautakunnan yleiset määräykset ja ohjeet toteaa kappaleessa 1.4.1: ”Halutessaan kokelas voi käyttää päätelaitteessaan lisälaitteita: näppäimistöä, langallista hiirtä tai muuta vastaavaa osoitintyökalua. — Lisälaitteet eivät saa sisältää kokelaan koesuoritusta edistäviä aineistoja tai toimintoja (esim. oikoluku).”
Hyökkäysmenetelmä on ollut ylioppilastutkintolautakunnan tiedossa. Ylioppilaskokeissa käytettävässä koejärjestelmässä hyödynnetään erilaisia teknisiä valvontakeinoja, jotka ovat huomattavasti Abitti-ympäristöä tehokkaampia. Valvojien tulee ilmoittaa kaikista epäilyistä lautakuntaan jo kokeen ollessa käynnissä.
Abitti-kokeessa valvojat voivat seurata opiskelijoiden käyttämiä lisälaitteita. Pelihiiret ja ‑näppäimistöt poikkeavat yleensä ulkomuodoltaan tavallisista laitteista.
Tietoturva-asiantuntijoidemme laatima tekninen kuvaus haavoittuvuudesta löytyy tämän tiedotteen lopusta. Kiitokset Eetu Ketoselle, joka kuvasi meille ensimmäisenä toimivan hyväksikäyttötavan!
YTL on sitoutunut alan yleisten käytäntöjen mukaisesti ilmoittamaan järjestelmiensä kohdistuvista tietoturvailmoituksista kolmen kuukauden sisällä.
Pelihiiren makrot sähköisessä kokeessa
Sähköisessä koejärjestelmässä on haavoittuvuus, jota hyödyntämällä hyökkääjä voi syöttää ohjelmoitavan pelihiiren avulla ennalta tallentamaansa tekstiä koetilaisuudessa. Hyökkääjä voi tallentaa pelihiireensä makroja, jotka toistavat automaattisesti sarjan hiiren painikkeiden tapahtumia ja/tai näppäinkomentoja yhdellä näppäimen painalluksella. Näillä makroilla hyökkääjä voi toistaa useiden näppäinten peräkkäisiä sarjoja, esimerkiksi ennen koetilaisuutta tallentamaansa tekstin kirjoitusta.
Lisäämällä sähköisen koejärjestelmän teknistä valvontaa etukäteen tallennettujen näppäinpainallusten toistaminen voidaan tunnistaa koetilaisuudessa tai sen jälkeen. Koetilaisuudessa hyökkääjä voi toistaa tallentamiaan makroja, mutta järjestelmä havaitsee tämän tavallisesta koekäyttäytymisestä poikkeavan toiminnan hyvin todennäköisesti ja hyökkääjä jää kiinni.
Haavoittuvuuden hyväksikäyttö edellyttää jatkossa sekä huolimattomuutta kokeen järjestävältä taholta, että koejärjestelmän valvontatyökalujen pettämistä. Koska kokelaan kiinnijäämisen riski on tämän kaltaisen vilpin yrityksessä korkea, havaitun haavoittuvuuden väärinkäytön todennäköisyys on tulevaisuuden koetilanteissa pieni.