Abitti ja ylioppilaskoe
Ylioppilastutkintolautakunta kehittää Abitti-koejärjestelmää, jota käytetään ylioppilaskokeissa ja lukioiden harjoituskokeissa. Koetilanteessa kokelas saapuu koetilaan, johon on kaapelein tai langattomasti rakennettu suljettu paikallisverkko. Paikallisverkossa on kaksi tai useampia Abitti 2 -palvelimia.
Kokelaalla on oltava joko koulutuksenjärjestäjän tai kokelaan itsensä omistama tietokone, jossa on lautakunnan määräysten mukainen käyttöjärjestelmä.
Ennen kokeen alkua kokelas käynnistää ennalta tietokoneeseen asentamansa tai USB-muistitikulle kirjoittamansa kokelassovelluksen ja liittää koneensa paikallisverkkoon, jota kutsutaan tässä yhteydessä tutkintoverkoksi.
Kokelaan koeympäristön tietoturvan tavoite on estää kokelasta käyttämästä tietokonetta vilpillisesti. Tietoturva perustuu koeympäristön estoista ja teknisestä valvonnasta, jonka keräämät tiedot analysoidaan kokeen jälkeen.
Mitä etsimme
Abitti on Ylioppilastutkintolautakunnan kehittämä koejärjestelmä. Uhkamallimme on erilainen kuin tyypillisissä tietoturvaohjelmissa: hyökkääjä on tietokoneen käyttäjä (opiskelija tai valvoja), joka yrittää huijata koetta käyttämänsä tietokoneessa ajettavan koejärjestelmän sisältä.
Haluamme tietää, miten ihmiset huijaavat kokeissa – ja miten heidät saadaan kiinni. Emme ole kiinnostuneita yleisistä tietoturvalöydöksistä. Ei skannerien tulosteita, ei CVE‑listoja, ei puuttuvia otsakkeita, eikä geneerisiä käyttöjärjestelmähaavoittuvuuksia.
Kaikkien raportoitavien (ja mahdollisesti palkittavien) löydösten on oltava hyödynnettävissä tavalla, joka lasketaan huijaukseksi kokeessa. Jos löydös ei auta hyökkääjää itseään tai muuta kokelasta läpäisemään ylioppilaskoetta, emme ole kiinnostuneita raportista.
Tässä bug bounty ‑ohjelmassa ei ole lohdutuspalkintoja.
Ohjelmaan kuuluvat uhkakategoriat
Henkilöllisyyden/läsnäolon kiertäminen, deepfake‑videot, sijaiskokelaat, koesuoritusmahdollisuuden luovutus kokelaalta toiselle henkilöllisyyden tarkastamisen jälkeen
| kategoria | esimerkkejä |
|---|---|
| AI‑avusteinen huijaaminen | Piilotettu LLM‑pääsy, näytönjako etäoperaattoreille, kuvantunnistus kysymyksistä |
| Luvattoman materiaalin käyttö | Kokelaan tietokoneella tai sen ulkopuolella olevan materiaalin käyttö kokeen aikana |
| Vastausten jakaminen | Salattu viestintä kokelaiden välillä, vastaustietokannat, “dead drop” ‑piilopaikat |
| Teknisen valvonnan kiertäminen | Teknisen valvonnan harhauttaminen, vilpillisen toiminnan peittely siten, että valvonnalle ei kerry todistusaineistoa |
| Valvojien avustamat tavat | Valvojien mahdollisuus avustaa vilpillistä kokelasta, aukot lokitiedoissa |
| Kokelaan salakuuntelu | Toisten kokelaiden näyttöjen tarkkailu tai sessioiden sieppaus |
| Toisten kokelaiden häirintä | Väärien hälytysten aiheuttaminen toisille kokelaille, mielivaltaisen koodin suorittaminen toisen kokelaan tietokoneella |
| Kokelaan koneen hyökkäyspinta-ala | Kokelaan tietokone on aiempaa alttiimpi hyökkäykselle kokelassovelluksen asentamisen jälkeen |
Valvonta kokeen aikana
Tuotantoympäristössä pyörii valvontaohjelmisto, jota kutsutaan tekniseksi valvonnaksi. Sen tarkkoja ominaisuuksia, havaintotapoja tai kyvykkyyksiä ei julkaista osana bug bounty ‑ohjelmaa. Voit kuitenkin olettaa, että ohjelmisto kykenee ainakin seuraaviin toimenpiteisiin:
- Virtualisoitujen ympäristöjen tunnistus
- Käynnissä olevien prosessien ja niihin liittyvien tiedostojen kerääminen
- Näppäinpainallusten tallennus
- Leikepöydän sisällön ja toiminnan kerääminen
- Käyttäjän vaihtamisen havaitseminen
- Kuuntelevien ja muodostettujen verkkoyhteyksien seuranta
Kaksoistoimitusvaatimus
Jokaisessa palkittavassa ilmoituksessa on oltava molemmat seuraavista:
- Proof of Concept – Toimiva demonstraatio, toistovaiheet ja realistinen toteutettavuusarvio
- Havaitsemismenetelmä – Menetelmä hyökkäyksen havaitsemiseen teknisen valvonnan avulla, esim. ohjelmallisesti havaittavia merkkejä hyökkäyksestä, väärien positiivisten analyysi ja integraatiosuositukset valvontaohjelmistolle
Ohjelman tavoite on teknisen valvontakyvyn parantaminen.
Ohjeet
Osallistuaksesi sinun on rekisteröitävä palvelimesi pyytämällä asennuskoodi. Saat asennuskoodin sähköpostitse osoitteesta abitti@ylioppilastutkinto.fi. Voit käyttää asennuskoodin pyytämiseen väliaikaista sähköpostiosoitetta. Huomaathan, että palvelu toimii vain virka‑aikana ja koodien toimittaminen on manuaalinen prosessi.
Ohjeet koetilan palvelimen ja kokelassovelluksen/kokelastikun asentamiseen:
- Suljetun tutkintoverkon palvelin
- Kokelassovellus (Windows 11)
- Kokelastikku (käynnistettävä levynkuva)
Voidaksesi järjestää kokeen tarvitset myös kokeen:
Rajaukset – ei kuulu ohjelmaan
- Automaattityökalujen tai skannereiden raportoimat haavoittuvuudet
- CVE:t
- Puuttuvat suojausotsakkeet (security headers)
- Palvelunestohyökkäykset (DoS)
- YTL‑henkilöstön sosiaalinen manipulointi
- Mikä tahansa YTL:n tuotantoinfrastruktuuri (esim. FQDN/sertifikaattien myöntöpalvelu – käytä vain omaa testiympäristöäsi)
- Testit lukioiden järjestämissä harjoituskokeissa tai ylioppilaskokeissa
- Pelkkä käyttäjien luetteleminen ilman vaikutusta
- Clickjacking ilman selkeää tietoturva-/tietosuojariskiä
- Ohjelmistoversioiden paljastaminen
- Rikkinäiset linkit kolmannen osapuolen sivustoille
- Self‑XSS tai XSS, joka vaikuttaa vain vanhentuneisiin selaimiin
- “Self‑anything” – löydökset, jotka vahingoittavat vain kokelasta tai valvojaa itseään
- Sisällön väärentäminen / tekstin injektointi, jota ei voi käyttää huijaustarkoituksiin
Säännöt
- Testaa vain omassa laboratorioympäristössäsi ohjeiden mukaisesti
- Käytä joko Windows 11 -kokelassovellusta tai kokelastikkua
- Älä koskaan häiritse Ylioppilastutkintolautakunnan tai lukion järjestämiä kokeita tai käytä näissä kokeissa syntyvää dataa
- Älä julkaise löydöksiä ilman kirjallista lupaa
Kelpoisuus
Osallistuja ei saa olla YTL:n työntekijä tai alihankkija. Osallistujan on oltava yleisesti verovelvollinen Suomessa.
Palkkiot
Ohjelmassa maksettavien palkkioiden suuruus vaihtelee sadasta 2500 euroon. Alla lyhyet luonnehdinnat, joita käytetään palkkioiden suuruutta määriteltäessä (pienimmästä suurimpaan).
- Kokelas saa itselleen etua oman kokeensa suorittamisessa.
- Pieni joukko kokelaita saa etua kokeensa suorittamisessa.
- Lukion koetapahtuma estyy tai vaarantuu.
- Suuremman kuin yhden lukion koetapahtuma estyy tai vaarantuu.
Poikkeuksellisen hyvät havaitsemismetodologiat kasvattavat palkkiota. Puutteelliset tai heikot havaitsemisehdotukset pienentävät sitä.
Vastaustavoitteet
- Ensivastaus: 7 arkipäivää
- Triage: 14 arkipäivää
- Palkkiopäätös: kuukausittainen sykli
Huomaathan, että nämä aikataulut voivat venyä kesä–elokuun lomakaudella.