Hackabi 4-programmet förbättrade datasäkerheten i Abitti 2
I det buggbelöningsprogram som inleddes i april var deltagarnas uppgift att hitta sårbarheter i Abitti 2-servern och examinandapplikationerna som skulle kunna utnyttjas för svikligt förfarande. De iakttagelser som gjordes under programmet har varit till stor hjälp vid åtgärdandet av brister i datasäkerheten. Programmet avslutas i slutet av oktober, men sårbarheter kan rapporteras till nämnden även efter det.
Programmets främsta syfte var att åtgärda brister i datasäkerheten som skulle kunna utnyttjas för svikligt förfarande under prov. Ett annat, mer praktiskt mål var att uppmuntra välvilliga hackare att rapportera sina upptäckter till systemutvecklarna så att observationerna inte används för svikligt förfarande. Båda målen uppnåddes.
”Antalet rapporter och särskilt deras kvalitet överraskade programmets jury. Många av upptäckterna visade sig vara mycket värdefulla för att förbättra provsystemets datasäkerhet. Jag vill tacka alla som deltog i programmet för det viktiga arbetet med att upptäcka sårbarheter”, säger Matti Lattu, specialsakkunnig vid Studentexamensnämnden och produktägare för Abitti.
Till programmets rapporteringskanal inkom cirka 70 anmälningar om olika sårbarheter. För alla observationer som uppfyllde programmets regler betalas en belöning. De sista belöningarna betalas ut kring månadsskiftet oktober–november efter att rapporterna har bedömts. En del av de rapporterade bristerna i datasäkerheten uppfyllde inte programmets kriterier, och i vissa fall handlade det om samma eller liknande upptäckter som hade rapporterats redan tidigare. I det senare fallet betalades belöningen enligt programmets regler till den som först rapporterade sårbarheten. Sammanlagt får cirka 20 deltagare en belöning.
Buggbelöningsprogrammethar kompletterat nämndens datasäkerhetsarbete och är en normal del av systemets utveckling. Enligt branschens praxis har nämnden förbundit sig att offentliggöra upptäckta sårbarheter inom tre månader efter att de har rapporterats till nämnden. En del av observationerna publicerades under sommaren och resten kommer att publiceras inom de närmaste dagarna.
Hackabi 4-programmet ordnades i samarbete med datasäkerhetsbolaget Mint Security Oy, som har arrangerat många buggbelöningsevenemang.
Även om programmet avslutas kan brister i datasäkerheten fortsättningsvis rapporteras till nämnden. Under slutet av året kommer nämnden att publicera information på Abitti.fi om hur datasäkerhetsbrister kan rapporteras.
Mer information
Nu letar vi efter sårbarheter i Abitti 2-applikationen – jakten på sårbarheter inleds i april (1.4.2026)
Programmets regler (hackabi.org)
Abittis datasäkerhetspolicy (på engelska) (Abitti.fi)