在线测试安全措施

Question

我正在为客户自行开展在线重要测试的客户开发功能。考试很困难，用户会很积极地做好考试（考虑SAT或GRE等），所以也有很高的欺骗动机。显然有第三方服务，其中人通过网络摄像头虚拟监控考生，但他们真的很贵，我们没有足够的预算。我们仍然需要尽可能让用户对系统进行游戏。我们怀疑他们可能会尝试的一些事情是：

• 让别人为他们参加测试（一个捏手）。

• 多次服用试验用不同的轮廓练习 并获得不公平的优势。

• 与朋友一起或与朋友 联系测试，告诉他们答案。

问题顺序会改变，以及答案的顺序。测试将会定时，并且是一种“开放式书本”格式，所以我们并不真的担心用户在网上查看内容，但我们不能让他们分享他们的屏幕并让其他人协助他们。 因此，在这一点上主要关注的是确保用户实际上是谁，他们说他们是（而不是其他人）。

这里有几个我们正在考虑的安全措施：

• 要求用户的设备有一个摄像头，我们将激活和测试过程中，可以记录/拍摄用户（用当然用户的同意）。

• 要求用户验证的任意银行存款量（大概通过PayPal）。没有什么可以阻止他们开放多个银行账户，但至少这是一个很大的麻烦。

• 真正可怕的使用方面，如果用户作弊被抓威胁采取法律行动。

问题：是否有我们可以/应该采取以确保任何其他措施我们的测试是安全的，结果是可靠的？

澄清：我们认识到，只要有足够的资源和决心，任何安全系统最终都可能遭到殴打。这个问题的目的不是为了找到一个神奇无与伦比的解决方案，而是要想方设法提高赌注足以使它不会是值得的最用户作弊。本着这种精神，我更喜欢专注于可做什么，而不是什么不能答案。

Answer 1

正如你知道有作弊的许多方面。你的目标是尽可能限制作弊的可能性。 Cheating in online courses一直是一个热门话题。

• 一个代打：

这种类型的攻击可以进行多种方式。即使你有一个看着这个人的凸轮，测试者看到的视频也可以在另一个屏幕上被镜像。一个捏手可以看到这个问题，只是读他的答案或以其他方式回答考生在covert channel的答案。

此次攻击的可能计数器还可以使麦克风看到他们是否正在与任何人交谈。您也可以在进行测试时记录屏幕。这可能会阻止他们打开聊天窗口或查看其他未经授权的内容。 （有点像Elance tracker）

• 用户验证：

为了注册人应重视他们的照片，身份证的扫描件。这样您就可以将该人员的照片链接到唯一的标识符，例如驾驶执照号码。在该人开始参加测试之前，请用户直视相机，并确保您获得了可以通过相片身份验证的良好形象。

对这个系统的简单攻击就是用photoshop修改id。为了使这种攻击更加困难，您可以通过信用卡/借记卡交易来验证他们的名字。这两个名字应该匹配。

evercookie可用于追踪机器以查看是否正在使用同一台计算机。这可能通过合法的原因发生，但它也可以用来标记测试以供进一步审查。 evercookie上的一个变体是使用随机值删除文件，或者使用随机值设置注册表键来“标记”该机器。