<p>Detta arbete undersöker ett par olika tekniker för att implementera single sign on med Kerberos i webbapplikationer. Undersökningen har gjorts på HTTP-autentisering som bygger på Microsofts NegotiateAuth och Cosign från University of Michigan. Dessa två tekniker har undersökts för att se hur de står sig mot varandra på kriterier såsom komplexitet, arbetsinsats och mjukvarukrav.Resultatet visar att HTTP-autentisering är väldigt simpel att implementera men kräver dock att användarens webbläsare konfigureras för den. Cosign är mer komplext men använder sig av Cookies vilket gör att de flesta webbläsare stödjer tekniken utan extra konfiguration.</p>

<p>Det här arbetets syfte är att undersöka huruvida det är lämpligt för ett företag eller en organisation att införa ett säkerhetssystem baserat på biometri. Studien begränsades till att undersöka aspekterna säkerhet, integritet och användaracceptans eftersom dessa aspekter ansågs vara de som var viktigast och att de kunde undersökas på ett generellt plan. En ytterligare begränsning som gjorts är att för integritetsaspekten har endast svenska lagar studerats. Arbetet har genomförts i form av en litteraturstudie.</p><p>För säkerhetsaspekten har en översikt gjorts över biometriska systems säkerhetsfördelar och säkerhetsnackdelar i jämförelse med traditionella säkerhetsmetoder. Integritetsaspektens resultat är att den svenska personuppgiftslagen gäller vid behandlandet av biometriska egenskaper då dessa kan betraktas som personuppgifter. För användaracceptansaspekten så har olika undersökningar bearbetats med resultatet att det är viktigt att ett företag eller en organisation som vill införa ett biometriskt system tar hänsyn till vilken biometrisk metod som väljs och att ett förtroende skapas för tekniken.</p>

<p>Idag går utvecklingen mot alltmer distribuerade IT-system där en grupp datorer kommunicerar med varandra. Detta gäller för sökmotorer, beräkningsintensiva miljöer och även för den svenska försvarsmaktens ledningssystem.</p><p>För att systemen ska kunna kommunicera så flexibelt som möjligt vill man ofta att kommunikationen ska ske enligt standardiserade protokoll vilka är oberoende av datorplattform, programmeringsspråk och transportprotokoll. Ett koncept som kan användas för denna sorts kommunikation är Web Services vilket är ett koncept där meddelanden skickas XML-formaterade över valfritt kommunikationsprotokoll.</p><p>För att möjliggöra utbyte av känsligt data som inte får nås av obehöriga måste kommunikationen stöttas av ett flertal viktiga säkerhetsfunktioner. En av dessa funktioner är användarautentisering vilket innebär att användarens identitet kan verifieras.</p><p>För att möjliggöra användarautentisering kan digitala certifikat och asymmetriska kryptooperationer användas, denna typ av operationer är prestandakrävande varför ”Single Sign On” eftersträvas. SSO innebär att användaren endast autentiserar sig en gång under ett visst tidsintervall för att underlätta för både system och användare. När användarautentiseringen är genomförd kan en symmetrisk nyckel utbytas för fortsatt kommunikation. Den fortsatta kommunikationen kan skyddas på olika nivåer såsom transportnivå och meddelandenivå. Författaren av detta examensarbete har undersökt och implementerat en lösning för användarautentisering och meddelandeskydd för Web Services. Dessutom utreds några verktyg som finns tillgängliga för Web Services idag och några som förväntas komma inom kort.</p> / <p>Today, the technical development goes towards distributed computer systems where a group of computers communicate with each other. </p><p>This applies for search engines, calculation intensive environments and also for the Swedish defence management systems. In order for the systems to communicate as flexible as possible one often wants the communication to take place according to standardized protocols which are independently of computer platform, programming language and transport protocol.</p><p>A concept that can be used for this type of communication is Web Services which is a concept where information is sent as XML formatted messages over optional communication protocol. In order to make it possible to exchange sensitive data that must be out of reach of unauthorized use, the communication must be supported of several important security functions. One of these functions is user authentication which incorporates that the member's identity is verified. In order to make user authentication possible, digital certificates and asymmetric crypto operations may be used.</p><p>These types of operations are performance requiring why Single Sign On is sought. SSO means that the member only authenticates itself once during a certain time interval in order to facilitate for both systems and members. When the user authentication is completed a symmetric key can be exchanged for continued communication. The continued communication can be protected on various levels such as transport level and message level.</p><p>The author of this master thesis has examined and implemented a solution for user authentication and message protection for Web Services. Moreover, different existing tools are investigated that are available for Web service's today and some that are expected to come shortly.</p>

H.323 och Session Initiation Protocol är två olika protokoll som kan användas t ex för att koppla upp röstsamtal eller videosamtal via Internet. Det är ofta önskvärt i en uppkoppling mellan två personer att personerna kan autentisera sig för varandra. Denna autentisering är avsedd att garantera identiteten på deltagarna i kommunikationen. Den här undersökningen jämför protokollens struktur vid autentiseringen och visar skillnader i säkerhetssynpunkt. Autentisering finns i 3 skikt i de båda protokollen. I applikationsskiktet skiljer sig protokollen åt då SIP använder sig av lösenord för autentisering medan H.323 både kan använda lösenord och en PKI-baserad lösning med utbyte av nyckelcertifikat. I transportskiktet och nätverksskiktet kan båda protokollen använda TLS och IPSec för autentisering och därmed är det ingen större skillnad på protokollen i dessa skikt.

Saab Bofors Dynamics AB is looking for ways to let the employees work wireless in the future. The security in Wireless Local Area Networks (WLAN) has not been considered very reliable, but new standards and protocols have been developed to enhance the security in WLAN. Since most wireless components soon will have built in support for wireless communication, it is important to have a model to deal with secure wireless communication ready. This is necessary because it is important to protect the company’s information related systems, ensure contingency in the daily work and maintaining the trust of the market and the authorities. With the release of the standard IEEE802.11i, the possibility to build a secure WLAN has improved considerably. With the combination of standards such as IEEE802.1X and IEEE802.11i, and improved encryption with Advanced Encryption Standard (AES) it is possible to make the wireless network more secure. It is important to ensure secure wireless communication between the client and the accesspoint, and to install a personal firewall on every wireless client in the network. There are many aspects to take into consideration when building a WLAN, some are discussed in this report and some are discussed in the secret part of the report for Saab Bofors Dynamics AB only.

Trådlösa nätverk finns idag överallt och behovet av ständig internetaccess ökar för varje dag. Behovet av bra mjukvaror för att erbjuda säker trådlös internetaccess och samtidigt kunna ta betalt för det är ett problem. Denna rapport är en funktionsjämförelse av produkter som gör det möjligt att introducera spårbarhet och säkerhet för användarna i ett trådlöst nätverk. Mikrotik RouterOS jämfördes emot Zeroshell där funktionaliteten sedan sattes i en verklighetsbaserad kontext och möjliga implementationer presenterades. Resultatet påvisade att Mikrotik RouterOS passade bättre för de flesta scenarier än exempelvis Zeroshell. Men att Zeroshell istället har mycket bra stöd för katalogtjänster.

Det här arbetets syfte är att undersöka huruvida det är lämpligt för ett företag eller en organisation att införa ett säkerhetssystem baserat på biometri. Studien begränsades till att undersöka aspekterna säkerhet, integritet och användaracceptans eftersom dessa aspekter ansågs vara de som var viktigast och att de kunde undersökas på ett generellt plan. En ytterligare begränsning som gjorts är att för integritetsaspekten har endast svenska lagar studerats. Arbetet har genomförts i form av en litteraturstudie. För säkerhetsaspekten har en översikt gjorts över biometriska systems säkerhetsfördelar och säkerhetsnackdelar i jämförelse med traditionella säkerhetsmetoder. Integritetsaspektens resultat är att den svenska personuppgiftslagen gäller vid behandlandet av biometriska egenskaper då dessa kan betraktas som personuppgifter. För användaracceptansaspekten så har olika undersökningar bearbetats med resultatet att det är viktigt att ett företag eller en organisation som vill införa ett biometriskt system tar hänsyn till vilken biometrisk metod som väljs och att ett förtroende skapas för tekniken.

This report is written for a consultant networking company with the purpose to review the development ofthe company's remote connections from a user friendly and security perspective.This includes an investigation of the possibilities to consolidate existing authentication methods foraccessing customers. The problem lies in the amount of methods being used. Through case study wefound that smart cards, SMS-service, software and hardware tokens exist.The only method feasible from a security perspective is smart cards. Since the method is not commonlyused by the company's customers a standardization of it would be counterproductive.Also, the purpose of this report is to investigate how the ongoing internal development of the remoteconnection will affect the company's clients. Within this framework we have also verified a designsuggestion.We interpret, after the completion of the case study, that the internal development of the remoteconnection is marginally affected by legal perspectives. Tests and interviews shows that all of thesolutions are user friendly, but not adequate from a security perspective. With respect to customers'demands we recommend that the company's internal network should be accessed with smart cards. Thisguarantees that only intended authentications are performed. / Rapporten är skriven åt ett nätverksbolag i konsultbranschen. Syftet med rapporten är att se överutvecklingen av företagets distansuppkopplingar ur ett användarvänlighets- och säkerhetsperspektiv.Detta innebär dels att undersöka möjligheterna för att konsolidera förekommande autentiseringsmetodersom används för uppkoppling mot kunder. Problematiken handlar då om att mängdenautentiseringsmetoder för konsulter i dagsläget är svåradministrerad. Genom fallstudie har vi fått reda attsmarta kort, SMS-tjänst, mjuk- och hårdvarutokens figurerar.Den enda metod som är tänkbar ur ett säkerhetsperspektiv är smarta kort. Då metoden inte ärframträdande hos företagets kunder skulle dock en standardisering i dagsläget vara kontraproduktiv.Avsikten med rapporten är också att utreda hur den pågående interna utvecklingen avdistansuppkopplingen påverkar företagets kunder. Vi har inom ramen för detta även verifierat ettdesignförslag.Efter utförd fallstudie tolkar vi att den interna utvecklingen av distansuppkopplingen påverkas marginelltur ett juridiskt perspektiv. Efter tester och intervjuer konstaterar vi att samtliga lösningar äranvändarvänliga men ur säkerhetssynpunkt inte tillräckliga. Med hänseende till kundernas kravbildrekommenderar vi att uppkoppling mot företagets interna nätverk sker med smarta kort. Detta för attkunna garantera att endast avsvedd autentisering utförs.

Today, text-based password is one of the most common ways to verify login to a web page and to protect the account against theft. These password attacks are becoming more and more effective every year, which means that it is important not to let passwords be guessable. The purpose of this study is to investigate how the most popular websites in Sweden handled password policies at present. The implementation of the case study included testing 50 web pages against 26 passwords in order to evaluate how effective the webpages policy was. By collecting data on these 50 webpage password policies, four questions could be answered: How do password policies look, how effective are the webpage's password policies, how have password policies changed over time and how different web categories differ. The results of the case study indicate that several websites need to review their password policy. For example, only 22% of websites met the recommended requirements of NIST 800–63 and only a few webpages made major changes to their password policy over the last 5 years. Web pages that did not use password-based authentication systems are not used in this study. / Idag är text-baserat lösenord ett av de vanligaste sätten att verifiera inloggning mot en webbsida och för att skydda kontot mot stöld. Dessa lösenordsattacker blir allt mer effektiva för varje år vilket innebär att det är viktigt att inte låta lösenord bli gissningsbart. Syftet med denna studie är att undersöka hur de mest populära webbsidorna i Sverige hanterade lösenordspolicyer i dagsläget. Genomförandet av fallstudien inkluderade att testa 50 webbsidor mot 26 lösenord för att utvärdera hur effektiva webbsidornas policy var. Genom att samla in data om dessa 50 webbsidors lösenordspolicyer kunde fyra frågor besvaras: Hur ser lösenordspolicyer ut, hur effektiva är webbsidornas lösenordspolicyer, hur har lösenordspolicyer förändrats med tiden och hur skiljer sig olika webbkategorier. Resultaten från fallstudien visar på att flera webbsidor behöver se över deras lösenordspolicy. Exempelvis var det bara 22% av webbsidorna som uppfyllde de rekommenderade kraven från NIST 800–63 och det var endast ett fåtal webbsidor som har gjort större förändringar i sin lösenordspolicy under 5 års tid. Webbsidor som inte använde sig av lösenordsbaserade autentiseringssystem används ej i denna studie. / <p>På grund av Covid-19 gjordes presentationen på distans via programmet Zoom.</p>

The goal of this project has been to configure and present a solution that covers a customer’s needs for user authentication, identity and access management and identity provisioning. The solution consists of products from PhenixID and the configuration is carried out on behalf of a company acting as a consultant. At the same time, the project is intended to generate new knowledge within the company about the possibilities and functions of the products used. The resulting solution enables the provisioning of users from a simple CSV file to a central user directory, and from this directory to Google. Identity Provisioning software is used for this purpose. The solution includes a recommendation for the same process to Azure through a first-party solution from Microsoft. The solution includes a configuration of the PhenixID Authentication Services system that can be used by the provisioned users to log in to Google and Microsoft services, so-called single sign-on, SSO. This authentication is SAML-based and adopts multi-factor authentication through a mobile application. A web-based and role-based identity and access management system, Identity Manager, is configured to manage users in the central user directory. Through this system, roles with associated rights are used with the purpose of delegating user management to the necessary instances of the customer’s organization. The overall configuration represents a proof of concept of the products for the customer's use cases and is therefore relatively fundamental in nature. / Målet med detta arbete har varit att konfigurera och presentera en lösning som omfattar en kunds behov av system för autentisering, hantering och provisionering av användare. Lösningen tillämpar produkter från PhenixID och konfigurationsarbetet sker på uppdrag av en verksamhet som här agerar konsult åt kunden. Arbetet ämnar samtidigt att ge upphov till ny kunskap inom verksamheten om de tillämpade verktygens möjligheter och funktioner. Den resulterande lösningen möjliggör provisionering av användare från en enkel CSV-fil till ett central användarkatalog, via denna katalog till Google. Till detta används programvaran Identity Provisioning. Lösningen omfattar en rekommendation för samma process till Azure genom ett första-partslösning från Microsoft. Lösningen omfattar konfiguration av autentiseringssystemet PhenixID Authentication Services som kan användas av de provisionerade användarna till att logga in på tjänster från Google och Microsoft, så kallad single sign-on, SSO. Denna autentisering är SAML-baserad och tillämpar multifaktorsautentisering genom en mobilapplikation. Ett webbaserat system för rollbaserad användarhantering, Identity Manager, konfigureras till att hantera användare i den centrala användarkatalogen. Genom detta system tillämpas roller med associerade rättigheter vars syfte är att delegera användarhanteringen till de nödvändiga instanserna av en verksamhet. Den sammantagna konfigurationen utgör ett koncepttest av produkterna för kundens användningsområden och är därför relativt grundläggande till naturen.