The goal of the project is to evaluate three different methods of authenticating users on the Internet. These three methods are: login with username and password, two-factor authentication, and Freja eID. The login systems are evaluated in terms of usability, accessibility, security, and complexity. Usability and accessibility refer to how easy these systems are to use for different types of users and how well they work on various types of devices. This is determined through tests with programs and user tests. Security is evaluated through theory about Internet security, and complexity is measured by determining the cyclomatic complexity of the code. This means that the fewer paths there are through a code and the less complex these paths are, the less complex the code is. All code is written in JavaScript. Node.js was used for backend and Vue.js was used for frontend. A website has been constructed to test the login systems where the user can create an account, log in with password or two-factor authentication. In addition, there is a separate page for using the Freja eID's test API. The user tests that have been conducted show that testers preferred to log in with Freja eID and found it difficult to use two-factor authentication. Freja eID and two-factor authentication are considerably more secure than logging in with just a password and a username. In terms of code complexity, Freja eID was the solution that was the least complex and required the least amount of work. This makes Freja eID the solution that is ultimately recommended despite the cost per login. If a more economical alternative is desired, two-factor authentication is recommended. / Projektets mål är att utvärdera tre olika sätt att autentisera användare på Internet. Dessa tre sätt är inloggning med användarnamn och lösenord, tvåfaktorsautentisering och Freja eID. Inloggningssystemen utvärderas inom användbarhet, tillgänglighet, säkerhet och komplexitet. Användbarhet och tillgänglighet syftar till hur lätt dessa system är att använda för olika typer av användare och hur väl de fungerar på olika typer av enheter. Detta åstadkoms genom tester med program och användartester. Säkerheten utvärderas med hjälp av teori om säkerhet på Internet och komplexiteten mäts med hjälp av analys av den cyklomatiska komplexiteten i koden. Det innebär att ju färre vägar det finns genom en kod och ju mindre komplexa dessa vägar är, desto mindre komplex är koden. All kod är skriven i JavaScript. Node.js användes för backend och Vue.js användes för frontend. En webbplats har konstruerats för att testa inloggningssystemen där användaren kan skapa ett konto, logga in med lösenord eller tvåfaktorsautentisering. Dessutom finns det en separat sida för inloggning mot Freja eIDs test-API. De användartester som utförts visade att användare hade svårt att använda sig av tvåfaktorsautentisering och att inloggning med Freja eID var krångligare än inloggning med bara lösenord. När det gäller kodens komplexitet var Freja eID-lösningen den minst komplexa och krävde minst arbete. Det gör Freja eID till den rekommenderade lösningen trots att det kostar pengar vid varje inloggningstillfälle. Om man vill ha ett mer kostnadseffektivt alternativ rekommenderas tvåfaktorsautentisering.

Lösenord är än idag den vanligaste formen av autentisering online. Det tillsammans med en fortsatt ökning av möjligheten att sköta nästintill allt i sitt liv via internet gör att svenskar måste ta ett allt större ansvar att använda sig av säkra sätt att autentisera sig på. Det kan vara att man använder sig av starka lösenord, eller flera lager av olika autentiseringsmetoder. Tvåstegsverifiering är ofta den enklaste formen av extra skydd mot obehörig åtkomst till sina konton. Starka lösenord som är både långa och som innehåller flera olika teckenklasser är också viktigt. Denna undersökningen tar hjälp av en enkätstudie för att samla in data och kartlägga hur svenskars lösenordsvanor ser ut idag. Resultatet av undersökningen visar att svenskar i stor utsträckning använder sig av mellan 6–15 konton varje månad. Resultatet visar även att man i stor utsträckning använder sig av tvåstegsverifiering till mellan 1–5 av dessa konton. En majoritet av svenskar använder sig även av för korta lösenord, med hela 62% som använder sig av lösenord som bara är upp till 12 tecken långa.

Idag går utvecklingen mot alltmer distribuerade IT-system där en grupp datorer kommunicerar med varandra. Detta gäller för sökmotorer, beräkningsintensiva miljöer och även för den svenska försvarsmaktens ledningssystem. För att systemen ska kunna kommunicera så flexibelt som möjligt vill man ofta att kommunikationen ska ske enligt standardiserade protokoll vilka är oberoende av datorplattform, programmeringsspråk och transportprotokoll. Ett koncept som kan användas för denna sorts kommunikation är Web Services vilket är ett koncept där meddelanden skickas XML-formaterade över valfritt kommunikationsprotokoll. För att möjliggöra utbyte av känsligt data som inte får nås av obehöriga måste kommunikationen stöttas av ett flertal viktiga säkerhetsfunktioner. En av dessa funktioner är användarautentisering vilket innebär att användarens identitet kan verifieras. För att möjliggöra användarautentisering kan digitala certifikat och asymmetriska kryptooperationer användas, denna typ av operationer är prestandakrävande varför ”Single Sign On” eftersträvas. SSO innebär att användaren endast autentiserar sig en gång under ett visst tidsintervall för att underlätta för både system och användare. När användarautentiseringen är genomförd kan en symmetrisk nyckel utbytas för fortsatt kommunikation. Den fortsatta kommunikationen kan skyddas på olika nivåer såsom transportnivå och meddelandenivå. Författaren av detta examensarbete har undersökt och implementerat en lösning för användarautentisering och meddelandeskydd för Web Services. Dessutom utreds några verktyg som finns tillgängliga för Web Services idag och några som förväntas komma inom kort. / Today, the technical development goes towards distributed computer systems where a group of computers communicate with each other. This applies for search engines, calculation intensive environments and also for the Swedish defence management systems. In order for the systems to communicate as flexible as possible one often wants the communication to take place according to standardized protocols which are independently of computer platform, programming language and transport protocol. A concept that can be used for this type of communication is Web Services which is a concept where information is sent as XML formatted messages over optional communication protocol. In order to make it possible to exchange sensitive data that must be out of reach of unauthorized use, the communication must be supported of several important security functions. One of these functions is user authentication which incorporates that the member's identity is verified. In order to make user authentication possible, digital certificates and asymmetric crypto operations may be used. These types of operations are performance requiring why Single Sign On is sought. SSO means that the member only authenticates itself once during a certain time interval in order to facilitate for both systems and members. When the user authentication is completed a symmetric key can be exchanged for continued communication. The continued communication can be protected on various levels such as transport level and message level. The author of this master thesis has examined and implemented a solution for user authentication and message protection for Web Services. Moreover, different existing tools are investigated that are available for Web service's today and some that are expected to come shortly.

<p>Syftet med arbetet är att ta reda på hur väl privatpersoner informeras om hur de ska skydda sina trådlösa nätverk och varför. Genom arbetet ska följande frågor besvaras:</p><p>- Vid beställning av bredband inklusive trådlös router från en bredbandsleverantör: informerar leverantören sina kunder om att det trådlösa nätverket bör säkras upp och varför?</p><p>- Blir man informerad om säkerheten när man köper en trådlös router i en lokal affär?</p><p>- Skyddar invånare i Kalmar generellt sett sina trådlösa nätverk?</p><p>Genom användning av kvantitativa metoder i form av observationer har vi svarat på två av frågeställningarna. En kvalitativ metod användes genom att vi skickade enkäter via e-post till fem bredbandsleverantörer.</p><p>Resultaten från vår undersökning visar att majoriteten av invånarna i Kalmar skyddar sina nätverk, men att det är vanligast med en svag kryptering. Undersökningen visar att informationen från lokala affärer och bredbandsleverantörer är bristfällig.</p>

Due to its simplicity and deployability, password authentication is today's most common way of authentication. In conjunction with increasing numbers of accounts per user, the amount of passwords to be remembered is rising as well. This puts a noticeable strain on human memory which users attempt to mitigate by writing them down, reusing them or selecting overly simple ones. In order to prevent such behavior and the security issues it is accompanied by, finding ways to generate memorable passwords is imperative. The conducted systematic literature review aimed to identify to which extent different password creation strategies are facilitating the generation of memorable passwords. Several search term combinations were used to probe four scientific databases for peer-reviewed articles that satisfy distinct selection criteria. Afterwards, backward snowballing was conducted and references of already accepted publications were checked against identical selection criteria. Eventually, 61 accepted articles underwent a qualitative data analysis by means of grounded theory. The analysis showed that different composition strategies entailed substantial differences in memorability. Those that infused passwords with deeper meaning to the user were found easy to remember whereas failing to infuse meaning impeded recall. Overall, user-generated passwords turned out be more memorable than system-generated ones. / På grund av sin enkelhet och användbarhet är lösenordsautentisering dagens mest använda sätt att autentisera sig. Antalet lösenord som ska minnas ökar i samband med ett stigande antal konton per användare. Detta utgör en tydlig belastning för det mänskliga minnet vilket användarna försöker lindra genom att skriva ner lösenord, återanvända dem eller välja alltför enkla varianter. Att hitta sätt att skapa lösenord som är lätta att komma ihåg är en nödvändighet för att förebygga liknande beteenden samt de säkerhetsproblem som de är förknippade med. Den utförda systematiska litteraturstudien hade som mål att identifiera i vilken omfattning olika strategier för lösenordskonstruktion underlättar skapandet av minnesvärda lösenord. Ett flertal kombinationer av sökbegrepp användes för att söka i fyra vetenskapliga databaser efter granskade artiklar som uppfyller tydliga urvalskriterier. Efteråt användes backward snowballing och referenser av redan accepterade publikationer kontrollerades med samma urvalskriterier. Till slut genomgick 61 accepterade artiklar en kvalitativ dataanalys med hjälp av grounded theory. Analysen visade att olika kompositionsstrategier förde med sig betydande skillnader gällande hur minnesvärda resulterande lösenord var. Strategier som fyllde lösenord med djupare betydelse för användaren ansågs vara lätta att minnas medan det var svårare att komma ihåg dem när ingen betydelse ingjutits. Över lag visade sig användargenererade lösenord vara lättare att komma ihåg än systemgenererade.

Denna studie berör de lösenord som studenterna vid Högskolan i Borås använder sig av, och omdessa är tillräckligt bra för att skydda den information de vill skydda. Den tar upp de problemsom finns med att använda lösenord som autentiseringslösning, samt de egenskaper som skaparett bra lösenord.Ett bra lösenord innehåller fler än fjorton tecken och är en blandning av bokstäver (gemener ochversaler), siffror och specialtecken, och innehåller inga fraser, välkända uttryck eller ord som ståri en ordlista. Lösenorden krypteras ofta med en så kallad hashfunktion, en envägsfunktion somskapar en kontrollsumma. Om man på ett säkert sätt skall spara lösenorden med denna metod börman använda ett så kallat salt, en textsträng som gör själva lagringen säkrare.För att knäcka lösenord kan man använda sig av flera olika metoder: Så kalladedictionaryattacker, som skapar lösenord utifrån en ordlista; brute forceattacker som används föratt slumpa fram möjliga permutationer och sedan jämföra med lösenordet man vill knäcka; samtrainbow tableattacker, en metod där man använder färdiggenererade tabeller som innehåller allamöjliga permutationer.Vi har genom en enkät fått en bild av hur studenterna vid Högskolan i Borås lösenord ser ut. Vihar genom ett experiment bekräftat att dictionaryattacker kan knäcka 34 % av samtliga lösenord,och detta är endast en av metoderna. Vi har också kommit fram till att en autentiseringslösningmed enbart användarnamn/lösenord inte är en fullgod lösning ur ett IT-säkerhetsperspektiv,samtidigt som den kanske inte stjälper hela informationssystemet. / Uppsatsnivå: C

<p>In this report hardware based alternatives to password authentication in a Windows domain are evaluated for the needs of a certain company. In order to investigate the demands on such alternatives interviews with people concerned have been carried out. The demands which resulted from the interviews have been used to select types of hardware tokens for evaluation. Two products which offer authentication with smart cards and USB tokens have been selected and closer evaluated. These are RSA Passage which offers both hardware options and Rainbow iKey which uses USB tokens. Both products are evaluated based on the demands and additional evaluation criteria. The information from the evaluations is used to compare the products.</p>

<p>Effektiv hantering av den växande mängden data i dagens IT-samhälle är ett ständigt återkommande problem. Lösningar som innebär att information med krav till snabb åtkomst dubbellagras på flera olika ställen, är bara en av anledningarna till nytänkandet "katalogtjänster''. Eftersom det länge inte funnits några fasta standarder för ett sådant protokoll har olika företag utvecklat sina egna lösningar. Detta innebär naturligt att det blir problem när man vill få olika katalogtjänster utvecklade för olika syften att samarbeta. Protokollet som är tänkt att lösa detta är LDAP (Lightweight directory Access Protocol). </p><p>Detta arbete behandlar hur man bygger ett centraliserat autentiseringssystem med hjälp av LDAP. Fördelarna med LDAP framför traditionella metoder som NIS/NIS+ diskuteras, samt hur man kan knyta ihop ett nätverk med både Windows- och Linuxdatorer, där informationen om användare och rättigheter finns lagrade centralt i en LDAP-baserad katalogtjänst. </p><p>Generella säkerhetsbegrepp kring autentisering tas upp, samt vad det egentligen är man behöver skydda vid autentisering och kommunikation via ett nätverk.</p>

In this report hardware based alternatives to password authentication in a Windows domain are evaluated for the needs of a certain company. In order to investigate the demands on such alternatives interviews with people concerned have been carried out. The demands which resulted from the interviews have been used to select types of hardware tokens for evaluation. Two products which offer authentication with smart cards and USB tokens have been selected and closer evaluated. These are RSA Passage which offers both hardware options and Rainbow iKey which uses USB tokens. Both products are evaluated based on the demands and additional evaluation criteria. The information from the evaluations is used to compare the products.

Effektiv hantering av den växande mängden data i dagens IT-samhälle är ett ständigt återkommande problem. Lösningar som innebär att information med krav till snabb åtkomst dubbellagras på flera olika ställen, är bara en av anledningarna till nytänkandet "katalogtjänster''. Eftersom det länge inte funnits några fasta standarder för ett sådant protokoll har olika företag utvecklat sina egna lösningar. Detta innebär naturligt att det blir problem när man vill få olika katalogtjänster utvecklade för olika syften att samarbeta. Protokollet som är tänkt att lösa detta är LDAP (Lightweight directory Access Protocol). Detta arbete behandlar hur man bygger ett centraliserat autentiseringssystem med hjälp av LDAP. Fördelarna med LDAP framför traditionella metoder som NIS/NIS+ diskuteras, samt hur man kan knyta ihop ett nätverk med både Windows- och Linuxdatorer, där informationen om användare och rättigheter finns lagrade centralt i en LDAP-baserad katalogtjänst. Generella säkerhetsbegrepp kring autentisering tas upp, samt vad det egentligen är man behöver skydda vid autentisering och kommunikation via ett nätverk.