Participatory Sensing Systems (PSS) are a type of Mobile Crowdsensing System where users voluntarily participate in contributing information. Task initiators create tasks, targeting specific data that needs to be gathered by the users’ device sensors. Such systems have been designed with different requirements, such as data trustworthiness, accountability, and incentives, in a secure and private way. However, it is complex to protect user privacy without affecting the performance of the rest of the system. For example, with task assignment, either the user authenticates anonymously, or discloses its sensors for an efficient allocation. If the user identity is hidden from the system, it could receive a task it cannot perform. This thesis aims to design an anonymous authentication model for PSS based on privacy-preserving attribute-based signatures. The proposed solution allows the Participatory Sensing System to enforce sensor requirements for efficient task allocation. In addition to the design, experiments measuring the performance of the operations are included in the thesis, to prove it is suitable for real-world scenarios. / Participatory Sensing Systems (PSS) är en typ av mobilt Crowdsensing-system där användare frivilligt deltar i att bidra med information. Aktivitetsinitiatorer skapar uppgifter, inriktade på specifik data som behöver samlas in av användarnas enhetssensorer. Sådana system har utformats med olika krav, såsom datatillförlitlighet, ansvarighet och incitament, på ett säkert och privat sätt. Det är dock komplicerat att skydda användarnas integritet utan att påverka prestandan för resten av systemet. Till exempel, med uppgiftstilldelning, antingen autentiserar användaren anonymt eller avslöjar sina sensorer för en effektiv tilldelning. Om användaridentiteten är dold från systemet kan den få en uppgift som den inte kan utföra. Denna avhandling syftar till att designa en anonym autentiseringsmodell för PSS baserad på integritetsbevarande attributbaserade signaturer. Den föreslagna lösningen gör det möjligt för Participatory Sensing System att upprätthålla sensorkrav för effektiv uppgiftsallokering. Utöver designen ingår experiment som mäter verksamhetens prestanda i avhandlingen, för att bevisa att den är lämplig för verkliga scenarier.

This thesis deals with digital identity wallets as digital identification means, through a legal and technical perspective, within the field of legal informatics. The 3rd of July 2021 the European Commission presented a proposal for a regulation of the European Parliament and of the Council amending Regulation (EU) No 910/2014 as regards establishing a framework for a European Digital identity, also known as the eIDAS II-regulation. The eIDAS II-regulation is at this moment being negotiated on EU-level and has not yet been adopted. In the eIDAS II-regulation the digital identity wallets were presented. These wallets en-able citizens and other residents to authenticate, and share electronic documents and identification data, with a relying party. The purpose of the digital identity wallets is to create a harmonized identification solution that will function within all member states of the EU. The thesis will concentrate on the relationship between the legal aspects of the eIDAS II-regulation and the technical solutions presented in the regulation. The eIDAS II-regulation covers a vast variety of legal and technical solutions, however the thesis will only focus on the electronic identification, authentication, and the sharing of electronic documents through the wallet. Furthermore, the thesis will analyse which data can be stored in the wallet according to the eIDAS II-regulation and what legal and technical solutions are proposed to enable shar-ing, and controlling the accuracy, of the data. The relationship between eIDAS II-regulation and GDPR will be discussed and analysed in the end of the thesis. This discussion gives the reader an understanding of how the regulations will integrate with each other and how eIDAS II-regulation is affected by the GDPR. The conclusion of the thesis is that the eIDAS II-regulation, thus the digital identity wallets, is a step in the right direction to create a harmonized regulation for digital identities, however there are certain legal problems that should be ad-dressed to make the digital identity wallets a secure and user-friendly solution. These legal problems with the digital identity wallets could be solved with the right technical specifications. Some of these technical specifications will be pre-sented and discussed in the thesis.

Two-Factor Authentication (2FA) is a two-step verification process that aims to provide an additional layer of security by requiring the user to authenticate himself/herself using a secondary means (ownership factor or inheritance factor). Without the use of 2FA, an attacker could gain access to a person’s devices or accounts solely by knowing the victim’s password, while with 2FA knowing only this password is insufficient to pass the authentication check. In this project, we analyze different methods in which 2FA could be implemented by a Digital Assessment Platform. These platforms allow test assessments to be built directly into digital content; therefore, an important requirement of these systems is secure authentication. Moreover, it is important to securely protect teachers’ account in order to avoid unauthorized people gaining access to those accounts. We investigate how 2FA could be used to add an extra layer of security to teachers’ accounts, focusing on cost, user experience, ease of use, and deployment of the solution. We arrived at the conclusion that 2FA through an ownership factor is a suitable method and we implemented a solution based upon One-Time Passwords. This thesis project will hopefully benefit Digital Assessment Platforms who wish to implement 2FA by providing broader knowledge regarding this subject. The project should also benefit society by increasing the general knowledge of 2FA, hence leading to more secure services. / Tvåfaktorsautentisering (2FA) är en tvåstegs verifieringsprocess som syftar att ge en extra nivå av säkerhet, i och med att den kräver användaren att autentisera sig själv genom en sekundär faktor (något man äger eller har ärvt). Utan användning av 2FA, kan en förövare få åtkomst till en persons mobila enhet eller konto endast genom att kunna offrets lösenord. Att enbart kunna lösenordet är inte tillräckligt för att en autentiseringsprocess ska vara godkänd om 2FA är implementerad. I det här projektet analyseras olika 2FA som skulle kunna implementeras av en digital utvärderingsplattform. Sådana plattformar  förvandlar tester och prov till digitalt innehåll och kräver därför en säker autentisering. Dessutom är det viktigt att säkra lärarnas konton för att undvika att icke auktoriserade personer loggar in på deras konton. Vi undersöker hur 2FA kan användas för att lägga till en extra nivå av säkerhet på lärarnas konton, med fokus på kostnad, användarupplevelse, lättanvändlighet och utplacering av lösningen. Vi kom fram till att 2FA via en faktor man äger är en passande metod  och vi implementerade sedan en lösning grundad på engångslösenord. Detta projekt kan förhoppningsvis vara till förmån för digitala utvärderingsplattformar  som vill implementera 2FA,  genom att ge en bredare kunskap inom detta område. Projektet skulle kunna gynna allmänheten genom att bidra till ökad generell kunskap om 2FA, och därav leda till säkrare tjänster.

We live in a world where we increasingly depend on information technology, as much of our work and education occurs online, often from home. An average user has an increasing amount of accounts for all kinds of online services, making authentication more and more important. As people authenticate several times a day, it is important that everyone is able to use online services and authenticate themselves, including minorities such as individuals with neurodevelopmental disorders. This thesis explores the challenges people with neurodevelopmental disorders have with authentication as well as authentication methods that can help them. This was achieved by doing a systematic literature review on collected bibliography with the help of thematic analysis. 18 studies were analyzed and helped us answer the research questions and give us an overview of the research field. The analysis showed that text-based authentication was a big issue for individuals with neurodevelopmental disorders, where passwords were often highlighted as the culprit. Alternative authentication methods were identified but showed us that there was no easy fix to the issue at hand, and that more had to be done to make authentication more accessible. / Vi lever i en värld där vi är alltmer beroende av informationsteknologi, eftersom mycket av vårt arbete och utbildning nu istället sker online, ofta även hemifrån. En genomsnittlig användare har ett ökande antal konton för alla sorters onlinetjänster, vilket gör autentisering allt viktigare. Då människor autentiserar flera gånger om dagen är det viktigt att alla kan använda onlinetjänster och auntentisera sig, inklusive minoriteter som individer med neuropsykiatriska funktionsnedsättningar. Detta examensarbete utforskar de utmaningar som personer medneuropsykiatriska funktionsnedsättningar har med autentisering samt autentiseringsmetoder som kan hjälpa dem. Detta uppnåddes genom att göra en systematisk litteraturöversikt med insamlad bibliografi med hjälp av tematisk analys. 18 studier analyserades och hjälpte oss att svara på forskningsfrågorna samt ge oss en överblick över forskningsfältet. Analysen visade att textbaserad autentisering var ett stort problem för individer med neuropsykiatriska funktionsnedsättningar, där lösenord ofta lyfts fram som boven. Alternativa autentiseringsmetoder som identifierades visade oss att det inte fanns någon enkel lösning på problemet och att mer behöver göras för att göra autentisering tillgänglig för alla.

Microservices have emerged as an attractive alternative to more classical monolithic software application architectures. Microservices provides many benefits that help with code base comprehension, deployability, testability, and scalability. As the Information technology (IT) industry has grown ever larger, it makes sense for the technology giants to adopt the microservice architecture to make use of these benefits. However, with new software solutions come new security vulnerabilities, especially when the technology is new and vulnerabilities are yet to be fully mapped out. Authentication and authorization are the cornerstone of any application that has a multitude of users. However, due to the lack of studies of microservices, stemming from their relatively young age, there are no standardized design patterns for how authentication and authorization are best implemented in a microservice. This thesis investigates an existing microservice in order to secure it by applying what is known as a security design pattern for authentication and authorization. Different security patterns were tested and compared on performance. The differing levels of security provided by these approaches assisted in identifying an acceptable security versus performance trade-off. Ultimately, the goal was to give the patterns greater validity as accepted security patterns within the area of microservice security. Another goal was to find such a security pattern suitable for the given microservice used in this project. The results showed a correlation between increased security and longer response times. For the general case a security pattern which provided internal authentication and authorization but with some trust between services was suggested. If horizontal scaling was used the results showed that normal services proved to be the best target. Further, it was also revealed that for lower user counts the performance penalties were close to equal between the tested patterns. This meant that for the specific case where microservices sees lower amounts of traffic the recommended pattern was the one that implemented the maximum amount access control checks. In the case for the environment where the research were performed low amounts of traffic was seen and the recommended security pattern was therefore one that secured all services of the microservices. / Mikrotjänster har framträtt som ett mer attraktivt alternativ än mer konventionella mjukvaruapplikationsarkitekturer såsom den monolitiska. Mikrotjänster erbjuder flera fördelar som underlättar med en helhetsförståelse för kodbasen, driftsättning, testbarhet, och skalbarhet. Då IT industrin har växt sig allt större, så är det rimligt att tech jättar inför mikrotjänstarkitekturen för att kunna utnyttja dessa fördelar. Nya mjukvarulösningar medför säkerhetsproblem, speciellt då tekniken är helt ny och inte har kartlagts ordentligt. Autentisering och auktorisering utgör grunden för applikationer som har ett flertal användare. Då mikrotjänster ej hunnit blivit utförligt täckt av undersökning, på grund av sin relativt unga ålder, så finns det ej några standardiserade designmönster för hur autentisering och auktorisering är implementerade till bästa effekt i en mikrotjänst. Detta examensarbete undersöker en existerande mikrotjänst för att säkra den genom att applicera vad som är känt som ett säkerhetsdesignmönster för autentisering och auktorisering. Olika sådana mönster testades och jämfördes baserat på prestanda i olika bakgrunder. De varierade nivåerna av säkerhet från de olika angreppssätten som säkerhetsmönstrena erbjöd användes för att identifiera en acceptabel kompromiss mellan säkerhet mot prestanda. Målet är att i slutändan så kommer detta att ge mönstren en högre giltighet när det kommer till att bli accepterade som säkerhetsdesignmönster inom området av mikrotjänstsäkerhet. Ett annat mål var att hitta den bästa kandidaten bland dessa säkerhetsmönster för den givna mikrotjänsten som användes i projektet. Resultaten visade på en korrelation mellan ökad säkerhet och längre responstider. För generella fall rekommenderas det säkerhetsmönster som implementerade intern autentisering och auktorisering men med en viss del tillit mellan tjänster. Om horisontell skalning användes visade resultaten att de normala tjänsterna var de bästa valet att lägga dessa resurser på. Fortsättningsvis visade resultaten även att för ett lägre antal användare så var den negativa effekten på prestandan nästan likvärdig mellan de olika mönstren. Detta innebar att det specifika fallet då mikrotjänster ser en lägre mängd trafik så är det rekommenderade säkerhetsmönstret det som implementerad flest åtkomstkontroller. I fallet för den miljö där undersökningen tog plats förekom det en lägre mängd trafik och därför rekommenderades det säkerhetsmönster som säkrade alla tjänster närvarande i mikrotjänsten.

Formal analysis of security protocols is becoming increasingly relevant. In formal analysis, a model is created of a protocol or system, and propositions about the security of the model are written. A program is then used to verify that the propositions hold, or find examples of where they do not. This report uses formal methods to analyse the authentication aspect of a protocol that allows private individuals, enterprises, and systems to securely and asynchronously share sensitive data. Unpublished, early drafts of the protocol were studied and algorithms described in it were verified with the help of the formal verification tool Tamarin Prover. The analysis revealed two replay attacks. Improvements to the protocol were suggested based on this analysis. In later versions of the protocol, the improvements have been implemented by the protocol developers. / Det blir alltmer relevant med formell analys av säkerhetsprotokoll. I formell analys så skapas en modell av ett protokoll eller ett system, och påståenden om modellens säkerhet skrivs. Ett program används sedan för att verifiera att påståendena gäller, eller för att hitta exempel där de inte gäller. Den här rapporten avänder formella metoder för att analysera autentiseringsaspekten av ett protokoll som tillåter privatpersoner, företag och system att asynkront dela känslig information på ett säkert sätt. Opublicerade och tidiga utkast av protokollet studerades och de algoritmer som beskrivs i protokollet verifierades med hjälp av Tamarin Prover. Analysen avslöjade två återspelningsattacker. Förbättringar till protokollet föreslogs baserat på denna analys. I senare versioner har protokollutvecklarna implementerat förslagen.

Tidigare forskning har påvisat brister i olika former av autentiseringsprocesser som leder till autentiseringsattacker. Målet med vår studie är att presentera ett antal riktlinjer som företag och privatpersoner kan följa för att minimera risken för autentiseringsattacker. Metoderna som användes för att komma fram till dessa riktlinjer var kvalitativa där en praktisk observationsstudie, en litteraturstudie samt en enkätundersökning låg till grund för vår insamlade data. Resultatet av studien pekar på att Google Cloud Platform, Amazon Web Services och Microsoft Azure alla har en stark autentiseringsprocess i jämförelse med kritik från tidigare forskning. Enkätundersökningen visade dessutom att olika former av alternativ autentisering, såsom Two Factor Authentication (2FA) och Multi Factor Authentication (MFA), rekommenderas för ett starkt försvar mot autentiseringsattacker.Uppsatsens resultat pekar även på att användarens egenansvar i autentiseringsprocessen är av stor vikt för att minimera risken för autentiseringsattacker. Säkra lösenord bör konstrueras och frekvent bytas ut. Även alternativ autentisering och begränsning av användarens tillgång till känslig information bör tillämpas. / Previous research has shown deficiencies in various forms of authentication processes that lead to authentication attacks. The goal of our study is to present a number of guidelines that businesses and individuals can follow to minimize the risk of authentication attacks. The methods used to reach these guidelines were qualitative. They consisted of a practical observational study, a literature review and a survey, which formed the basis of our collected data. The results of the study indicate that Google Cloud Platform, Amazon Web Services and Microsoft Azure all have a strong authentication process in comparison with the criticism of previous research. The survey also showed that different forms of authentication methods, such as the Two Factor Authentication (2FA) and Multi Factor Authentication (MFA), are recommended for a strong defense against authentication attacks.The thesis’ results also points to the user’s own responsibility in the authentication process are essential to minimize the risk of authentication attacks. Secure passwords should be designed and frequently replaced. Alternative authentication and restricted access to sensitive information for the user should also be applied.

Today both government agencies and companies struggle to keep up with the pace of the continuous change of technology. With all new technology there are benefits, but new problems might also occur. Implementing new technology for certain tasks may increase both efficiency and security, resulting in a more sustainable work environment. One technology that is increasingly adopted is digital signatures. Instead of using classical handwritten signatures on documents, a digital signature can be more time efficient and have higher security. In order to implement a digital signature technology some security aspects must be addressed and certain properties ensured. In the document signature process, each time an individual verifies a signature attached onto a document a log entry is created. This log contains information about who verified which document, does it have multiple parts that have been signed, does it need multiple signatures in order to be valid, and at what time and date was the document signed. Logs help to ensure the validity of the document and thereby increase the security provided by the digital signatures. At KTH, a student must sign an application form with a regular ink-written signature to start a thesis project. This process can in most cases delay the start up to two weeks. This study aims to implement digital signatures for one specific form, an application form for a thesis project. The hypothesis at the start of the project was that the use of digital signature would decrease the time of waiting significantly. Personnel at KTH using digital signature would facilitate their work efficiency, due to less printing and archiving of papers as well fewer meetings. This study will provide the reader with the necessary fundamental knowledge of cryptography and how digital signatures use this underlying technology. The methodology used in this study was to identify and modify certain software settings, as well collect data from students and personnel at KTH. The collected data was based on time measurements of digital signature processes from students and a faculty member. The results show digital signatures are faster than the current signing process with traditional ink-written signatures. Additionally, the use of digital signatures is expected to reduce the need for printing, transport, and sorting of paper documents. The resulting reduction in use of physical paper should provide environmental benefits. / Dagens myndigheter och företag har det svårt att ständigt följa den tekniska utvecklingen. Ny teknik skapar oftast nya fördelar och andra förmåner men kan ibland också orsaka problem. Att implementera ny teknik för specifika ändamål kan öka både effektivitet och säkerhet, vilket resulterar i en mer effektiv arbetsplats. En teknik som introduceras allt mer på sistone är digitala signaturer. Istället för att signera dokument med en handskriven signatur kan en digital signatur vara mer tidseffektiv och ha en högre säkerhet. För att implementera tekniken bakom digitala signaturer måste särskilda säkerhetsaspekter adresseras och specifika inställningar säkerställas. I signaturprocessen måste varje individ verifiera signaturen som är bifogad på dokumentet, denna verifiering skapar även en logg. En logg innehåller bland annat information om vem som verifierade dokumentet, om dokumentet har fler än en bifogad signatur, behöver dokumentet fler signaturer för att vara giltigt och vilken tid och datum var dokumentet signerat. En logg säkerställer validiteten av dokumentet och ökar därmed säkerheten för digitala signaturer. På KTH krävs en skriftlig ansökan för att påbörja ett examensarbete. Med nuvarande process kan det i vissa fall leda till en försenad projektstart med upp till två veckor. Den här studien syftar till att implementera digitala signaturer för ett specifikt formulär, en ansökningsblankett för att påbörja ett examensarbete. Hypotesen vid projektstart var att användning av digitala signaturer skulle kunna förminska väntetiden signifikant. Anställda på KTH som utnyttjar digitala signaturer skulle kunna förbättra deras arbetseffektivitet på grund av färre pappersutskrifter, mindre pappersarkivering och färre möten. Den här studien kommer att förse läsaren med de mest nödvändiga kunskaperna av kryptografi och hur digitala signaturer använder krypteringsfenomenet. Metodiken som användes syftade till att identifiera och modifiera specifika mjukvaruinställningar samt samla in data från studenter och personal på KTH. Den insamlade datan baserades på tidsmätningar av digitala signatursprocesser från studenter, studievägledare och handledare. Resultatet från studien visade att digitala signaturer skulle ge en snabbare signeringsprocess än nuvarande formulär. Det kan dessutom förväntas att med digitala signaturer skulle pappersutskrifter, papperstransporter och sortering av dessa dokument reduceras. Resultatet av minskad användning av fysiskt papper kommer att generera arbetsfördelar.

With the increasing popularity of Internet of Things (IoT), network connected devices and sensors, to easier collect data is security an aspect that must not be forgotten. When sensitive data, such as personal or private data, is sent over the network without protection can it easier be obtained by anyone who want to get their hands on it. This risk increases with the value of the data sent and an increase in security should therefore follow this value. Based on this is it therefore important to look at the security aspects of a sensor network to find ways to easy integrate security such as authentication. This to make sure that the only devices and users accessing or sending data on the network is authorized and not malicious devices. This thesis focuses on the authentication and identification of the devices joining the network to make sure that only trusted devices would be able to join. The protocol in focus is ZigBee but the proposed solution can be integrated with any protocol and utilizes a Key Distribution Center (KDC) together with an authentication method based on the Challenge Handshake Authentication Protocol (CHAP) to authenticate new devices before they are allowed into the network. This solution is secure and relatively simple which makes it easy to integrate with any sensor network. / Med en ökad popularitet av att koppla upp sensorer och apparater mot ett nät- verk för att enklare kunna samla in data är säkerhet en aspekt som inte får glömmas bort. När känslig data, så som personlig eller privat data, skickas över nätverket oskyddat kan någon som vill komma åt datan lättare få tag på den. Denna risk ökar med värdet av datan som skickas och en ökningen av säkerhet bör darav följa ökning av värdet på datan. Utav denna anledning är det viktigt att se över säkerheten i sensornätverk och finna lösningar som lätt kan integreras med ett sensornätverk. Detta för att säkerhetsställa att endast de snesornoder som har auktoritet kan gå med i, samt skicka data på nätverket och därmed undvika oönskad åtkomst. Denna avhandling fukuserar på autentisering och identifiering av de noder som ska anslutas till nätverket för att säkerhetsställa att endast pålitliga och auktoriserade noder blir insläppta. Det protokoll som är i fokus i denna avhandling är ZigBee men den föreslagna lösningen kan även integreras med andra protokoll. Den föreslagna lösning- en använder sig även av ett Key Distribution Center (KDC) samt en autentiseringsmetod som baseras på Challenge Handshake Authentication Protocol (CHAP) för att authentisera nya noder innan de blir insläppta i nätverket. Denna lösning är säker och relativt enkel vilket gör det enkelt att integrera med all typer av sensornätverk.

Under de senaste åren har den mobila tekniken i stort sett helt gått över till smartphones. Smartphones är i princip mer datorer än telefoner, som vi alltid bär med oss och som innehåller allt mer känslig information. Detta medför att kraven på säkerheten kring enheten ökar. Detta arbete undersöker om det är möjligt att finna en ny metod att låta användaren autentisera sig på, som är säkrare än de som är vedertagna idag, men samtidigt har liknande nivå av användbarhet. Vår idé, som vi arbetar med under namnet Colour a Symbol, baseras på att kombinera symboler och färger i par. För att utveckla idén skapade vi en funktionell prototyp, som sedan utvärderadesmed hjälp av en mindre testgrupp. Empirin visar på att Colour a Symbol har en god användbarhet, om än något för lång inloggningstid. Idéer för att förbättra inloggningstiden presenteras. Teoretiskt sett så är Colour a Symbol säkrare än exempelvis pinkod, men testgruppen var inte tillräckligt stor för att kunna bedöma den praktiska lösenordsrymden. Utformning av symboltema påverkar även förmodligen i hög grad den praktiska lösenordsrymden. Vår slutsats är att idén har en klar potential, men att det behövs ytterligare studier för att finslipa den. / During the past years mobile technology has moved almost entirely to smartphones. Smartphones are in essence more computers than phones, which we always carry with us and that contain ever more sensitive information. This requires that the level of security around the device increases. This study strives to find a new method of authenticating users, that is more secure than those that are established today, but at the same time has a similar level of usability. Our idea, which we work with under the name Colour a Symbol, is based upon making combinations of symbols and colours in pairs. In order to develop the idea we created a functional prototype, that was evaluated by a smaller test group. The empirical data implies that Colour a Symbol has good usability, if only a little too long login time. Ideas as to shorten the login time are suggested. Theoretically, Colour a Symbol is more secure than for an example pincode, but the test group was not large enough to estimate the practical password space. Design of the symbol theme probably also affects the practical password space to a high degree. Our conclusion is that the idea has clear potential, but that further studies are needed to fine-tune it.