Background: Swedish authorities' use of popular cloud providers is today the subject of an intense debate. Legislations, like the U.S. CLOUD Act, are applicable across borders, which makes data that is stored on servers located in Sweden affected by U.S. law. Several Swedish organizations mean that the usage of affected cloud providers for storage of sensitive records breaks the Swedish law - Offentlighets- och sekretesslagen. The program for collaboration between Swedish authorities, eSam, says that there is a possibility of withstanding the law, if suitable encryption is used, but states that more research is needed. Objectives: The main objective of this thesis is to research which requirements for encryption mechanisms are needed for Swedish authorities' use of cloud providers affected by legislations like CLOUD Act, without them breaking Swedish laws. The three most popular cloud providers, Amazon Web Services (AWS), Microsoft Azure, and Google Cloud will be compared and examined if requirements on encryption are met. Historically, providers' access to encryption keys is a major threat to data confidentiality. Therefore an alternative encryption method that withholds both encryption keys and clear text, but preserves functionality will be researched. Method: To create fair and good requirements on encryption mechanisms, several threat models are created from the perspective of today's- and future laws. A SWOT-analysis will be used to compare the cloud providers. To research the possibility and usability of alternative encryption in the cloud, a system that withholds both encryption keys and clear text data from the provider is proposed. Result: The result shows that the most popular services like Office 365 and G Suite are not suitable for use by Swedish authorities for the storage of sensitive records. Instead, Swedish authorities can use IaaS-services from both AWS and Microsoft Azure for storage of sensitive records - if the requirements for encryption mechanisms are met. The result also shows that alternative encryption methods can be used as part of a document management system. Conclusion: Swedish authorities should strive to expand their digitalization but should be careful about the usage of cloud providers. If laws change, or political tensions rise, the requirements for the encryption mechanisms proposed in this thesis would not be applicable. In a different situation, Swedish authorities should use alternative solutions which are not affected by an altered situation. One such alternative solution is the document management system proposed in this thesis. / Bakgrund: Idag pågår det en delad debatt gällande lämpligheten för svenska myndigheter att använda utländska molntjänster. Lagstiftningar som bland annat amerikanska CLOUD Act utgör ett hot för svensk suveränitet, eftersom data lagrad i svenska serverhallar kan komma att vara föremål i amerikanska domslut. Vissa organisationer menar då att uppgifter som omfattas av offentlighets- och sekretesslagen (OSL) kan sannolikt betraktas som röjda. Nyttan med att använda molntjänster är generellt sett stor - och bör därför strävas efter att användas. eSam, som är ett program för myndighetssamverkan, menar i ett uttalande att kryptering skulle kunna förhindra ett röjande och möjliggöra användande av dessa molntjänster, men ifrågasätter hur det bör gå till. Syfte: Syftet med detta arbete är att undersöka vilka krav på krypteringsmekanismer som krävs för att lagra sekretessreglerad information i molntjänster utan att bryta mot svensk lagstiftning. Molntjänstleverantörerna, Amazon Web Services (AWS), Microsoft Azure och Google Cloud, kommer att undersökas för att se om dessa lever upp till de identifierade kraven. Historiskt sett är tjänsteleverantörers tillgång till krypteringsnycklar ett stort hot. Därför ska en alternativ krypteringsmetod som bevarar krypteringsnyckel undangömd från tjänsteleverantören undersökas, men som samtidigt bevarar viss funktionalitet med molntjänsten. Metod: För att kunna skapa korrekta och rimliga krav på krypteringsmekanismer skapas hotmodeller som utgår från juridiken. En SWOT-analys kommer användas för att jämföra vilka molntjänstleverantörer som lever upp till kraven. För att undersöka möjligheten och nyttan med alternativa krypteringsmekanismer, implementeras ett förslag på system där varken krypteringsnyckel eller data i klartext tillgås molntjänstleverantören. Resultat: Resultatet visar att populära tjänster som exempelvis Office 365 och G Suite är direkt olämpliga för användning av svenska myndigheter. Det visar sig att IaaS-tjänster som tillhandahålls av AWS och Microsoft Azure i viss mån lämpar sig för användning - förutsatt att vissa krav uppfylls. Resultatet visar även att det är möjligt att använda alternativa krypteringsmetoder som en del i ett dokumenthanteringssystem. Slutsats: Svenska myndigheter bör sträva efter att öka sin digitalisering, men bör ta ordentliga försiktighetsåtgärder innan eventuella upphandlingar av molntjänster sker. Skulle det juridiska eller säkerhetspolitiska läget förändras kommer de krav på krypteringsmekanismer som presenteras i arbetet inte längre vara tillämpliga. I ett förändrat läge bör svenska myndigheter istället använda alternativa lösningar som inte påverkas, likt det dokumenthanteringssystem som arbetet presenterar.

Background: A recent study shows that key management in the cooperate world is very painful due to, among other reasons, a lack of knowledge and resources. Instead, some companies embed the encryption keys and other software secrets directly in the source code for the application that uses them, introducing the risk of exposing the secrets. Today, there are multiple systems for managing keys. However, it can be hard to pick a suitable one. Objectives: The objectives of the thesis are to identify available key management systems for securing secrets in software, evaluate their eligibility to be used by small businesses based on various attributes and recommend a best practice to configure the most suited system for managing software secrets. Methods: Key management systems are identified through an extensive search, using both scientific and non-scientific search engines. Identified key management systems were compared against a set of requirements created from a small business perspective. The systems that fulfilled the requirements were implemented and comprehensively evaluated through SWOT analyses based on various attributes. Each system was then scored and compared against each other based on these attributes. Lastly, a best practice guide for the most suitable key management system was established. Results: During the thesis, a total of 54 key management systems were identified with various features and purposes. Out of these 54 systems, five key management systems were comprehensively compared. These were Pinterest Knox, Hashicorp Vault, Square Keywhiz, OpenStack Barbican, and Cyberark Conjur. Out of these five, Hachicorp Vault was deemed to be the most suitable system for small businesses. Conclusions: There is currently a broad selection of key management systems available. The quality, price, and intended use of these vary, which makes it time-consuming to identify the system that is best suitable based on the needs. The thesis concludes Hachicorp Vault to be the most suitable system based on the needs presented. However, the thesis can also be used by businesses with other needs as a guideline to aid the problem of choosing a key management system. / Bakgrund: En ny studie visar att nyckelhantering i företagsvärlden är väldigt omständligt, bland annat på grund av brist av kunskap och resurser. Istället väljer vissa företag att inkludera krypteringsnycklar och andra mjukvaruhemligheter direkt i källkoden för applikationen som ska använda dem, och därmed introducerar risken att exponera hemligheterna om källkoden skulle bli tillgänglig för en obehörig part. Syfte: Syftet med denna avhandling är att identifiera tillgängliga nyckelhanteringssystem för att säkra upp mjukvaruhemligheter, bedöma deras lämplighet för småföretag genom att utvärdera dem baserat på olika egenskaper, och rekommendera bästa praxis för att konfigurera det mest lämpliga nyckelhanteringssystemet. Metod: Nyckelhanteringssystem har identifierats genom en omfattande sökning i både vetenskapliga och icke-vetenskapliga sökmotorer. Identifierade nyckelhanteringssystem jämfördes med ett antal krav skapade från ett småföretags-perspektiv. De systemen som uppfyllde kraven implementerades och utvärderades omfattande genom SWOT analyser baserade på attribut för exempelvis funktioner, prestanda, användarvänlighet och uppskattat framtida stöd. Varje system fick sedan en poäng som jämfördes mot de andra systemen baserat på dessa attributen. Till sist togs även en bästa praxis fram för det mest lämpade nyckelhanteringssystemet. Resultat: Under avhandlingen identifierades totalt 54 nyckelhanteringssystem med olika funktioner och syften. Utav dessa system jämfördes fem omfattande. Dessa var Pinterest Knox, Hashicorp Vault, Square Keywhiz, OpenStack Barbican och Cyberark Conjur. Utav dessa fem ansågs Hachicorp Vault vara det mest lämpade systemet för småföretag. Slutsatser: Det finns nuvarande ett brett utbud av nyckelhanteringssystem tillgängliga. Kvalitén, priset och deras syfte varierar vilket gör det tidskrävande att identifiera det systemet som best lämpar sig till ens behov. Avhandlingen anser Hachicorp Vault vara den mest lämpliga baserat på de presenterade behoven, men avhandlingen kan också användas av företag med andra behov som en guide för att underlätta problemet med att välja ett lämpligt nyckelhanteringssystem.

Background. China is regulating the import, export, sale, and use of encryption technology in China. If any foreign company wants to develop or release a product in China, they need to report their use of any encryption technology to the Office of State Commercial Cryptography Administration (OSCCA) to gain approval. SM2, SM3, and SM4 are cryptographic standards published by OSCCA and are authorized to be used in China. To comply with Chinese cryptography laws organizations and companies may have to replace standard cryptographic algorithms in their systems with Chinese cryptographic algorithms, such as SM2, SM3, and SM4. It is important to know beforehand how the replacement of algorithms will impact performance to determine future system costs. Objectives. Perform a theoretical study and performance comparison of the standard cryptographic algorithms and Chinese Cryptographic algorithms. The standard cryptographic algorithms studied are RSA, ECDSA, SHA-256, and AES-128, and the Chinese cryptographic algorithms studied are SM2, SM3, and SM4. Methods. A literature analysis was conducted to gain knowledge and collect information about the selected cryptographic algorithms in order to make a theoretical comparison of the algorithms. An experiment was conducted to get measurements of how the algorithms perform and to be able to rate them. Results. The literature analysis provides a comparison that identifies design similarities and differences between the algorithms. The controlled experiment provides measurements of the metrics of the algorithms mentioned in objectives. Conclusions. The conclusions are that the digital signature algorithms SM2 and ECDSA have similar design and also similar performance. SM2 and RSA have fundamentally different designs, and SM2 performs better than RSA when generating keys and signatures. When verifying signatures, RSA shows comparable performance in some cases and worse performance in other cases. Hash algorithms SM3 and SHA-256 have many design similarities, but SHA-256 performs slightly better than SM3. AES-128 and SM4 have many similarities but also a few differences. In the controlled experiment, AES-128 outperforms SM4 with a significant margin. / Bakgrund. Kina reglerar import, export, försäljning och användning av krypteringsteknologi i Kina. Om ett utländskt företag vill utveckla eller släppa en produkt i Kina måste de rapportera sin användning av krypteringsteknologi till Office of State Commercial Cryptography Administration (OSCCA) för godkännande. SM2, SM3 och SM4 är kryptografiska standarder som lagligt får används i Kina. Organisationer och företag kan behöva byta ut krypteringsalgoritmerna i sina system till kinesiska krypteringsalgoritmer för att uppfylla kraven för de kinesiska lagarna. Det är därför viktigt att i förväg veta hur ersättningen av algoritmer kommer att påverka prestandan för att utvärdera framtida kostnader för systemet. Syfte. Genomföra en teoretisk studie och prestanda jämförelse av standard krypteringsalgoritmer och kinesiska krypteringsalgoritmer. De standard krypteringsalgoritmerna är RSA, ECDSA, SHA-256 och AES-128. De kinesiska krypteringsalgoritmerna är SM2, SM3 och SM4. Metod. En litteraturanalys har genomförts för att få en bättre förståelse av de valda algoritmerna. Ett experiment har genomförts för att samla mätvärden av de bestämda parametrarna och för att sedan kunna ranka mätvärdena. Resultat. Litteraturanalysen gav en jämförelse som identifierar likheter och skillnader mellan algoritmerna. Det kontrollerade experimentet gav mätvärden av parametrarna för algoritmerna nämnda i syftet. Slutsatser. Slutsatserna är att de digitala signatur-algoritmerna SM2 och ECDSA har liknade design och också liknade prestanda. SM2 och RSA har fundamentala skillnader i deras design, och SM2 har bättre prestanda vid nyckelgenerering samt signaturgenerering. Vid verifiering av signaturer så visar RSA likvärdig prestanda i vissa fall och sämre prestanda i andra fall. Hashfunktionerna SM3 och SHA-256 har också många likheter i sin design, men SHA-256 presterar lite bättre än SM3. AES-128 och SM3 har många design likheter men också några skillnader. I det kontrollerade experimentet så presterar AES-128 bättre än SM4 med stor marginal.

Den svenska it-politiken har som mål att den offentliga sektorn i Sverige ska bli bäst i världen på att ta tillvara på digitaliseringens möjligheter. Flera studier har påvisat att digitaliseringen av den offentliga sektorn kan gynnas genom en användning av molntjänster. När det talas om den offentliga sektorns molntjänstanvändning åsyftas i regel att en extern molntjänstleverantör tillgängliggör en funktion till användaren som denne vanligtvis hanterar på egen hand. Genom att använda molntjänster för informationshantering överförs uppgifter, däribland möjligtvis även sekretessreglerade sådana, till en molntjänstleverantör. I den här uppsatsen utreds huruvida den offentliga sektorns molntjänstanvändning är förenlig med den svenska sekretesslagstiftningen. Uppsatsen fokuserar på dels röjande av en sekretessreglerad uppgift för en molntjänstleverantör, dels utlämnande av en sekretessreglerad uppgift till en molntjänstleverantör efter en skade- och menprövning. I samband med de ovanstående rättsfrågorna utreds huruvida kryptering av de uppgifter som överförs är en lösning på de rättsliga problem som uppkommer när molntjänster används.

Nyligen har stora framsteg gjorts i att tillämpa djupinlärning på sidokanalat- tacker. Detta medför ett hot mot säkerheten för implementationer av kryp- tografiska algoritmer. Konceptuellt är tanken att övervaka ett chip medan det kör kryptering för informationsläckage av ett visst slag, t.ex. Energiförbrukning. Man använder då kunskap om den underliggande krypteringsalgoritmen för att träna en modell för att känna igen nyckeln som används för kryptering. Modellen appliceras sedan på mätningar som samlats in från ett chip under attack för att återskapa krypteringsnyckeln. Vi försökte förbättra modeller från ett tidigare arbete som kan finna en byte av en 16-bytes krypteringsnyckel för Advanced Advanced Standard (AES)-128 från över 250 mätningar. Vår modell kan finna en byte av nyckeln från en enda mätning. Vi har även tränat ytterligare modeller som kan finna inte bara en enda nyckelbyte, men hela nyckeln. Vi uppnådde detta genom att ställa in vissa parametrar för bättre modellprecision. Vi samlade vår egen tränings- data genom att fånga en stor mängd strömmätningar från ett Xmega 128D4 mikrokontrollerchip. Vi samlade också mätningar från ett annat chip - som vi inte tränade på - för att fungera som en opartisk referens för testning. När vi uppnådde förbättrad precision märkte vi också ett intressant fenomen: vissa labels var mycket enklare att identifiera än andra. Vi fann också en stor varians i modellprecision och undersökte dess orsak. / Recently, substantial progress has been made in applying deep learning to side channel attacks. This imposes a threat to the security of implementations of cryptographic algorithms. Conceptually, the idea is to monitor a chip while it’s running encryption for information leakage of a certain kind, e.g. power consumption. One then uses knowledge of the underlying encryption algorithm to train a model to recognize the key used for encryption. The model is then applied to traces gathered from a victim chip in order to recover the encryption key.We sought to improve upon models from previous work that can recover one byte of the 16-byte encryption key of Advanced Encryption Standard (AES)-128 from over 250 traces. Our model can recover one byte of the key from a single trace. We also trained additional models that can recover not only a single keybyte, but the entire key. We accomplished this by tuning certain parameters for better model accuracy. We gathered our own training data by capturing a large amount of power traces from an Xmega 128D4 microcontroller chip. We also gathered traces from a second chip - that we did not train on - to serve as an unbiased set for testing. Upon achieving improved accuracy we also noticed an interesting phenomenon: certain labels were much easier to identify than others. We also found large variance in model accuracy and investigated its cause.

Troligen har de allra flesta hört talas ”molnet” eller molnlagring. Molnlagring är populärt och användbart för att säkerhetskopiera, dela och göra information lättåtkomligt från flera enheter. Mega, Dropbox, Google Drive och OneDrive är några av alla de tjänster som finns idag, de erbjuder lite olika funktionalitet och inriktningar. Ett problem med alla dessa tjänster är att det som standard endast är den som äger kontot som har tillgång till materialet som är uppladdat. Det gör att information som bilder kan bli förlorade om kontoinnehavaren avlider. Säkerheten, i form av möjligheterna för tredje part att komma åt informationen, är ofta okänd för användarna i dessa tjänster. Dessa två problem vill EmbeddedArt åtgärda med sin nya tjänst. Datan ska förvaras krypterad och otillgänglig för utomstående samtidigt som det ska vara möjligt för användarna att ange en person som ska få tillgång till informationen om kontoinnehavaren avlider. Tanken är att skicka ut krypteringsnyckeln och ett USB-minne med den krypterade datan som användaren sedan själv enkelt kan avkryptera på sin dator med det medföljande programmet, krypteringsnyckeln och datan måste skickas separat. Även om det finns generella förslag på publik nyckelinfrastrukturer (PKI) finns det inte någon som uppfyller dessa krav och har modern, stark kryptering. Att tjänsten håller användares information säker från tredje part är viktigt för användarnas integritet och förtroende för tjänsten. Men för att få användare till, och fortsätta använda, tjänsten måste den även vara användarvänlig. Utöver att tjänsten ska vara snabb, ha många funktioner och lagra datan säkert måste det vara möjligt för administratörerna att kunna avkryptera datan. Hur kan då en PKIlösning se ut där det blir en bra balans mellan dessa viktiga punkter? I denna rapport studeras och föreslås hur en sådan lösning kan se ut för en molnlagringstjänst. Den föreslagna säkerhetslösningen implementeras i en existerande molnlagringstjänst. Resultatet jämförs med hur molnlagringstjänsten fungerade innan och utvärderas på punkterna användarvänlighet, säkerhet, prestanda samt fortsatt utveckling av tjänsten. Förslaget som presenteras är en lösning där innehållet i användarnas filer är skyddat och funktionerna i tjänsten inte är förändrade. Både RSA (Rivest-Shamir-Adleman kryptering) och AES (avancerad krypteringsstandard) används för att skydda innehållet i användarnas filer. Lagring av och operationer med nycklarna är fördelade på olika servrar, varav en som med fördel kan bytas ut, eller utökas med en koppling, till en hårdvarusäkerhetsmodul (HSM). Tjänstens ägare har tillgång till de privata nycklarna och kan således komma åt innehållet i filerna. Vissa kostnader går inte att undvika på grund av krypteringen och de extra delarna i infrastrukturen. För att minimera påverkan på den existerande tjänsten och underlätta för framtida utveckling har de kryptografiska operationerna hakats in i filströmmarna. I de utförda testerna är prestandaförlusten cirka 10–15% vid uppladdning av filer. / Most people have probably heard of the cloud or cloud storage. Cloud storage is popular and useful for backing up, sharing and making information easily accessible from multiple devices. Mega, Dropbox, Google Drive and OneDrive are some of the services that are available today, they offer a little different functionality and orientation to compete with each other. A problem with all these services is that by default, only the owner of the account has access to the material or login. This means that information such as images might be lost if the account holder dies. Security, in the form of encryption and third party access to the information, is often unknown to the users of these services. EmbeddedArt wants to fix these two issues with their new service. The data shall be kept encrypted and unavailable to third parties at the same time as it should be possible for users to enter a person who will have access to the information if the account holder dies. The idea is to send out the encryption key and a USB memory with the encrypted data that the user can then easily encrypt on his computer with the included application. Although there are general suggestions for public key infrastructure (PKI) structures, there doesn’t seems to be any that meets these requirements and has modern, strong encryption. It is important that service keeps user information secure from third parties for the users' integrity and trust in the service. But to get users to the service, it must also be user friendly. While the service should be fast, have many features and store the data for sure, it must be possible for administrators to access the information. How can a PKI solution be designed to have a good balance between these important points? This report examines and proposes a solution for how a solution can look like for a cloud storage service. The suggested security solution is implemented in an existing cloud storage service. The result is then compared with the service before implementation with regard to the points of usability, security, performance and continued development of the service.   The proposal presented is a solution where the contents of users’ files are protected, and the features of the service are not changed. Both RSA (Rivest-Shamir-Adleman Encryption) and AES (Advanced Encryption Standard) are used to protect the contents of the users’ files. Storage and cryptographic operations with the keys are distributed on different servers, one of which may be replaced by a hardware security module (HSM). The service owner has access to the private keys and can thus access the contents of the files. Some costs cannot be avoided, but in order to minimize them and make the least changes in the service, the cryptographic operations have been inserted into the file streams. In the tests performed, the performance loss is 10-15% when uploading files.  Keywords

<p>Validerat; 20101217 (root)</p>

A digital signature is the electronic counterpart to the hand written signature. It can prove the source and integrity of any digital data, and is a tool that is becoming increasingly important as more and more information is handled electronically. Digital signature schemes use a pair of keys. One key is secret and allows the owner to sign some data, and the other is public and allows anyone to verify the signature. Assuming that the keys are large enough, and that a secure scheme is used, it is impossible to find the private key given only the public key. Since a signature is valid for the signed message only, this also means that it is impossible to forge a digital signature. The most well-used scheme for constructing digital signatures today is RSA, which is based on the hard mathematical problem of integer factorization. There are, however, other mathematical problems that are considered even harder, which in practice means that the keys can be made shorter, resulting in a smaller memory footprint and faster computations. One such alternative approach is using elliptic curves. The underlying mathematical problem of elliptic curve cryptography is different to that of RSA, however some structure is shared. The purpose of this thesis was to evaluate the performance of elliptic curves compared to RSA, on a system designed to efficiently perform the operations associated with RSA. The discovered results are that the elliptic curve approach offers some great advantages, even when using RSA hardware, and that these advantages increase significantly if special hardware is used. Some usage cases of digital signatures may, for a few more years, still be in favor of the RSA approach when it comes to speed. For most cases, however, an elliptic curve system is the clear winner, and will likely be dominant within a near future. / En digital signatur är den elektroniska motsvarigheten till en handskriven signatur. Den kan bevisa källa och integritet för valfri data, och är ett verktyg som blir allt viktigare i takt med att mer och mer information hanteras digitalt. Digitala signaturer använder sig av två nycklar. Den ena nyckeln är hemlig och tillåter ägaren att signera data, och den andra är offentlig och tillåter vem som helst att verifiera signaturen. Det är, under förutsättning att nycklarna är tillräck- ligt stora och att det valda systemet är säkert, omöjligt att hitta den hemliga nyckeln utifrån den offentliga. Eftersom en signatur endast är giltig för datan som signerades innebär detta också att det är omöjligt att förfalska en digital signatur. Den mest välanvända konstruktionen för att skapa digitala signaturer idag är RSA, som baseras på det svåra matematiska problemet att faktorisera heltal. Det finns dock andra matematiska problem som anses vara ännu svårare, vilket i praktiken innebär att nycklarna kan göras kortare, vilket i sin tur leder till att mindre minne behövs och att beräkningarna går snabbare. Ett sådant alternativ är att använda elliptiska kurvor. Det underliggande matematiska problemet för kryptering baserad på elliptiska kurvor skiljer sig från det som RSA bygger på, men de har en viss struktur gemensam. Syftet med detta examensarbete var att utvärdera hur elliptiska kurvor presterar jämfört med RSA, på ett system som är designat för att effektivt utföra RSA. De funna resultaten är att metoden med elliptiska kurvor ger stora fördelar, även om man nyttjar hårdvara avsedd för RSA, och att dessa fördelar ökar mångfaldigt om speciell hårdvara används. För några användarfall av digitala signaturer kan, under några år framöver, RSA fortfarande vara fördelaktigt om man bara tittar på hastigheten. För de flesta fall vinner dock elliptiska kurvor, och kommer troligen vara dominant inom kort.

<p>This master’s thesis investigates the technology and security awareness associated with wireless networks (WLAN). It has been stated by the media and theories that many wireless networks are unprotected. This has sparked an interest to investigate the phenomenon in the Jonkoping region. The study is based on the following research questions:</p><p>- What security weaknesses are present with the WLAN-technology and how can these be avoided?</p><p>- How does the wireless infrastructure in the Jonkoping region look like?</p><p>- Why do companies implement the WLAN-technology?</p><p>- Are the companies aware of the risks involved with WLAN?</p><p>We conducted this study in three steps; the first step was to hack a wireless network in a controlled environment in order to investigate the weaknesses of the commonly used security measures. The second step of the study was to scan the wireless networks in Jonkoping, Gnosjo and Nassjo in order to create a picture of the wireless infrastructure of the region. The third step of the study was to contact companies that we found in the second step for interviews to investigate their awareness of the technology and its weaknesses.</p><p>We found that WLANs and their security measures have weaknesses. The commonly used WEP encryption can quite easily be broken and can lure users into a false sense of security. The study shows that companies are aware of this weakness, but use the encryption be-cause it offers a good level of usability and security. It is a compromise between usability and security. Usability is one of the major factors for companies when implementing wireless networks, companies strive for mobility, easy access and ease of use, which the WLAN technology offers. This has lead to an extended wireless infrastructure in cities within the region where one, with ease, can find wireless networks outside buildings. We have noticed an increase in the security awareness as our empirical findings differ from earlier research conducted in other cities. When these studies are compared you can see a trend where the number of unprotected networks decreases. Our contribution to increased wireless security is a checklist of possible security measures to minimize the security threats.</p> / <p>Denna magisteruppsats undersöker tekniken och säkerhetsmedvetandet gällande trådlösa nätverk (WLAN). Då det tidigare uppmärksammats i media och teori att många trådlösa nätverk står oskyddade har detta skapat intresse att undersöka fenomenet i Jönköpingsregionen. Studien baseras på följande frågeställningar:</p><p>- Vilka säkerhetsluckor finns i WLAN och hur kan dessa undvikas?</p><p>- Hur ser WLAN-infrastrukturen ut i Jönköpingsregionen?</p><p>- Varför implementerar företag WLAN-tekniken?</p><p>- Är företag medvetna om riskerna med trådlösa nätverk?</p><p>För att skapa en helhetsbild har vi genomfört studien i tre steg varav vi, i det första steget, genomfört dataintrång i en kontrollerad miljö för att undersöka svagheterna med säkerhetsfunktionerna som används i trådlösa nätverk. I det andra steget undersökte vi med hjälp av bärbar dator trådlösa nätverk i Jönköping, Gnosjö och Nässjö. Detta för att skapa oss en uppfattning om hur WLAN-infrastrukturen ser ut i dagsläget. Steg tre innebar intervjuer med företag som vi funnit i samband med steg två rörande deras medvetenhet om tekniken och dess brister.</p><p>Teorin och vår empiri gav oss underlag att dra slutsatser utifrån våra frågeställningar. Vi fann att WLAN och dess säkerhetsfunktioner har vissa sårbarheter. Den mest förekommande krypteringstekniken, WEP, kan dekrypteras tämligen enkelt och kan vagga in användarna i en falsk säkerhet. Studien visar att företagen är medvetna om detta, men att det handlar om en medveten kompromiss mellan användarvänlighet och säkerhet. Användarvänligheten står till grund för varför företagen väljer att implementera den trådlösa tekniken. Företag eftersträvar mobilitet, smidighet och enkel access, vilket den trådlösa tekniken erbjuder. Detta har lett till en utökad trådlös infrastruktur i städer runtom i regionen där man med lätthet kan hitta trådlösa nätverk utanför byggnader. Vi har noterat ett ökat säkerhetsmedvetande då våra empiriska resultat skiljer sig något från tidigare undersökningar i andra städer. När dessa ställs mot varandra anar man en trend där antalet oskyddade trådlösa nätverk minskar. Vårt bidrag till ökad trådlös säkerhet är en checklista med möjliga åtgärder för att minimera säkerhetsriskerna.</p>

<p>The use of insecure networks -such as the Internet- to send and receive information has made the need for preventing unauthorised people reading it yet more important. One of the easiest way to do this is through public key cryptography. However, the problem with this solution is how to tie a specific public key to a certain subject. This is solved by letting a trusted third party issue a certificate that holds, as a minimum, the name of the subject and the subject's public key along with the issuer's digital signature on the information. The rules we make for issuing, revoking and verifying of certificates and the entities that are being used to do so are called PKI - Public Key Infrastructure. In this thesis we shall se what PKI really is in a more detailed way and which entities it constitutes of. We will also investigate some of the areas in which we could make use of it, for instance secure e-mail and virtual private networks. Next, we will look into some of the drawbacks with PKI and what you should think of in order to aviod these. Finally, we'll give recommendations for the implementation itself. As for the theory of cryptography, the basics is presented to the interested reader in a separate appendix.</p>