Uppsatsen bygger på en analys av en exit-nod i Tor-nätverket i syfte att efterlikna ett tidigare experiment från 2007. Experimentet går ut på att analysera den information som kommer genom nätverket för att leta efter okrypterade lösenord. Experimentet görs i syfte att påvisa de brister som finns i nätverket och i användarnas säkerhetsmedvetande. Arbetet utgår från frågeställningarna: Går det att utvinna känslig information från en exit-nod i Tor-nätverket. -       Går det att utvinna okrypterade lösenord från en exit-nod i nätverket? -       Vilka typer av tjänster tillhör lösenorden som uppkommer i analysen av den insamlade data? För att kunna besvara mina tre frågeställningar har jag valt att göra ett experimentellt arbete för att ta reda på om användarna skickar okrypterade lösenord, och till vilka tjänster lösenorden tillhör. Som referens för min metod användes Dan Egerstads experiment[9] och ShiningLight in Dark Places: Understanding the Tor[11]. Genom att kombinera metoderna i dessa två arbeten uppnådes förljande resultat: 24 okrypterade lösenord på 54,5 GB insamlad data. Statistiskt sett skickas det 1 okrypterat lösenord per 2,1 GB data.

Syftet med denna uppsats är att ta reda på hur systemvetares lösenordsvanor ser ut. En kvantitativ enkätundersökning har genomförts med individer med anknytning till systemvetenskap vid Uppsala universitet. Enkäten utformades utifrån tidigare liknande studier och med hänsyn till lösenordsläckor där enkla lösenord visat sig vara vanligt förekommande. Analys av resultatet gav slutsatsen att systemvetare har bättre lösenordsvanor när det kommer till skapande av lösenord än deltagarna i den tidigare studien. Det förekommer dock brister bland systemvetarna gällande sättet att lagra lösenord där de utsätter lösenorden för onödig risk.

Kontext. För att inte glömma sitt lösenord så väljer användare korta lösenord. Att användare väljer korta lösenord är en säkerhetsrisk som behöver förebyggas. Det finns forskning som pekar på att det är lättare för människor att komma ihåg en bild jämfört med en text. Om grafiska lösenord i form av en bild används istället för teckenbaserade lösenord i form av text skulle användare kunna välja svårare lösenord i form av komplexa lösenordsmönster och samtidigt minska risken att glömma dem. Mål. I projektet utförs en jämförelse mellan teckenbaserade och grafiska lösenord av typen DAS inom områdena användarvänlighet och säkerhet. Inom användarvänlighet så jämförs tiden det tar att registrera samt logga in med ett lösenord av respektive typ. Det jämfördes även hur många lyckade kontra misslyckade inloggningar som gjordes med respektive lösenordstyp. För säkerhet så jämfördes tiden det tar att utföra en lyckad bruteforce-attack mot lösenordssträngarna. Metoder. Den första metoden som användes var en litteraturstudie på vad som tidigare gjorts på området. Litteraturstudien uppföljdes av implementation av två program där det första tillämpade traditionella teckenbaserade lösenord och det andra tillämpade grafiska lösenord av typen DAS. De implementerade programmen användes i experiment med deltagare som gav värden att jämföra och analysera. Resultat. Experimentresultat gav en indikation på att de grafiska lösenorden var bättre i båda aspekterna för användarvänlighet. Liknande indikation gavs för säkerhetsaspekten där även experimentet för de grafiska lösenorden returnerade bättre värde. Det enda värde som pekade för teckenbaserade lösenord var att deltagare av experimentet föredrog de teckenbaserade över grafiska lösenorden. Slutsatser. Det ges en indikation för att grafiska lösenord kan vara mer användarvänliga samt säkrare jämfört med traditionella teckenbaserade lösenord för de aspekter som jämfördes. Det behöver göras fler och större experiment innan det går att fastslå en slutsats om vilken lösenordstyp som är bäst för användarvänlighet samt säkerhet.

Lösenord är än idag den vanligaste formen av autentisering online. Det tillsammans med en fortsatt ökning av möjligheten att sköta nästintill allt i sitt liv via internet gör att svenskar måste ta ett allt större ansvar att använda sig av säkra sätt att autentisera sig på. Det kan vara att man använder sig av starka lösenord, eller flera lager av olika autentiseringsmetoder. Tvåstegsverifiering är ofta den enklaste formen av extra skydd mot obehörig åtkomst till sina konton. Starka lösenord som är både långa och som innehåller flera olika teckenklasser är också viktigt. Denna undersökningen tar hjälp av en enkätstudie för att samla in data och kartlägga hur svenskars lösenordsvanor ser ut idag. Resultatet av undersökningen visar att svenskar i stor utsträckning använder sig av mellan 6–15 konton varje månad. Resultatet visar även att man i stor utsträckning använder sig av tvåstegsverifiering till mellan 1–5 av dessa konton. En majoritet av svenskar använder sig även av för korta lösenord, med hela 62% som använder sig av lösenord som bara är upp till 12 tecken långa.

With the growth of digital information and technology, more websites require user authentication to access individuals' sensitive information. The main form of authentication are passwords which if chosen unwisely can easily be guessed or cracked by someone else. This is why it is important to create safe yet memorable passwords. The goal of this report was to develop a program that is able to detect commonly used patterns within passwords in order to transform a specified user inputted password into a more secure password without sacrificing the memorability of the original input. This was realized by analyzing lists of common passwords and partaking in a literature study within this field to identify the patterns present within those password lists. Based on the pattern analysis the program could be designed and developed using python to transform a password into three different password classes with differing levels of security and memorability. The password cracking software hashcat as well as online resources were used to estimate the time it would crack each set of passwords to then gain an understanding of the security levels between them. Results show that it is possible to perform password generation without sacrificing too much security while still having the passwords somewhat memorable. / Med framväxten av digital information och teknik kräver fler webbplatser användarautentisering för att få tillgång till individers känsliga information. Den huvudsakliga formen av autentisering är lösenord, och om de väljs oklokt, kan lätt gissas eller knäckas av någon annan. Det är därför det är viktigt att skapa säkra men ändå minnesvärda lösenord. Målet med denna rapport var att utveckla ett program som kan upptäcka vanliga mönster i lösenord för att omvandla ett specifikt användar inmatat lösenord till ett säkrare lösenord utan att offra minnesvärdheten av den ursprungliga inmatningen. Detta förverkligas genom att analysera listor med vanliga lösenord och delta i en litteraturstudie inom detta område för att identifiera mönstren som finns i dessa lösenordslistor. Baserat på mönsteranalysen kunde programmet designas och utvecklas med Python för att omvandla ett lösenord in till tre olika lösenordsklasser med olika nivåer av säkerhet och minnesvärdhet. Mjukvaran ”hashcat” (ett lösenordsåterställningsverktyg) samt resurser från nätet användes för att uppskatta den tid det skulle ta att knäcka varje uppsättning av lösenord för att sedan få en förståelse för säkerhetsnivåerna mellan dem. Resultaten visar att det är möjligt att digitalt generera lösenord utan att offra för mycket säkerhet, samtidigt som lösenorden behåller minnesvärdheten.

Due to its simplicity and deployability, password authentication is today's most common way of authentication. In conjunction with increasing numbers of accounts per user, the amount of passwords to be remembered is rising as well. This puts a noticeable strain on human memory which users attempt to mitigate by writing them down, reusing them or selecting overly simple ones. In order to prevent such behavior and the security issues it is accompanied by, finding ways to generate memorable passwords is imperative. The conducted systematic literature review aimed to identify to which extent different password creation strategies are facilitating the generation of memorable passwords. Several search term combinations were used to probe four scientific databases for peer-reviewed articles that satisfy distinct selection criteria. Afterwards, backward snowballing was conducted and references of already accepted publications were checked against identical selection criteria. Eventually, 61 accepted articles underwent a qualitative data analysis by means of grounded theory. The analysis showed that different composition strategies entailed substantial differences in memorability. Those that infused passwords with deeper meaning to the user were found easy to remember whereas failing to infuse meaning impeded recall. Overall, user-generated passwords turned out be more memorable than system-generated ones. / På grund av sin enkelhet och användbarhet är lösenordsautentisering dagens mest använda sätt att autentisera sig. Antalet lösenord som ska minnas ökar i samband med ett stigande antal konton per användare. Detta utgör en tydlig belastning för det mänskliga minnet vilket användarna försöker lindra genom att skriva ner lösenord, återanvända dem eller välja alltför enkla varianter. Att hitta sätt att skapa lösenord som är lätta att komma ihåg är en nödvändighet för att förebygga liknande beteenden samt de säkerhetsproblem som de är förknippade med. Den utförda systematiska litteraturstudien hade som mål att identifiera i vilken omfattning olika strategier för lösenordskonstruktion underlättar skapandet av minnesvärda lösenord. Ett flertal kombinationer av sökbegrepp användes för att söka i fyra vetenskapliga databaser efter granskade artiklar som uppfyller tydliga urvalskriterier. Efteråt användes backward snowballing och referenser av redan accepterade publikationer kontrollerades med samma urvalskriterier. Till slut genomgick 61 accepterade artiklar en kvalitativ dataanalys med hjälp av grounded theory. Analysen visade att olika kompositionsstrategier förde med sig betydande skillnader gällande hur minnesvärda resulterande lösenord var. Strategier som fyllde lösenord med djupare betydelse för användaren ansågs vara lätta att minnas medan det var svårare att komma ihåg dem när ingen betydelse ingjutits. Över lag visade sig användargenererade lösenord vara lättare att komma ihåg än systemgenererade.

Denna studie berör de lösenord som studenterna vid Högskolan i Borås använder sig av, och omdessa är tillräckligt bra för att skydda den information de vill skydda. Den tar upp de problemsom finns med att använda lösenord som autentiseringslösning, samt de egenskaper som skaparett bra lösenord.Ett bra lösenord innehåller fler än fjorton tecken och är en blandning av bokstäver (gemener ochversaler), siffror och specialtecken, och innehåller inga fraser, välkända uttryck eller ord som ståri en ordlista. Lösenorden krypteras ofta med en så kallad hashfunktion, en envägsfunktion somskapar en kontrollsumma. Om man på ett säkert sätt skall spara lösenorden med denna metod börman använda ett så kallat salt, en textsträng som gör själva lagringen säkrare.För att knäcka lösenord kan man använda sig av flera olika metoder: Så kalladedictionaryattacker, som skapar lösenord utifrån en ordlista; brute forceattacker som används föratt slumpa fram möjliga permutationer och sedan jämföra med lösenordet man vill knäcka; samtrainbow tableattacker, en metod där man använder färdiggenererade tabeller som innehåller allamöjliga permutationer.Vi har genom en enkät fått en bild av hur studenterna vid Högskolan i Borås lösenord ser ut. Vihar genom ett experiment bekräftat att dictionaryattacker kan knäcka 34 % av samtliga lösenord,och detta är endast en av metoderna. Vi har också kommit fram till att en autentiseringslösningmed enbart användarnamn/lösenord inte är en fullgod lösning ur ett IT-säkerhetsperspektiv,samtidigt som den kanske inte stjälper hela informationssystemet. / Uppsatsnivå: C

<p>Datasäkerhet är ett viktigt ämne som många gånger är förbisett. Visst har man lärt sig att datavirus är farliga och att man måste ha antivirusprogram men redan när det gäller hantering av användarkonton och lösenord brister många organisationer fatalt. Varför är det så? Har man inte lärt sig? Saknas kunskapen?</p><p>Utifrån dessa frågor har vi undersökt Kriminalvården i Norrköping. Vi hade nog inte så höga tankar från början men vi kunde snart konstatera att visst finns det organisationer med ett genomtänkt säkerhetsarbete. Efter en första intervju verkade denna organisation närmast vattentät men efter ytterligare undersökningar konstaterade vi att ledningens genomtänkta system inte fullständigt hade nått ner till personalen på golvet.</p><p>Då undrar man naturligtvis varför. Är det systemet som brister eller är det sättet att kommunicera? Hur lätt har personalen att göra sig hörd med sina idéer? Förstår man varandra?</p><p>Det är i dessa frågor som det verkliga datasäkerhetsarbetet ligger och det är därför som det trots allt är så svårt.</p><p>Vår uppsats visar på ett antal konkreta problem som Kriminalvården har. Framförallt finns det ett kommunikationsproblem där användarna upplever att de inte når fram till ledningen med sina åsikter om hur systemet, och då inte bara själva datasystemet utan också regelsystemet, fungerar och hur det skulle kunna förbättras. Man har också problem med att användarna behöver alltför många lösenord för att få tillgång till de system man behöver använda i sitt arbete.</p>

Datasäkerhet är ett viktigt ämne som många gånger är förbisett. Visst har man lärt sig att datavirus är farliga och att man måste ha antivirusprogram men redan när det gäller hantering av användarkonton och lösenord brister många organisationer fatalt. Varför är det så? Har man inte lärt sig? Saknas kunskapen? Utifrån dessa frågor har vi undersökt Kriminalvården i Norrköping. Vi hade nog inte så höga tankar från början men vi kunde snart konstatera att visst finns det organisationer med ett genomtänkt säkerhetsarbete. Efter en första intervju verkade denna organisation närmast vattentät men efter ytterligare undersökningar konstaterade vi att ledningens genomtänkta system inte fullständigt hade nått ner till personalen på golvet. Då undrar man naturligtvis varför. Är det systemet som brister eller är det sättet att kommunicera? Hur lätt har personalen att göra sig hörd med sina idéer? Förstår man varandra? Det är i dessa frågor som det verkliga datasäkerhetsarbetet ligger och det är därför som det trots allt är så svårt. Vår uppsats visar på ett antal konkreta problem som Kriminalvården har. Framförallt finns det ett kommunikationsproblem där användarna upplever att de inte når fram till ledningen med sina åsikter om hur systemet, och då inte bara själva datasystemet utan också regelsystemet, fungerar och hur det skulle kunna förbättras. Man har också problem med att användarna behöver alltför många lösenord för att få tillgång till de system man behöver använda i sitt arbete.

Dagens människa är ytterst beroende av webbtjänster och med tiden har det blivit fler och viktigare tjänster som startat upp på internet. Viktiga tjänster som internetbanker. Oftast är det bara ett användarnamn och ett lösenord som krävs för att bli autentiserad så man skulle kunna tro att användarna håller hårt i sina lösenord och att de väljer starka/unika lösenord. För många verkar det dock, enligt källor, vara ett besvär. Borde man ha associeringar för att lätt komma ihåg sitt lösenord eller är det för riskabelt? Det har visat att många tycker om att använda ord som förknippas med webbsidan. LinkedIn hade för ett tag sedan 6,46 miljoner konton hackade då studierna visade att många använt ord som “link”, “work” och “job”; lösenord som är förknippade med sidans innehåll. Det är inte bara ovana användare som slarvar med sina lösenord, det har kommit fram att även många IT-administratörer väljer simpla lösenord eller förvarar viktiga inloggningsuppgifter på lättåtkomliga lappar. Frågan är vems fel det egentligen är. Ska alla som inte har ett starkt och unikt lösenord för varje tjänst skylla sig själva eller är det omänskligt att förvänta sig detta? Finns det alternativa vägar att gå och vad är för- och nackdelarna med dessa metoder? Vad vår litteraturstudie samt enkät påvisar är att vid vissa fall kan alternativa metoder för autentisering behövas. Det vanliga textbaserade lösenordet kanske inte alltid är det ultimata alternativet. Vad är så bra med ersättningarna då? Hur kommer det sig att vi inte ser mer av de biometriska alternativen t. ex? Vi har undersökt de idag mest kända autentiseringsmetoderna med säkerhetsbrister, användarvänlighet och om vissa metoder är i olika syften bättre att använda än dagens lösenordsmetod. Resultatet vi har kommit fram till har visat att användare är villiga att testa nya metoder motiverat utifrån dagens användaresituation. Säkerhetsmässigt är flera metoder bättre än lösenord. Varje metod har sina för- och nackdelar och varför nya metoder inte testas mer är fortfarande oklart.