abstract: Data from a total of 282 online web applications was collected, and accounts for 230 of those web applications were created in order to gather data about authentication practices, multistep authentication practices, security question practices, fallback authentication practices, and other security practices for online accounts. The account creation and data collection was done between June 2016 and April 2017. The password strengths for online accounts were analyzed and password strength data was compared to existing data. Security questions used by online accounts were evaluated for security and usability, and fallback authentication practices were assessed based on their adherence to best practices. Alternative authentication schemes were examined, and other security considerations such as use of HTTPS and CAPTCHAs were explored. Based on existing data, password policies require stronger passwords in for web applications in 2017 compared to the requirements in 2010. Nevertheless, password policies for many accounts are still not adequate. About a quarter of online web applications examined use security questions, and many of the questions have usability and security concerns. Security mechanisms such as HTTPS and continuous authentication are in general not used in conjunction with security questions for most web applications, which reduces the overall security of the web application. A majority of web applications use email addresses as the login credential and the password recovery credential and do not follow best practices. About a quarter of accounts use multistep authentication and a quarter of accounts employ continuous authentication, yet most accounts fail to combine security measures for defense in depth. The overall conclusion is that some online web applications are using secure practices; however, a majority of online web applications fail to properly implement and utilize secure practices. / Dissertation/Thesis / Combination of Security Practices / Coded Account Data for 282 and 230 Web Applications / Password Recovery Statistics and Graphs / Password Policies Statistics and Graphs / Security Question Statistics and Graphs / Masters Thesis Computer Science 2017

Careless Society: Drivers of (Un)Secure Passwords Thesis abstract Vojtěch Nedvěd May 2, 2021 Vulnerabilities related to poor cybersecurity are a dangerous global economic issue. This thesis aims to explain two examples of poor password management. First, why users use similar password and username and second, why they reuse their passwords, as the main drivers of this behaviour are unknown. We examined the effects of selected macroeconomic variables, gender, password length and password complexity. Additionally, this thesis suggest how to estimate sentiment in passwords using models build on Twitter posts. The results are verified on large password data, including password leaks from recent years. There are four main findings. First, a higher cybersecurity index and diversity of a password seem to be related to the lower similarity between a username and a password. Second, it seems that there are structural differences between countries and languages. Third, the sentiment seems to be a significant determinant too. Fourth, password reuse seems to be positively affected by the cybersecurity level. The thesis contributes to the study of password management. It proposes how to model the relationship, derive the data, split the passwords into words, model the sentiment of passwords, what variables might be...

Lösenord är en viktig del av informationssäkerhet och fungerar som primär autentiseringsmetod för att skydda användarkonton.  Syftet med denna studie är att ta reda på hur väl en verksamhets anställda följer verksamhetens lösenordspolicy och undersöka om lösenordshanteringen sker på ett accepterat och godkänt sätt utifrån ett säkerhetsperspektiv i enlighet med ISO-standarder. Metoden har bestått av en enkätundersökning och intervjuundersökning vars resultat jämförts med relevanta riktlinjer från ISO-standarder och verksamhetens lösenordspolicy, en riskanalys och utvecklandet av ett verktyg för att memorera lösenord. Resultat visade brister på säker lösenordshantering bland verksamhetens anställda. Genom analysen har en rad åtgärder framtagits för att upprätta, återställa och förbättra lösenordshanteringen samt förebyggande åtgärder för den lösenordshantering som redan är godkänd. De slutsatser som dragits utifrån denna studie är att det finns ett behov för förbättring av lösenordshanteringen och utifrån behovet har förslag på både åtgärder och förebyggande åtgärder tagits fram. / Passwords are an important part of information security and works as a primary authentication method to protect user accounts. The purpose of this study is to investigate how an organisation’s employees follow the password policy and investigate if the password management is executed in an acceptable fashion from a security perspective and according to ISO standards. The method consisted of a survey, interviews of which the results has been compared to ISO standards guidelines and the organisation’s password policy, a risk analysis and a development of a tool to memorize passwords. The result showed insufficiency in the password management of the employees. Thru the analysis several actions have been found to constitute, restore and improve the password management and also preventing actions to keep the password management that is already sufficient. The conclusions are that there is a need for improvement of the password management and from these needs proposals for actions have been extracted.

Samhället blir mer digitaliserat och fler människor kopplar upp sig mot Internet. Detta innebär att många arbetsuppgifter som hanterar känsliga uppgifter nu utförs på datorer. Det finns även många tjänster som kräver personligauppgifter för att registrera sig och kontouppgifter för att beställa varor eller prenumerera till tjänsten. Denna information är av intresse för brottslingar som kan använda denna för att tjäna pengar. Som en konsekvens av detta har användningen av lösenord ökat och för att försäkra att starka lösenord skapas följs riktlinjer. Dessa lösenordsriktlinjer skapas och sprids ofta utav myndigheter och andra expertorganisationer. Dock saknar de källor för var riktlinjerna kommer ifrån och en förklarning för hur de skapades. För att belysa detta ämnar studien att eftersöka riktlinjernas ursprung och vad dessa baserades på. Detta är en kvalitativ studie där intervjuer gjorts med informationssäkerhetspecialister från tre myndigheter och en expertorganisation. För att bearbeta data från dessa intervjuer har en tematisk analys utförts för att identifiera de olika källorna som använts vid skapandet av riktlinjerna. Studiens resultat visar att motivationen för riktlinjerna varierar mellan organisationerna. Detta kan observeras genom skillnader i deras målgrupp och fokus. Det har även visat sig att det inte finns några studier att hänvisa till. Dock är ett genomgående mönster att källorna för riktlinjerna ofta verkar vara baserade på de anställdas erfarenheter och expertis. Förutom detta tas inspiration för riktlinjerna från organisationer som NIST. / Society is getting more digitalized and more people are connecting to the Internet. This means that a lot of work that handles sensitive information is now done using computers. There is also a lot of services that requires personal information for registration and bank account information to order wares or subscribe to the service. This information is of interest to criminal who can use it to make money. Because of this the use of passwords has increased and to make sure that strong passwords are created guidelines are adhered to. The password guidelines are created and spread by authorities and expert organizations. However, there are no sources for where the guidelines came from or an explanation for how they were made. To shine a light on this, the study aims to explain the guidelines origins and what they were based on. This is a qualitative study where interviews were done with information security specialists from three governmental bodies and one expert organization. After the interviews were completed and data collected, they were analyzed using thematic analysis to identify the sources that were used during the creation of the guidelines. The study’s results show that the motivation for the guidelines vary. This can be observed through the differences in target group and focus. It also appears like there are no studies which could be referred to. Although there is a consistent pattern that the sources for the guidelines often seems to be based on the experiences and expertise of their employees. Except for this, inspiration is also drawn from organizations such as NIST.

Password policy compliance is a vital component of organizational information security. Although many organizations make substantial investments in information security, employee-related security breaches are prevalent, with many breaches being caused by negative password behavior such as password sharing and the use of weak passwords. The purpose of this quantitative correlational study was to examine the relationship between employees’ attitudes towards password policies, information security awareness, password self-efficacy, and employee intentions to comply with password policies. This study was grounded in the theory of planned behavior and social cognitive theory. A cross-sectional survey was administered online to a random sample of 187 employees selected from a pool of qualified Qualtrics panel members. Participants worked for organizations in the United States and were aware of the password policies in their own organizations. The collected data were analyzed using 3 ordinal logistic regression models, each representing a specific measure of employees’ compliance intentions. Attitudes towards policies and password self-efficacy were significant predictors of employees’ intentions to comply with password policies (odds ratios ≥ 1.257, p < .05), while information security awareness did not have a significant impact on compliance intentions. With more knowledge of the controllable predictive factors affecting compliance, information security managers may be able to improve password policy compliance and reduce economic loss due to related security breaches. An implication of this study for positive social change is that a reduction in security breaches may promote more public confidence in organizational information systems.

Lösenord är en av de vanligaste autentiseringsmetoderna idag men vid användning av lösenord så uppkommer det även utmaningar med hantering av lösenord. Till exempel när lösenordspolicyn kräver långa och komplexa lösenord har användare ofta svårt att komma ihåg sina lösenord och använder strategier för att memorera sina lösenord. Syftet med studien är att studera hur användarvänligheten kan förbättras i lösenordpolicyer. Studien beskriver utmaningar som användare upplever vid hantering av lösenord och lösenordspolicyn samt ansvarigas syn på en användarcentrerad utveckling av lösenordspolicyer. Detta har utförts genom semi-strukturerade intervjuer av anställda utan koppling till informationssäkerhetsarbetet samt ansvariga för informationssäkerhetspolicyn på svenska företag och organisationer. Studiens resultat visar att många anställda upplever utmaningar när det kommer till lösenordspolicyer. Den främsta utmaningen anställda upplever är återkommande lösenordsbyten som leder till att användare upplever att det blir svårare att komma ihåg sina lösenord. En del respondenter använder sig därför av riskfyllda strategier för att memorera sina lösenord. Merparten av ansvariga har en positiv syn till att involvera användare i utveckling av lösenordspolicyn eftersom det kan leda till förbättrad förståelse för policyn. Studiens slutsats visar att det finns förbättringspotential i lösenordspolicyer och bidrar med praktiska rekommendationer hur lösenordspolicyer kan förbättras ur en användarvänlighetssynpunkt som framställare kan använda vid utveckling av lösenordspolicyer. Andra användarvänliga rekommendationer föreslås i studiens slutsats för att underlätta hanteringen av lösenord för användare. Studien begränsar sitt omfång med att endast komma med praktiska rekommendationer kring hur lösenordspolicyer kan förbättras och inte hur en lösenordspolicy ska utformas i sin helhet. / Passwords are one the most common authentication methods today, but when using passwords, challenges also arise in password management. For example, when password policies require long and complex passwords, users often struggle to remember their passwords and resort to risky strategies to memorize them. The purpose of the study is to explore how usability can be improved in password policies. The study describes challenges that users face in password management and password policies, as well as the views of policy creators on user-centered development of password policies. The study has been conducted through semi-structured interviews with employees and the ones responsible for the password policy in Swedish companies and organizations. The results of the study show that many employees experience challenges with password policies. The primary challenge employees face is frequent password changes, which makes it harder for users to remember their passwords. Some respondents therefore use strategies to memorize their passwords. The majority of people responsible for the password policy have a positive view of involving users in the development of password policies because it can lead to improved understanding of the policy. The study concludes that there is room for improvement in password policies and provides practical recommendations on how password policies can be improved from a usability perspective that developers of password policies can use when developing password policies. Other usability recommendations are proposed in the study's conclusion to facilitate password management for users. The study limits its scope by only providing practical recommendations on how password policies can be improved, rather than how a password policy should be formulated in its entirety.

With the rapid development of the IoT (Internet of Things) and the integration of connected devices into our households, IoT security is becoming more important. This technology allows the user to accomplish tasks and store information in a more effective way. Due to this large development, various solutions are being established to make sure that only an authorised user gains access to these functions. Among these solutions, passwords have become the most prominent one today. Since passwords allow a user to protect sensitive data and authorise access to their devices, they have become the target of various cyberattacks. Different password policies have therefore been established to strengthen passwords and prevent unauthorised access. In response to this emerging problem, the study conducted in this report has evaluated authentication systems in four categories of smart home devices to assess if they meet security regulations according to best practices. A compilation of the password requirements in these devices has been made and they have been categorized in terms of password security from very weak to very strong. Multiple instances of weak policies were discovered in all of the examined categories and important password features are missing in a majority of them. / Med den hastiga utvecklingen av sakernas internet (IoT) och integrationen av anslutna enheter till hushållet blir IoT säkerhet alltmer viktigt. Denna teknologi tillåter användare att åstadkomma uppgifter och lagra information på ett mer effektivt sätt. På grund av denna stora utveckling har många lösningar skapats för att säkerställa att endast en auktoriserad användare erhålls tillgång. Bland dessa lösningar är lösenord den mest förekommande idag. Eftersom att lösenord tillåter användaren att skydda känslig information och auktorisera tillgång till deras enheter har dem blivit en lockande måltavla för diverse cyberattacker. Ett flertal lösenordspolicys har därför etablerats för att förstärka lösenord och förhindra obehörig tillgång. Som svar på detta framväxande problem, har undersökningen som utförts i denna rapport utvärderat autentiseringssystem i fyra kategorier av smarta hem enheter med mål att bedöma ifall de uppfyller säkerhetsföreskrifter i enighet med bästa praxis. En lista med lösenordskrav i enheterna har skapats och dessa enheter har blivit kategoriserade enligt lösenordssäkerhet från väldigt svag till väldigt stark. Flera olika instanser av svaga policys har upptäckts i alla undersökta kategorier och viktiga lösenordsfunktioner saknas i en majoritet av grupperna.