Near Field Communication (NFC) växer i popularitet och byggs in i allt fler mobiltelefoner. Den här rapporten beskriver hur man på ett säkert sätt identifierar en godkänd användare via NFC. NFC saknar helt skydd för det data som överförs via RF. Den i rapporten beskrivna identifieringsprocessen skyddar den överförda identiteten mot kopiering och säkerställer att avlyssning av kommunikationen mellan NFC enheterna inte gör det möjligt för en obehörig att imitera en behörig användare och därmed själv bli identifierad som behörig. Syftet med arbetet är att:  Undersöka om en NFC-enhet kan användas som nyckel för att starta en bil. Följande fråga kommer att besvaras i denna rapport:  Hur implementeras en säker överföring av en identitet via NFC? Som metod användes aktionsforskning vilket innebär att man efter teoretiska studier kommer fram till en eller flera möjliga lösningar på det problem ska lösas. Därefter genomförs praktiska experiment för att bekräfta eller avfärda lösningen eller för att jämföra olika lösningars för- och nackdelar. Slutligen dokumenteras resultaten. För att hitta möjliga lösningar till problemet studerades först hur kryptering och hashning fungerar och hur de kunde användas i den specifika tillämpningen. Även metoden med synkroniserade listor utvärderades. Det viktiga spörsmålet, att göra avlyssning och kopiering av kommunikationen verkningslös, löstes genom att säkerställa att varje meddelande som överför identiteten var unikt. Efter en teoretisk jämförelse av de olika metoderna valdes hashning av en saltad identitet ut att implementeras och testas. För att kunna genomföra de praktiska testerna utvecklades ett kretskort baserad på NFC-controllern PN532 med tillhörande programvara. Detta gjordes i två steg där vi först utvecklade protokollhanteringen i en 8-bitars enchipsdator och därefter anpassades koden till en mer avancerad Linuxdator. Protokollimplementeringen genomfördes med hjälp av tidigare examensarbete "Dataöverföring mellan en mobiltelefon och en NFC-läsare" av Linda Karlsson [1]. I det avslutande kapitlet diskuteras hur den i rapporten beskrivna lösningen kan utvecklas vidare genom att med hjälp av digitala certifikat distribuera rättigheter till NFC enheter. En fallstudie beskriver en tillämpning inom affärsområdet biluthyrning.

<p>This report is written for a consultant networking company with the purpose to review the development ofthe company's remote connections from a user friendly and security perspective.This includes an investigation of the possibilities to consolidate existing authentication methods foraccessing customers. The problem lies in the amount of methods being used. Through case study wefound that smart cards, SMS-service, software and hardware tokens exist.The only method feasible from a security perspective is smart cards. Since the method is not commonlyused by the company's customers a standardization of it would be counterproductive.Also, the purpose of this report is to investigate how the ongoing internal development of the remoteconnection will affect the company's clients. Within this framework we have also verified a designsuggestion.We interpret, after the completion of the case study, that the internal development of the remoteconnection is marginally affected by legal perspectives. Tests and interviews shows that all of thesolutions are user friendly, but not adequate from a security perspective. With respect to customers'demands we recommend that the company's internal network should be accessed with smart cards. Thisguarantees that only intended authentications are performed.</p> / <p>Rapporten är skriven åt ett nätverksbolag i konsultbranschen. Syftet med rapporten är att se överutvecklingen av företagets distansuppkopplingar ur ett användarvänlighets- och säkerhetsperspektiv.Detta innebär dels att undersöka möjligheterna för att konsolidera förekommande autentiseringsmetodersom används för uppkoppling mot kunder. Problematiken handlar då om att mängdenautentiseringsmetoder för konsulter i dagsläget är svåradministrerad. Genom fallstudie har vi fått reda attsmarta kort, SMS-tjänst, mjuk- och hårdvarutokens figurerar.Den enda metod som är tänkbar ur ett säkerhetsperspektiv är smarta kort. Då metoden inte ärframträdande hos företagets kunder skulle dock en standardisering i dagsläget vara kontraproduktiv.Avsikten med rapporten är också att utreda hur den pågående interna utvecklingen avdistansuppkopplingen påverkar företagets kunder. Vi har inom ramen för detta även verifierat ettdesignförslag.Efter utförd fallstudie tolkar vi att den interna utvecklingen av distansuppkopplingen påverkas marginelltur ett juridiskt perspektiv. Efter tester och intervjuer konstaterar vi att samtliga lösningar äranvändarvänliga men ur säkerhetssynpunkt inte tillräckliga. Med hänseende till kundernas kravbildrekommenderar vi att uppkoppling mot företagets interna nätverk sker med smarta kort. Detta för attkunna garantera att endast avsvedd autentisering utförs.</p>

<p>Idag går utvecklingen mot alltmer distribuerade IT-system där en grupp datorer kommunicerar med varandra. Detta gäller för sökmotorer, beräkningsintensiva miljöer och även för den svenska försvarsmaktens ledningssystem.</p><p>För att systemen ska kunna kommunicera så flexibelt som möjligt vill man ofta att kommunikationen ska ske enligt standardiserade protokoll vilka är oberoende av datorplattform, programmeringsspråk och transportprotokoll. Ett koncept som kan användas för denna sorts kommunikation är Web Services vilket är ett koncept där meddelanden skickas XML-formaterade över valfritt kommunikationsprotokoll.</p><p>För att möjliggöra utbyte av känsligt data som inte får nås av obehöriga måste kommunikationen stöttas av ett flertal viktiga säkerhetsfunktioner. En av dessa funktioner är användarautentisering vilket innebär att användarens identitet kan verifieras.</p><p>För att möjliggöra användarautentisering kan digitala certifikat och asymmetriska kryptooperationer användas, denna typ av operationer är prestandakrävande varför ”Single Sign On” eftersträvas. SSO innebär att användaren endast autentiserar sig en gång under ett visst tidsintervall för att underlätta för både system och användare. När användarautentiseringen är genomförd kan en symmetrisk nyckel utbytas för fortsatt kommunikation. Den fortsatta kommunikationen kan skyddas på olika nivåer såsom transportnivå och meddelandenivå. Författaren av detta examensarbete har undersökt och implementerat en lösning för användarautentisering och meddelandeskydd för Web Services. Dessutom utreds några verktyg som finns tillgängliga för Web Services idag och några som förväntas komma inom kort.</p> / <p>Today, the technical development goes towards distributed computer systems where a group of computers communicate with each other. </p><p>This applies for search engines, calculation intensive environments and also for the Swedish defence management systems. In order for the systems to communicate as flexible as possible one often wants the communication to take place according to standardized protocols which are independently of computer platform, programming language and transport protocol.</p><p>A concept that can be used for this type of communication is Web Services which is a concept where information is sent as XML formatted messages over optional communication protocol. In order to make it possible to exchange sensitive data that must be out of reach of unauthorized use, the communication must be supported of several important security functions. One of these functions is user authentication which incorporates that the member's identity is verified. In order to make user authentication possible, digital certificates and asymmetric crypto operations may be used.</p><p>These types of operations are performance requiring why Single Sign On is sought. SSO means that the member only authenticates itself once during a certain time interval in order to facilitate for both systems and members. When the user authentication is completed a symmetric key can be exchanged for continued communication. The continued communication can be protected on various levels such as transport level and message level.</p><p>The author of this master thesis has examined and implemented a solution for user authentication and message protection for Web Services. Moreover, different existing tools are investigated that are available for Web service's today and some that are expected to come shortly.</p>

This report is written for a consultant networking company with the purpose to review the development ofthe company's remote connections from a user friendly and security perspective.This includes an investigation of the possibilities to consolidate existing authentication methods foraccessing customers. The problem lies in the amount of methods being used. Through case study wefound that smart cards, SMS-service, software and hardware tokens exist.The only method feasible from a security perspective is smart cards. Since the method is not commonlyused by the company's customers a standardization of it would be counterproductive.Also, the purpose of this report is to investigate how the ongoing internal development of the remoteconnection will affect the company's clients. Within this framework we have also verified a designsuggestion.We interpret, after the completion of the case study, that the internal development of the remoteconnection is marginally affected by legal perspectives. Tests and interviews shows that all of thesolutions are user friendly, but not adequate from a security perspective. With respect to customers'demands we recommend that the company's internal network should be accessed with smart cards. Thisguarantees that only intended authentications are performed. / Rapporten är skriven åt ett nätverksbolag i konsultbranschen. Syftet med rapporten är att se överutvecklingen av företagets distansuppkopplingar ur ett användarvänlighets- och säkerhetsperspektiv.Detta innebär dels att undersöka möjligheterna för att konsolidera förekommande autentiseringsmetodersom används för uppkoppling mot kunder. Problematiken handlar då om att mängdenautentiseringsmetoder för konsulter i dagsläget är svåradministrerad. Genom fallstudie har vi fått reda attsmarta kort, SMS-tjänst, mjuk- och hårdvarutokens figurerar.Den enda metod som är tänkbar ur ett säkerhetsperspektiv är smarta kort. Då metoden inte ärframträdande hos företagets kunder skulle dock en standardisering i dagsläget vara kontraproduktiv.Avsikten med rapporten är också att utreda hur den pågående interna utvecklingen avdistansuppkopplingen påverkar företagets kunder. Vi har inom ramen för detta även verifierat ettdesignförslag.Efter utförd fallstudie tolkar vi att den interna utvecklingen av distansuppkopplingen påverkas marginelltur ett juridiskt perspektiv. Efter tester och intervjuer konstaterar vi att samtliga lösningar äranvändarvänliga men ur säkerhetssynpunkt inte tillräckliga. Med hänseende till kundernas kravbildrekommenderar vi att uppkoppling mot företagets interna nätverk sker med smarta kort. Detta för attkunna garantera att endast avsvedd autentisering utförs.

Idag går utvecklingen mot alltmer distribuerade IT-system där en grupp datorer kommunicerar med varandra. Detta gäller för sökmotorer, beräkningsintensiva miljöer och även för den svenska försvarsmaktens ledningssystem. För att systemen ska kunna kommunicera så flexibelt som möjligt vill man ofta att kommunikationen ska ske enligt standardiserade protokoll vilka är oberoende av datorplattform, programmeringsspråk och transportprotokoll. Ett koncept som kan användas för denna sorts kommunikation är Web Services vilket är ett koncept där meddelanden skickas XML-formaterade över valfritt kommunikationsprotokoll. För att möjliggöra utbyte av känsligt data som inte får nås av obehöriga måste kommunikationen stöttas av ett flertal viktiga säkerhetsfunktioner. En av dessa funktioner är användarautentisering vilket innebär att användarens identitet kan verifieras. För att möjliggöra användarautentisering kan digitala certifikat och asymmetriska kryptooperationer användas, denna typ av operationer är prestandakrävande varför ”Single Sign On” eftersträvas. SSO innebär att användaren endast autentiserar sig en gång under ett visst tidsintervall för att underlätta för både system och användare. När användarautentiseringen är genomförd kan en symmetrisk nyckel utbytas för fortsatt kommunikation. Den fortsatta kommunikationen kan skyddas på olika nivåer såsom transportnivå och meddelandenivå. Författaren av detta examensarbete har undersökt och implementerat en lösning för användarautentisering och meddelandeskydd för Web Services. Dessutom utreds några verktyg som finns tillgängliga för Web Services idag och några som förväntas komma inom kort. / Today, the technical development goes towards distributed computer systems where a group of computers communicate with each other. This applies for search engines, calculation intensive environments and also for the Swedish defence management systems. In order for the systems to communicate as flexible as possible one often wants the communication to take place according to standardized protocols which are independently of computer platform, programming language and transport protocol. A concept that can be used for this type of communication is Web Services which is a concept where information is sent as XML formatted messages over optional communication protocol. In order to make it possible to exchange sensitive data that must be out of reach of unauthorized use, the communication must be supported of several important security functions. One of these functions is user authentication which incorporates that the member's identity is verified. In order to make user authentication possible, digital certificates and asymmetric crypto operations may be used. These types of operations are performance requiring why Single Sign On is sought. SSO means that the member only authenticates itself once during a certain time interval in order to facilitate for both systems and members. When the user authentication is completed a symmetric key can be exchanged for continued communication. The continued communication can be protected on various levels such as transport level and message level. The author of this master thesis has examined and implemented a solution for user authentication and message protection for Web Services. Moreover, different existing tools are investigated that are available for Web service's today and some that are expected to come shortly.

<p>In this report hardware based alternatives to password authentication in a Windows domain are evaluated for the needs of a certain company. In order to investigate the demands on such alternatives interviews with people concerned have been carried out. The demands which resulted from the interviews have been used to select types of hardware tokens for evaluation. Two products which offer authentication with smart cards and USB tokens have been selected and closer evaluated. These are RSA Passage which offers both hardware options and Rainbow iKey which uses USB tokens. Both products are evaluated based on the demands and additional evaluation criteria. The information from the evaluations is used to compare the products.</p>

<p>För att informationsöverföring över publika nät ska kunna utföras på ett säkert sätt krävs identifiering, signering och kryptering, vilka är grundstenarna i en elektronisk signatur. Dessa delar i kombination ger oss bl.a. säker e-handel. Som plattform för detta ligger PKI (Public Key Infrastructure), vilket är samlingsnamnet för lösningar där man med hjälp av en speciell krypteringsteknologi skapar system för identifiering, kryptering och integritetskontroll (Halvarsson & Morin, 2000). Systemen kan användas för att till exempel skapa elektroniska signaturer för olika typer av avtal, säkra elektroniska transaktioner, identifiering av användare, säker e-post, och olika typer av säker kommunikation över publika nätverk.</p><p>Tekniken lovordas till stor del, men även dess brister förs fram av kritikerna. Det gäller exempelvis rutiner för utgivande av certifikat, vem ett certifikat verkligen tillhör etc. Detta arbete syftar till att ta reda på huruvida de påstådda bristerna upplevs hos sakkunniga i ämnet genom litteraturstudier och intervjuer. Resultatet pekar på att brister föreligger, men att de inte upplevs vara i den omfattning som kritikerna menar.</p>

Användningen av Internet och antalet nya tjänster ökar mer och mer. Internet är ett öppet system och för att Internet i högre utsträckning skall kunna användas även vid hantering av känslig information krävs bättre säkerhet. Syftet med denna rapport är att utifrån Karlskrona kommuns säkerhetspolicy samt medborgarnas åsikter om säkerhet, undersöka vilken eller vilka säkerhetslösningar som lämpar sig bäst vid den planerade 24-timmarsmyndigheten. I denna rapport undersöks vilken eller vilka av de alternativa medborgarcertifikat som myndigheter får använda sig av. Målet är att komma fram till en möjlig lösning för elektronisk identifiering inom den framtida, 24-timmarsmyndigheten inom Karlskrona kommun. För att genomföra denna utredning har vi använt oss av intervjuer, enkäter och litteraturstudier. Rapporten innehåller även bakgrundsfakta för att få en ökad förståelsen av innehållet. Undersökningen genomfördes genom en analys av de möjliga medborgarcertifikat och en enkätundersökning av medborgare. Resultatet visar att mjukt certifikat är det som bäst lämpar sig i den framtida 24-timmarsmyndigheten. Det medborgarcertifikat som bäst besvarade vår frågeställning är den som levereras av Föreningssparbanken. / The use of Internet and number of services increase more and more. Internet is an open media and to be able to use Internet in a greater extent even when you handle with sensitive information you need better security. The purpose with this report is from Karlskrona municipality security policy together with citizen opinions about security, analyse which security solution that is best at the planned 24- hour- government. This report examines which of the alternative citizen certificate that authorities are allowed to use. The goal is to be able to present a possible solution for electronic identification in the future 24- hour- government at Karlskrona municipality. To be able to realize this investigation we have used interview, questionnaire and literature studies. To enhance the understanding of the report, are there some backgrounds facts. The research were carried out with analyse of the possible citizen certificate and of the questionnaire that was carried out among the citizens. The result shows that soft certificate is best for the future 24- hour- government. The citizen certificate that answered our questions best is the one provided by Föreningssparbanken. / adb99umo@student.bth.se adb99eno@student.bth.se is99asc@student.bth.se

In this report hardware based alternatives to password authentication in a Windows domain are evaluated for the needs of a certain company. In order to investigate the demands on such alternatives interviews with people concerned have been carried out. The demands which resulted from the interviews have been used to select types of hardware tokens for evaluation. Two products which offer authentication with smart cards and USB tokens have been selected and closer evaluated. These are RSA Passage which offers both hardware options and Rainbow iKey which uses USB tokens. Both products are evaluated based on the demands and additional evaluation criteria. The information from the evaluations is used to compare the products.

För att informationsöverföring över publika nät ska kunna utföras på ett säkert sätt krävs identifiering, signering och kryptering, vilka är grundstenarna i en elektronisk signatur. Dessa delar i kombination ger oss bl.a. säker e-handel. Som plattform för detta ligger PKI (Public Key Infrastructure), vilket är samlingsnamnet för lösningar där man med hjälp av en speciell krypteringsteknologi skapar system för identifiering, kryptering och integritetskontroll (Halvarsson &amp; Morin, 2000). Systemen kan användas för att till exempel skapa elektroniska signaturer för olika typer av avtal, säkra elektroniska transaktioner, identifiering av användare, säker e-post, och olika typer av säker kommunikation över publika nätverk. Tekniken lovordas till stor del, men även dess brister förs fram av kritikerna. Det gäller exempelvis rutiner för utgivande av certifikat, vem ett certifikat verkligen tillhör etc. Detta arbete syftar till att ta reda på huruvida de påstådda bristerna upplevs hos sakkunniga i ämnet genom litteraturstudier och intervjuer. Resultatet pekar på att brister föreligger, men att de inte upplevs vara i den omfattning som kritikerna menar.