Dalarna University's logo and link to the university's website

Studien fokuserar på stulna användarkonton som figurerar på internet idag och från det ämnet har ett syfte med tre forskningsfrågor utarbetats. Problemställningen som tas upp i forskningsfrågorna är vilka risker stulna användarkonton innebär, vilka åtgärder som kan vidtas för att förhindra intrång samt om det idag finns alternativa autentiseringsmetoder som kan ersätta lösenorden.

Vidare i studien följer en analys av vem som drabbas av intrång där användarkonton stjäls samt en presentation av de mest förekommande angreppsmetoderna. Även en undersökning genomförs om vilka potentiella säkerhetsrisker stulna användarkonton innebär för företag, organisationer och enskilda individer samt vilken negativ inverkan återanvändning av lösenord kan medföra. För experiment och analyssyfte i studien utvecklas programvara i form av två python-baserade skript samt en webbapplikation med tillhörande webb och databasserver. Vidare används dessa programvaror för att skildra omfattningen kring stulna användarkonton i ett praktiskt experiment där en stor mängd användarkonton med tillhörande krypterade lösenord sammanställs i en sökbar databas.

Experimentet omfattar också försök till lösenordsforcering för att undersöka säkerhetsnivån av gällande krypteringsmetod. Vid lösenordsforceringen förklaras innebörden av saltning av lösenord och hur det kan motverka forcering av lösenord. Detta följs av förslag till säkerhetsåtgärder och riskminimering för företag, organisation och enskilda individer i relation till tidigare presenterade säkerhetsrisker. Även alternativ till den traditionella formen av lösenordsautentisering undersöks vilket också innefattar biometriska autentiseringstekniker. I studiens diskussion och slutsats besvaras tidigare ställda forskningsfrågor att de vanligaste riskerna innefattar identitetsstöld och ekonomisk skada. Säkerhetsåtgärder i form att tekniska åtgärder, utbildning och kryptering av lösenord med saltning kan bidra till en riskminimering då förövarens val av angreppsmål visat basera sig på offrets säkerhetsnivå. Ett konstaterande görs att lösenordautentiseringstekniken i sig innebär en säkerhetsrisk och bör ersättas, där en möjlig kandidat kan vara tvåstegsautentisering.

The focus of this study is based around the fact that a severe amount of stolen user accounts can be found on the internet today. With this knowledge three research question were produced which are: Could stolen user accounts propose any risks? Which countermeasures exist to prevent a possible security breach? Do any alternative authentications methods that could replace the traditional password authentication method exist today?

A study where conducted regarding who might be the victim of attacks where user accounts are stolen followed by a presentation of the most commonly used attack methods. Potential risk factors for companies, organizations and individuals was investigated as well as the negative aspects of password re-use. A software consisting of two python scripts and a web application with corresponding web and database servers was developed for experimental and analytical purposes. The software was then used to give an overview regarding the extent of stolen user accounts by compiling several stolen user accounts together with encrypted passwords in a searchable database. A series of forced decryption methods was performed in order to test the security level of the encrypted passwords and explain how salted passwords could offer extra security against these types of attacks. This was followed by safety suggestions corresponding to the earlier presented security threats. A number of alternative authentication methods in regards to the traditional password authentications was then presented which also included biometric based authentication.

The research question are answered in the discussion and conclusion chapter which states that one of the most common risk factors are identity theft which could lead to economic damages for the victim. As risk minimization an implementation of technical safety measures, staff training and salted password encryption could be used since attacks seem to be targeted mostly based on the security level of the victim. Two-factor authentication method might serve as the best replacement for passwords today since password based authentication in itself constitutes a security risk.