Balancing usability and security in the business cloud authentication

Thumbnail Image

Files

master_Kurikka_Joona_2013.pdf (4.96 MB)

URL

Journal Title

Journal ISSN

Volume Title

Sähkötekniikan korkeakoulu | Master's thesis
Unless otherwise stated, all rights belong to the author. You may download, display and print this publication for Your own personal use. Commercial use is prohibited.

Authors

Date

2013-06-10

Department

Department of Communications and Networking
Tietoliikenne- ja tietoverkkotekniikan laitos

Major/Subject

Käyttäjäkeskeinen tietoliikenneteknologia

Mcode

S3031

Degree programme

TLT - Tietoliikennetekniikka

Language

en

Pages

89 + 10

Series

Abstract

Jatkuvasti suosiotaan kasvattavat pilvipalvelut luovat monia uusia mahdollisuuksia etätyöntekijöille, yhteistyökumppaneille ja hakkereille päästä käyttämään yrityksen työkaluja ja asiakastietoja. Kun pilvipalveluissa olevan tärkeän yritysdatan määrä kasvaa, myös palveluiden tietoturvavaatimukset kovenevat. Pilvipalveluiden tietoturvallisessa suunnittelussa tulee ottaa huomioon lukuisia erilaisia hyökkäysreittejä monella eri palvelun tasolla aina verkon rajapinnasta yksittäisten ohjelmistokomponenttien haavoittuvuuksiin. Yksi isoimmista hyökkäysvektoreista on myös reitti, joka on pakko jättää osittain avoimeksi palvelun varsinaisia käyttäjiä varten – autentikointi, eli käyttäjien todentaminen palveluun kirjautumisen yhteydessä. Diplomityön tavoitteena oli löytää tasapainokohta ja siihen vaikuttavat tekijät pilvipalveluiden käytettävyyden ja tietoturvan väliltä. Käyttäjän autentikoinnin tulee olla tarpeeksi tietoturvallinen, etteivät mahdolliset hyökkääjät pääsisi käsiksi järjestelmän arvokkaisiin dataan ja resursseihin. Samaan aikaan autentikoinnin tulee olla myös tarpeeksi käytettävää, jotta varsinaiset käyttäjät pääsevät palveluihinsa tehokkaasti ja ilman tarpeetonta turhautumista. Aihetta lähestytään kirjallisuuskatsauksella aihealueen keskeiseen tutkimukseen ja pilvipalveluihin sopivien autentikointimenetelmien kartoittamisella. Näiden lisäksi työssä suunniteltiin ja järjestettiin kuudelle osallistujalle käytettävyystesti, jossa mitattiin käyttäjien suhtautumista neljään erilaiseen autentikointimenetelmään ja niitä yhdistelevään monen menetelmän autentikointiin (multi-factor authentication). Samalla käyttäjiltä kartoitettiin puolistrukturoiduilla haastatteluilla erilaisia tekijöitä, jotka vaikuttavat heidän kokemaansa käytettävyyden ja tietoturvan tasapainoon. Tutkimuksessa tunnistettiin useita tapoja parantaa käytettävyyden ja tietoturvan tasapainoa yritysten pilvipalveluissa. Monen keskivahvan autentikointimenetelmän yhdistelmän havaittiin olevan käyttäjäystävällisempi kuin samaan tietoturvan tasoon yltävän yhden menetelmän vahvan autentikaation. Käyttäjien kouluttamisella ja tietoturvan tavoitteiden selkeällä kommunikaatiolla oli myös iso merkitys, etenkin epävirallisten, tietoturvaa heikentävien ”kiertoteiden” välttämisessä. Unohtuneiden käyttäjätunnusten uudelleenasettaminen on myös eräs usein liian vähälle huomiolle jäävä tekijä, jolla on iso vaikutus sekä järjestelmän käytettävyyteen että tietoturvaan.

Increasing wave of cloud services is creating many new ways for remote workers, outsourcing partners and hackers to access the essential tools and business data of the cloud-enabled companies. As the amount of business critical data in the cloud services increase, so does the need for securing it. Securing a cloud service needs balanced defenses against many different attack vectors in various levels of the service, starting from the edges of the public network and continuing deep inside the individual design of the each software component of the cloud service. One of the biggest attack vectors is also the one route that has to be left open for the legitimate users to use the service – user authentication. The goal for this thesis was to find balance between making the user authentication in business cloud services secure enough and usable enough. Authentication has to be secure enough to prevent malicious attackers from gaining access to the valuable data and resources inside the service. At the same time it has still to be usable enough for the legitimate users to be able to access their cloud services without unnecessary frustration. The topic is approached through literature review of relevant research and relevant authentication methods. In addition, several (n=6) usability tests are performed in combination with half-structured interviews to evaluate the user preference in authentication method selection and the factors affecting the experienced balance of security and usability. In addition, the thesis evaluates other important factors, in addition to the authentication method itself, that are affecting the security – usability –balance of the entire authentication process. As a result the thesis presents several ways to improve the balance of usability and security in business cloud services. Multifactor authentication is observed to be more usable than equally secure single-factor authentication. Educating the users and communicating the security needs clearly helps to reduce the unsanctioned security “shortcuts” that reduce the overall security. Authentication resetting is often neglected, but really essential factor both as usability hindrance and possible attack vector.

Description

Supervisor

Nieminen, Marko

Thesis advisor

Nardone, Massimo

Keywords

usability, security, authentication, cloud computing, virtualization, käytettävyys, tietoturva, kirjautuminen, pilvipalvelut, virtualisointi, autentikointi

Other note

Citation

Permanent link to this item

https://urn.fi/URN:NBN:fi:aalto-201307127185

Collections

[dipl] Sähkötekniikan korkeakoulu / ELEC