Enhanced Security for Mobile User Authentication and Single Sign-On

Sanna Suoranta

Enhanced Security for Mobile User Authentication and Single Sign-On

Julkaisun otsikon käännös: Tietoturvaparannuksia mobiilikäyttäjän tunnistukseen ja kertakirjautumiseen

Sanna Suoranta

Tietotekniikan laitos

Tutkimustuotos: Doctoral Thesis › Collection of Articles

Abstrakti

Kertakirjautumisjärjestelmien (SSO) tarkoitus on yksinkertaistaa käyttäjien tunnistamista verkkopalveluissa. Erilaisia SSO-ratkaisuja on tarjolla sekä organisaation sisäiseen käyttöön että avoimille web-palveluille. Niiden ensisijainen tavoite on vähentää muistettavien salasanojen määrää, mutta järjestelmien suunnitteluun liittyy muitakin tekijöitä, joita voidaan kehittää edelleen. Tämän väitöskirjatutkimuksen tavoitteena on selvittää, kuinka käyttäjän digitaaliset identiteetit ovat linkittyneet todellisen maailman identiteetteihin, mitä mahdollisuuksia ja haasteita mobiililaitteet tuovat kertakirjautumisjärjestelmille, ja miten kertakirjautumisjärjestelmän istuntoja hallitaan käyttäjän tunnistamisen jälkeen. Useissa maissa on otettu käyttöön kansallisia järjestelmiä kansalaisten tunnistamiseen sähköisissä palveluissa esimerkiksi älykortteihin ja varmenteisiin perustuen. Nämä järjestelmät toteuttavat yleensä vahvan kaksivaiheisen todennuksen ja tarjoavat palvelurajapintoja yksityisille ja kaupallisille järjestelmille. Kansalliset varmenteet eivät kuitenkaan aina sovellu yksityisten organisaatioiden ja palveluiden käyttöön. Tässä työssä suunnittelimme ja toteutimme kaksivaiheisen käyttäjän tunnistuksen, jossa matkapuhelin toimii turvallisena talletuspaikkana palvelun antamille varmenteille. Mobiililaitteiden myötä herää myös kysymys käyttäjän istuntojen liikkuvuudesta. Selaimen ja pilven välille hajautetut tilattomat web-sovellukset tallettavat usein pelkän istuntoevästeen käyttäjän laitteelle. Käytimme tätä hyväksi kertakirjautumisistuntojen siirtämiseksi laitteelta toiselle. Käyttäjä voi vaihtaa käyttämäänsä laitetta tarpeen mukaan, esimerkiksi tietokoneen ja mobiililaitteen välillä, ja jatkaa työskentelyä ilman uudelleenkirjautumista. Suurin osa käytössä olevista SSO-järjestelmistä keskittyy käyttäjän tunnistamiseen istunnon alussa. Istunnon päättymiseen on kiinnitetty vähemmän huomiota. Uloskirjautumista on usein vaikea ymmärtää, mikä johtaa tietoturvaongelmiin. Väitöskirjan osana tutkimme uloskirjautumisen ongelmia ja ehdotamme ratkaisuksi palvelukohtaisen ja yleisen uloskirjautumisen käsitteiden erottamista toisistaan. Käyttäjän todentamisen tekniikat vaativat jatkuvaa kehittämistä, kun niiden toimintaympäristö muuttuu, esimerkiksi palvelut siirtyvät mobiililaitteille ja pilvialustoille. Tässä väitöskirjassa esitetyt ratkaisut tuovat useita pieniä parannuksia kertakirjautumisjärjestelmiin ja korjaavat ongelmakohtia käyttäjän ja kehittäjän näkökulmista.

Julkaisun otsikon käännös	Tietoturvaparannuksia mobiilikäyttäjän tunnistukseen ja kertakirjautumiseen
Alkuperäiskieli	Englanti
Pätevyys	Tohtorintutkinto
Myöntävä instituutio	Aalto-yliopisto
Valvoja/neuvonantaja	Aura, Tuomas, Vastuuprofessori
Kustantaja	Aalto University
Painoksen ISBN	978-952-60-7102-2
Sähköinen ISBN	978-952-60-7101-5
Tila	Julkaistu - 2016
OKM-julkaisutyyppi	G5 Artikkeliväitöskirja

Tutkimusalat

tietoturvallisuus
tunnistus
kertakirjautuminen
identiteetinhallinta

Pääsy asiakirjaan

http://urn.fi/URN:ISBN:978-952-60-7101-5Lisenssi: Määrittelemätön

Siteeraa tätä

@phdthesis{f7e251c5374343d8b04c9809a84de58e,

title = "Enhanced Security for Mobile User Authentication and Single Sign-On",

abstract = "Single Sign-on (SSO) systems simplify user authentication for the many online services that we need to access every day. Solutions exist for both intra-organizational use and for the open web. While SSO systems meet their main goal of reducing the number of passwords that a user needs to memorize, many other aspects can still be improved. The goal of this thesis is to investigate how digital user identities are linked to real world identities, what opportunities and challenges mobile devices bring to the SSO systems, and how SSO sessions are managed after the initial authentication. Many countries all around the world provide citizen authentication methods based on smart cards or other credentials. Most of these offer strong two-factor authentication and APIs for integration to private and commercial systems. However, organizations may want to implement strong authentication by themselves without relying on specific national identity systems. We designed and implemented a system that provides two-factor user authentication with mobile phone as a secure store for service-issued credentials. Mobile devices also give rise to questions about session mobility. Stateless web applications that are distributed between the browser and the cloud may store only authentication session information in the client device. We implemented session migration that allows SSO sessions to be moved from one device to another. This enables users to change to the best available device, such as switching between a desktop computer and a mobile device, and still continue working without reauthentication. Moreover, most SSO systems focus on the authentication at the beginning of sessions. We observe that the ending of sessions can be confusing and lead to security failures. We investigate logout in existing SSO systems and suggest separating the concepts of local and global logout. As the computing environment changes, for example, applications move to mobile and cloud platforms, there is continuous need to update authentication technologies. This thesis proposes several incremental improvements to SSO systems and addresses various pain-points from the user's and developer's points of view.",

keywords = "computer security, authentication, single sign-on, identity management, SSO, tietoturvallisuus, tunnistus, kertakirjautuminen, identiteetinhallinta, computer security, authentication, single sign-on, identity management, SSO",

author = "Sanna Suoranta",

year = "2016",

language = "English",

isbn = "978-952-60-7102-2",

series = "Aalto University publication series DOCTORAL DISSERTATIONS",

publisher = "Aalto University",

number = "226",

address = "Finland",

school = "Aalto University",

}

TY - BOOK

T1 - Enhanced Security for Mobile User Authentication and Single Sign-On

AU - Suoranta, Sanna

PY - 2016

Y1 - 2016

N2 - Single Sign-on (SSO) systems simplify user authentication for the many online services that we need to access every day. Solutions exist for both intra-organizational use and for the open web. While SSO systems meet their main goal of reducing the number of passwords that a user needs to memorize, many other aspects can still be improved. The goal of this thesis is to investigate how digital user identities are linked to real world identities, what opportunities and challenges mobile devices bring to the SSO systems, and how SSO sessions are managed after the initial authentication. Many countries all around the world provide citizen authentication methods based on smart cards or other credentials. Most of these offer strong two-factor authentication and APIs for integration to private and commercial systems. However, organizations may want to implement strong authentication by themselves without relying on specific national identity systems. We designed and implemented a system that provides two-factor user authentication with mobile phone as a secure store for service-issued credentials. Mobile devices also give rise to questions about session mobility. Stateless web applications that are distributed between the browser and the cloud may store only authentication session information in the client device. We implemented session migration that allows SSO sessions to be moved from one device to another. This enables users to change to the best available device, such as switching between a desktop computer and a mobile device, and still continue working without reauthentication. Moreover, most SSO systems focus on the authentication at the beginning of sessions. We observe that the ending of sessions can be confusing and lead to security failures. We investigate logout in existing SSO systems and suggest separating the concepts of local and global logout. As the computing environment changes, for example, applications move to mobile and cloud platforms, there is continuous need to update authentication technologies. This thesis proposes several incremental improvements to SSO systems and addresses various pain-points from the user's and developer's points of view.

AB - Single Sign-on (SSO) systems simplify user authentication for the many online services that we need to access every day. Solutions exist for both intra-organizational use and for the open web. While SSO systems meet their main goal of reducing the number of passwords that a user needs to memorize, many other aspects can still be improved. The goal of this thesis is to investigate how digital user identities are linked to real world identities, what opportunities and challenges mobile devices bring to the SSO systems, and how SSO sessions are managed after the initial authentication. Many countries all around the world provide citizen authentication methods based on smart cards or other credentials. Most of these offer strong two-factor authentication and APIs for integration to private and commercial systems. However, organizations may want to implement strong authentication by themselves without relying on specific national identity systems. We designed and implemented a system that provides two-factor user authentication with mobile phone as a secure store for service-issued credentials. Mobile devices also give rise to questions about session mobility. Stateless web applications that are distributed between the browser and the cloud may store only authentication session information in the client device. We implemented session migration that allows SSO sessions to be moved from one device to another. This enables users to change to the best available device, such as switching between a desktop computer and a mobile device, and still continue working without reauthentication. Moreover, most SSO systems focus on the authentication at the beginning of sessions. We observe that the ending of sessions can be confusing and lead to security failures. We investigate logout in existing SSO systems and suggest separating the concepts of local and global logout. As the computing environment changes, for example, applications move to mobile and cloud platforms, there is continuous need to update authentication technologies. This thesis proposes several incremental improvements to SSO systems and addresses various pain-points from the user's and developer's points of view.

KW - computer security

KW - authentication

KW - single sign-on

KW - identity management

KW - SSO

KW - tietoturvallisuus

KW - tunnistus

KW - kertakirjautuminen

KW - identiteetinhallinta

KW - computer security

KW - authentication

KW - single sign-on

KW - identity management

KW - SSO

M3 - Doctoral Thesis

SN - 978-952-60-7102-2

T3 - Aalto University publication series DOCTORAL DISSERTATIONS

PB - Aalto University

ER -

Enhanced Security for Mobile User Authentication and Single Sign-On

Abstrakti

Tutkimusalat

Pääsy asiakirjaan

Sormenjälki

Siteeraa tätä