Utredning angående lösenordshanterare. Post- och telestyrelsen

Transkript

1 Utredning angående lösenordshanterare Post- och telestyrelsen Februari 2014

2 Sammanfattning Starka lösenord till och e-tjänster är viktiga för att användaren ska vara säker på internet. Problemet är att den höga säkerhetsnivån sker på bekostnad av enkelheten, det vill säga användaren har svårt att komma ihåg sina valda lösenord. I dag finns flera tjänster på marknaden som syftar till att förenkla hanteringen av lösenord för användarna, bland annat så kallade lösenordhanterare. B Stelacon har fått i uppdrag av Post- och telestyrelsen (PTS) att undersöka om lösenordshanterare underlättar inloggningsförfarandet för personer med funktionsnedsättning. I studien ingick bland annat att göra en utvärdering av fyra utvalda lösenordshanterare utifrån ett användar- och säkerhetsperspektiv. Valda lösenordshanterare finns tillgängliga för dator, surfplatta och smart telefon och är kompatibla med de vanligaste webbläsarna. Tre av de fyra lösenordshanterarna bedöms också hålla en hög säkerhet. De flesta av användarna i studien är dock tveksamma till nyttan. De anser inte att användning av lösenordhanterare underlättar inloggning och hantering av lösenord. Detta gäller såväl personer med funktionsnedsättning som personer utan funktionsnedsättning. Det beror främst på att man antingen är tillfreds med den lösning man har hittat för att hantera sina lösenord idag, eller anser att för många moment krävs innan lösenordshanteraren kan fungera fullt ut. Personer som är blinda eller synsvaga och använder skärmläsare har också svårt att använda lösenordshanterare på grund av att skärmläsaren inte kan läsa av all information. Den målgrupp som upplever sig ha störst nytta av lösenordshanterare är personer med kognitiva funktionsnedsättningar. Det finns samtidigt personer med kognitiva funktionsnedsättningar som upplever det svårt att såväl ladda ner som använda lösenordshanterarna. Det som påverkar huruvida användarna ser nyttan av lösenordshanterare är dock enligt Stelacons bedömning inte enbart funktionsnedsättning, utan även graden av säkerhetsmedvetande. nvändare med ett högt säkerhetsmedvetande ser i högre grad nyttan med lösenordshanterare än användare som prioriterar enkelhet. Den senare målgruppen använder exempelvis webbläsarens möjlighet att spara lösenord, och ser inget mervärde i att använda en lösenordshanterare. nvändare med ett högt säkerhetsmedvetetande pekar på risken med att samla användarens samtliga lösenord på ett ställe och på vikten av att lösenordshanterarna håller en hög säkerhet. Merparten av användarna i studien är dock medvetna om att man bör använda mer komplicerade lösenord och att många också kräver detta. Oftast prioriteras dock enkelhet före säkerhet och många använder samma eller snarlika lösenord på olika B Stelacon Utredning lösenordshanterare, PTS

3 Redan idag finns alternativa tekniker för att identifiera sig, exempelvis via fingeravtryck, så kallad biometrisk autentisering. Sannolikt är denna utveckling i sin linda och bedöms framgent kunna minska behovet av användarnamn och lösenord. Tjänsten lösenordshanterare kan därmed på sikt få en minskad betydelse. Samtidigt utvecklas lösenordshanterarna och det finns redan idag de som fungerar i kombination med andra inloggningslösningar för att ytterligare höja säkerhetsnivån. De potentiella användare Stelacon intervjuat ser en begränsad nytta med lösenordshanterare i och med att de i stor utsträckning prioriterar enkelhet. Bedömningen är därför att lösenordshanterare i sin nuvarande form inte underlättar inloggningsprocessen för målgruppen. För att lösenordshanterare ska fylla en funktion krävs framför allt ett ökat medvetande kring de risker som är förenade med att använda alltför enkla lösenord. En informationsinsats för att öka kunskapen om vad som krävs för att lösenord ska anses säkra kan därför behövas. Lösenordshanterarna bör också utvecklas så att de hanterar fler typer av inloggningar, fungerar bättre med skärmläsare och är enkla att installera och använda B Stelacon Utredning lösenordshanterare, PTS

4 Innehåll 1 Inledning Bakgrund Syfte Metod och genomförande Lösenordshanterare - introduktion Lösenordshanterare som webbläsartillägg Lösenordshanterare som skrivbordsversion Lösenordshanterare som mobil app Lösenordshanterare i studien Tester av olika typer av inloggningar, webbläsare och operativsystem Inledning Kompatibilitet med olika typer av inloggningar Kompatibilitet med webbläsare Kompatibilitet med operativsystem för dator Kompatibilitet med operativsystem för mobila enheter Tester på offentliga verksamheters Inloggning med användarnamn och lösenord Inloggning med e-legitimation nvändbarhet för olika målgrupper Genomförande av användbarhetstester Sammanfattande resultat av användbarhetstester Lösenordshanterare och riktlinjer för webbinnehåll och mobila appar Säkerhetsgranskning B Stelacon Utredning lösenordshanterare, PTS

5 5.1 Genomförande Trender och framtid Slutsatser Bilaga 1 - Bruttolista över kartlagda lösenordshanterare Bilaga 2 - Resultat från användbarhetstester Bilaga 3 - Lösenordshanterare och riktlinjer Bilaga 4 - Prisjämförelse B Stelacon Utredning lösenordshanterare, PTS

6 1 Inledning 1.1 Bakgrund PTS har i uppdrag av regeringen att säkerställa att viktiga tjänster för personer med funktionsnedsättning inom områdena elektronisk kommunikation och post finns tillgängliga. PTS upphandlar eller anskaffar tjänster för personer med funktionsnedsättning i de fall marknaden inte tillhandahåller tjänsterna. PTS finansierar även utvecklingsprojekt som utarbetar nya lösningar för personer med funktionsnedsättning. Vidare verkar PTS för att konsumentprodukter som kommer ut på marknaden ska gå att använda av så många som möjligt. Utvecklingen i samhället går mot att allt fler ärenden uträttas via e- tjänster, samt en kraftig ökning av kommunikation via sociala medier. Vidare kräver fler och fler att användaren registrerar en profil för att få åtkomst till information och erbjudanden. Detta medför att den enskilda användaren behöver hantera många olika inloggningsförfaranden och lösenord. Många kräver också att lösenordet är utformat enligt vissa kriterier, exempelvis längd och komplexitet. Sammantaget kan det för användaren upplevas som komplext att hantera alla lösenord och detta är något som PTS har uppmärksammats på. I dag finns dock flera tjänster på marknaden som syftar till att förenkla hanteringen av lösenord för användarna. För att undersöka om dessa tjänster underlättar inloggningsförfarandet genomför Stelacon på uppdrag av PTS en utvärdering av tjänsterna utifrån bland annat användar- och säkerhetsperspektiv. 1.2 Syfte Syftet med studien är att utvärdera om tjänsten lösenordshanterare kan underlätta inloggningsprocessen på olika och webbtjänster från dator, smart telefon eller surfplatta. Studien omfattar personer med funktionsnedsättning samt personer utan funktionsnedsättning. 1.3 Metod och genomförande Kartläggning Uppdraget inleddes med en övergripande kartläggning av de lösenordshanterare som idag finns tillgängliga på marknaden. I samråd med PTS valdes sedan fyra lösenordshanterare ut för den fortsatta studien. Kriterierna för val av tjänster var bland annat att lösenordshanterarna skulle vara väl etablerade på marknaden och finnas tillgängliga för Windows, Mac, ndroid och Ios. I kartläggningen gjordes även en jämförelse mellan leverantörernas prissättning och betalmodeller. Test av inloggningar, operativsystem och webbläsare För att testa om inloggningar, operativsystem och webbläsare fungerar tillsammans med olika lösenordshanterare gjordes en systematisk 2014 B Stelacon Utredning lösenordshanterare, PTS

7 genomgång av de fyra lösenordshanterarna. Vidare undersöktes vilka krav varje lösenordshanterare ställer på programmeringen av genom att testa varje lösenordshanterare på olika inloggningsvarianter. För att kartlägga kompatibiliteten mellan lösenordshanterare och operativsystem/webbläsare testades också varje lösenordshanterare på respektive operativsystem och webbläsare. Lösenordshanterarna testades även på offentliga verksamheters för att utvärdera om lösenordshanteraren fungerar vid olika typer av inloggningar. nvändbarhetstester För att testa i vilken utsträckning lösenordshanterarna kan underlätta inloggningsprocessen, genomfördes användbarhetstester. Målgrupper för testerna var personer utan funktionsnedsättning, blinda personer, synsvaga personer och personer med kognitiv funktionsnedsättning. nvändarna fick testa de utvalda lösenordshanterarna från nedladdning, installation och inloggning till användning och administration av lösenord. För synsvaga och blinda personer testades även att lösenordshanterarna fungerar med hjälpmedel som exempelvis skärmläsarprogram/talsyntes och förstoringsprogram. Testpersonerna fördelade sig enligt nedan: Synsvaga Blinda Kognitivt funktionsnedsatta Ej funktionsnedsatta ntal testpersoner Tabell 1. Fördelning av testpersonerna per målgrupp Testpersonerna med kognitiva funktionsnedsättningar fördelar sig enligt nedan: Personer med autism/aspergers syndrom 7 personer Personer med dyslexi 5 personer Personer med DHD/DD 3 personer Några personer har kombinationer av kognitiva funktionsnedsättningar. Varje testperson har testat flera lösenordshanterare, på dator och/eller mobil enhet. Några testpersoner fick även testa lösenordshanterarna hemma under en vecka, för att närmare bekanta sig med programmen på de ofta använder. Efter testveckan återkopplade testpersonen sina upplevelser i en intervju alternativt skriftligt till Stelacon. Lösenordshanterarna har också testats utifrån befintliga riktlinjer avseende webb mobila gränssnitt, exempelvis Web Content ccessibility Guidelines (WCG) 2.0 som beskriver hur webbinnehåll 2014 B Stelacon Utredning lösenordshanterare, PTS

8 ska tillgängliggöras för att en så stor del av befolkningen som möjligt ska ha möjlighet att ta del av det. Säkerhetsgranskning I samarbete med säkerhetsexperter har en granskning av säkerheten hos respektive tjänst genomförts. Granskningen har genomförts via ett så kallat applikationspenetrationstest där attacker mot systemen simuleras. nvändbarhetstester, test av inloggningar, operativsystem och webbläsare samt säkerhetsgranskning genomfördes under perioden 10 november till 15 december Resultatet baseras följaktligen på lösenordshanterarnas funktionalitet under den perioden och det är viktigt att ha i åtanke att leverantörerna kontinuerligt utvecklar lösenordshanterarna och att nya funktioner kan ha tillkommit efter att testerna har slutförts B Stelacon Utredning lösenordshanterare, PTS

9 2 Lösenordshanterare - introduktion En lösenordshanterare är en programvara som syftar till att förenkla användarens administration av inloggningsuppgifter. Lösenordshanteraren krypterar och sparar användarens inloggningsuppgifter eller annan känslig information, exempelvis kreditkortsuppgifter. nvändaren får tillgång till sina lösenord genom att logga in i lösenordshanteraren, med andra ord behöver användaren endast memorera ett lösenord det till lösenordshanteraren. Lösenord till och e-tjänster kan sparas direkt i själva lösenordshanteraren eller genom att användaren loggar in på en webbplats eller e-tjänst och då väljer att spara inloggningsuppgifterna i lösenordshanteraren. Innan lösenordshanteraren kan ersätta en användares alla inloggningar krävs med andra ord att samtliga befintliga lösenord sparas till lösenordshanteraren. De flesta lösenordshanterare finns som gratisversion men det finns oftast möjlighet att uppgradera till en betalversion där fler funktioner ingår, exempelvis synkronisering och back-up. Prisjämförelse för de tjänster som studien omfattar återfinns i bilaga 4. Nedan visas ett exempel på hur användargränssnitt för lösenordsadministration kan vara utformat: Figur 1. nvändargränssnittet för översiktssidan i lösenordshanteraren Passwordbox respektive för redigering av inloggningsuppgifter för csn.se Lösenordshanterare finns tillgängliga som webbläsartillägg, skrivbordsversion och mobil applikation (mobil app). Funktionaliteten skiljer sig i viss utsträckning mellan de olika typerna av lösenordshanterare och dessa skillnader beskrivs mer utförligt nedan B Stelacon Utredning lösenordshanterare, PTS

10 2.1 Lösenordshanterare som webbläsartillägg Ett webbläsartillägg är ett program som används för att utöka funktionaliteten och/eller användargränssnittet i en webbläsare (exempelvis Internet Explorer). Webbläsartillägget för lösenordshantering läggs till i webbläsaren och interagerar med webbläsaren. När man använder lösenordshanterare som webbläsartillägg öppnas lösenordshanteraren i webbläsaren. I lösenordshanteraren som webbläsartillägg finns möjligheten att registrera och spara lösenord eller andra anteckningar. nvändaren har också möjlighet att spara lösenord genom att logga in på en webbplats eller tjänst, till exempel Google Mail, och då välja att automatiskt spara inloggningsuppgifterna i lösenordshanteraren. Det finns sedan en möjlighet att låta webbläsartillägget automatiskt fylla i sparade inloggningsuppgifter vid nästkommande inloggning. 2.2 Lösenordshanterare som skrivbordsversion En skrivbordsversion är ett datorprogram i bemärkelsen att det kan sparas som en ikon på skrivbordet. De lösenordshanterare som finns som skrivbordsversioner fungerar likt en krypterad fil, där det finns möjlighet att spara skyddad information (som inloggningsuppgifter, kreditkortsinformation och anteckningar) direkt på datorn. Åtkomst sker via inloggningsuppgifterna till lösenordshanteraren. Denna form av lösenordshanterare saknar ofta direkt interaktion med webbläsaren och kan därför inte automatiskt fylla i inloggningsuppgifter eller spara inloggningsinformation när man använder webbläsaren. 2.3 Lösenordshanterare som mobil app En mobil app är ett program som fungerar på mobila enheter (som smarta telefoner och surfplattor). De laddas ner till enheten via exempelvis pples pp Store eller Googles Google Play. Funktionaliteten för denna typ av lösenordshanterare är motsvarande som för webbläsartillägget under förutsättning att inloggningen först sker via lösenordshanteraren. ppen har en inbyggd webbläsare, där automatisk inloggning kan ske på. Det är med andra ord inte möjligt att exempelvis i webbläsaren Safari på Iphone logga in automatisk på med sparade uppgifter i lösenordshanteraren. Däremot är det möjligt att kopiera lösenordsuppgifter från lösenordshanteraren och sedan klistra in dem i Safari. 2.4 Lösenordshanterare i studien Vid val av lösenordshanterare för studien prioriterades de tjänster som idag finns tillgängliga för Windows, Mac, ndroid och Ios och som Stelacon anser vara väl etablerade på marknaden. Följande lösenordshanterare valdes ut och ingår i studien 1 : 1Password (gilebits) Keeper (Keeper Security Inc.) 1 Se bilaga 1 för fullständig lista över lösenordshanterare som ingick i kartläggningen B Stelacon Utredning lösenordshanterare, PTS

11 Lastpass (Lastpass) Passwordbox (Passwordbox Inc.) 1Password, Lastpass och Passwordbox finns tillgängliga på både engelska och svenska, medan Keeper endast finns på engelska. lla fyra lösenordshanterare finns tillgängliga för dator, surfplatta och smart telefon. Datorversionerna finns som webbläsartillägg och för vissa lösenordshanterare även som skrivbordsversion. Då skrivbordsversionen som beskrivs ovan oftast har något begränsad funktionalitet har denna inte använts i användbarhetstesterna B Stelacon Utredning lösenordshanterare, PTS

12 3 Tester av olika typer av inloggningar, webbläsare och operativsystem 3.1 Inledning I syfte att utvärdera funktionaliteten hos lösenordshanterarna har ett antal tester utförts med respektive lösenordshanterare. Testerna har omfattat kompatibilitet med olika typer av inloggningar (exempelvis Bank-ID, e-legitimation etc.), kompatibilitet med olika webbläsare (exempelvis Internet Explorer, Safari etc.) samt kompatibilitet med olika operativsystem (exempelvis Windows). Funktionaliteten har också testats på ett antal frekvent använda offentliga, exempelvis försäkringskassan.se. 3.2 Kompatibilitet med olika typer av inloggningar På en webbplats med inloggningsmöjlighet finns det inmatningsfält där användaren ska mata in sina inloggningsuppgifter, det vill säga sitt användarnamn och lösenord. Om man som användare vill att en lösenordshanterare automatiskt ska spara inloggningsuppgifter för en webbplats och sedan fylla i dessa automatiskt när användaren besöker webbplatsen i framtiden då är det dessa inmatningsfält för inloggningsuppgifterna som lösenordshanteraren interagerar med. Vid uppbyggnaden av ett inmatningsfält tilldelas fältet ett attribut, en så kallad inmatningstyp (eng. input type). World Wide Web Consortium (W3C), som arbetar med framtagande av standarder för webbutveckling har listat 2 de olika inmatningstyperna som förekommer. Som användare märker man inte vilken inmatningstyp ett inmatningsfält har eftersom det inte syns i webbläsaren, men för att en lösenordshanterare ska fungera korrekt måste den förstå vilket inmatningsfält den ska interagera med, så att lösenordshanteraren inte fyller i användarens inloggningsuppgifter i exempelvis ett sökfält. Kompatibiliteten mellan olika inmatningstyper och varje lösenordshanterare testades i ett webbaserat HTML 3 - redigeringsprogram, vilket fungerar som att utveckla en webbplats samtidigt som man ser resultatet på webbplatsen direkt i webbläsaren. Vår slutsats är att alla fyra lösenordshanterare fungerar automatiskt med inloggningar på när lösenordsfältet tilldelats password (lösenord) som inmatningstyp (eng. input type) i HTMLkoden av webbplatsen, och fältet för användarnamnet är placerat precis före lösenordsfältet. Flera svenska myndigheter använder e-legitimation, exempelvis BankID eller Mobilt BankID) för att logga in eller legitimera sig över internet. Varken BankID eller Mobilt BankID är i dagsläget kompatibla med någon av de fyra lösenordshanterarna, och det är alltså inte HyperText Markup Language, kod för att skapa och formge och annan information till webbläsaren 2014 B Stelacon Utredning lösenordshanterare, PTS

13 möjligt för någon lösenordshanterare att automatiskt fylla i lösenordet i e-legitimationsprogramvaran. Däremot är det möjligt att spara lösenordet som en krypterad anteckning och därefter fylla i det manuellt i e-legitimationsprogramvaran. Se avsnitt 4.5 Tester på offentliga verksamheters för mer information. 3.3 Kompatibilitet med webbläsare lla fyra lösenordshanterare fungerar att ladda ner som webbläsartillägg i Google Chrome, Firefox och Safari, och alla utom Keeper fungerar i Internet Explorer. Betalande användare kan dock komma åt sina sparade uppgifter genom inloggning på Keepers webbplats med Internet Explorer. 1Password kräver att skrivbordsversionen finns nedladdad för att fungera. Tabell 2 nedan sammanfattar kompatibiliteten mellan olika webbläsare och lösenordshanterarna: Google Chrome Internet Explorer Mozilla Firefox Safari Övriga Keeper Passwordbox 1Password Lastpass Opera Tabell 2. Sammanfattning av kompatibilitet mellan olika webbläsare och lösenordshanterare 3.4 Kompatibilitet med operativsystem för dator Samtliga fyra lösenordshanterare är kompatibla med både Windows och Mac OS X när de används som webbläsartillägg. Keeper, 1Password och Lastpass förekommer även som skrivbordsversioner för operativsystemen enligt tabellen nedan. Passwordbox finns enbart som webbläsartillägg. Windows Mac OS X Övriga Keeper Passwordbox 1Password Lastpass Tabell 3. Sammanfattning av kompatibilitet mellan olika operativsystem och lösenordshanterare 3.5 Kompatibilitet med operativsystem för mobila enheter lla fyra lösenordshanterare förekommer som mobila appar för ndroid och Ios. Keeper och Lastpass finns även för bland annat Windows Phone B Stelacon Utredning lösenordshanterare, PTS

14 1Password har en begränsning i sin ndroidbaserade app då det i denna inte är möjligt att göra ändringar av sparade uppgifter direkt i appen. De sparade uppgifterna måste läggas till och ändras i skrivbordsversionen av 1Password och sedan sparas i en molntjänst, som exempelvis Dropbox. Därefter hämtas de sparade uppgifterna via molntjänsten till applikationen och det är då möjligt att läsa de sparade uppgifterna i appen 4. ndroid Ios Övriga Keeper Windows Phone, Kindle Passwordbox 1Password Lastpass Windows Phone, Blackberry Tabell 4. Sammanfattning av kompatibilitet mellan olika mobila operativsystem och lösenordshanterare 3.6 Tester på offentliga verksamheters För att utvärdera om lösenordshanterarna kan användas vid inloggningar har de fyra lösenordshanterarna testats på några frekvent använda offentliga verksamheters. De kontrollerade na har systematiskt testats genom inloggning från både dator och mobil enhet med samtliga fyra lösenordshanterare Inloggning med användarnamn och lösenord Möjligheten till inloggning genom användarnamn och lösenord används i testet av följande verksamheters : CSN, Pensionsmyndigheten, SL och Skatteverket. Denna typ av inloggningsmetod fungerar bra för alla lösenordshanterare i testet. De inmatningsfält som används för att logga in hittades och fylldes i automatiskt av respektive lösenordshanterare Inloggning med e-legitimation Inloggning genom användning av e-legitimation används i test av följande verksamheters : CSN, Pensionsmyndigheten, Skatteverket och Försäkringskassan. v dessa är det enbart Försäkringskassan som använder e-legitimation som enda inloggningsmetod. Vid inloggning med hjälp av e-legitimation krävs att användaren har laddat ned en särskild programvara till sin dator där användaren skriver in ett personligt lösenord. Ingen lösenordshanterare fyller i det personliga lösenordet automatiskt vid denna typ av inloggning. Däremot är det möjligt att spara sitt 4 Enligt leverantören av 1Password (gilebits) så arbetar de med att utveckla en ndroidbaserad app utan de rådande begränsningarna. Det är i nuläget inte bestämt när denna app kommer lanseras B Stelacon Utredning lösenordshanterare, PTS

15 personliga lösenord till e-legitimationen som en anteckning i respektive lösenordshanterare och manuellt kopiera det i lösenordshanteraren när man ska logga in. csn.se Inloggningstyp Inloggning med personlig kod Inloggning med e- legitimation genom att spara lösenordet som säker anteckning Keeper Passwordbox 1Password Lastpass pensionsmyndigheten.se Inloggning med personlig kod Inloggning med e- legitimation genom att spara lösenordet som säker anteckning sl.se Inloggning med personlig kod skatteverket.se Inloggning med e- legitimation genom att spara lösenordet som säker anteckning forsakringskassan.se Inloggning med e- legitimation genom att spara lösenordet som säker anteckning Tabell 5. Kompatibilitet med inloggningsförfaranden på offentliga verksamheters Tabell 5 visar att alla fyra lösenordshanterare fungerar att logga in automatiskt med på sidor som använder personlig kod. För att logga in med e-legitimation kan man endast använda lösenordshanterarna för att spara lösenordet som en säker anteckning och manuellt kopiera lösenordet för att sedan logga in. Sammanfattningsvis är kompatibiliteten mellan de undersökta lösenordshanterarna och olika inloggningar, webbläsare och operativsystem god. Som användare kan man komma åt sina sparade inloggningsuppgifter från de vanligaste operativsystemen och webbläsarna B Stelacon Utredning lösenordshanterare, PTS

16 4 nvändbarhet för olika målgrupper 4.1 Genomförande av användbarhetstester För att utvärdera om användningen av lösenordshanterare förenklar inloggningsprocessen till olika genomfördes också tester med användare. Lösenordshanterarna testades som webbläsartillägg på dator och som mobil app på mobil enhet (surfplatta eller smart telefon). Webbläsartillägg valdes på grund av funktionaliteten med bland annat automatiskt ifyllning av inloggningsuppgifter. Testerna genomfördes på plats i Stelacons studio samt inom ramen för projektet Begripsam 5 och testpersonerna genomförde följande steg: 1. Ladda ner och installera webbläsartillägget på dator alternativt ladda ner mobil app till smart telefon eller surfplatta och sedan logga in. 2. nvända lösenordshanteraren genom att lägga till lösenord till olika och logga in på webbplatsen genom lösenordshanteraren. 3. dministrera lösenordshanteraren genom att exempelvis ändra lösenord och ta bort lösenord från lösenordshanteraren. Testledaren observerade hur testpersonen gick tillväga och efter varje steg fick testpersonen svara på om han/hon upplevde det lätt eller svårt att genomföra uppgiften och vad som skulle kunna förbättras. I intervjusamtal diskuterades hur testpersonen hanterar lösenord idag och om lösenordshanteraren skulle förenkla inloggningsförfarandet. Som ett komplement till användbarhetstesterna fick testpersoner ur varje målgrupp använda lösenordshanterarna hemma under en vecka. Hemtesterna genomfördes för att få en bild av hur användarna upplever användningen av lösenordshanterarna i sin hemmiljö, när de använt dem under en längre tid och för sina egna lösenord. 4.2 Sammanfattande resultat av användbarhetstester I följande avsnitt presenteras de viktigaste delarna av resultatet från användbarhetstesterna. Det fullständiga resultatet redovisas i bilaga 2. Testpersonerna använder idag olika metoder för att administrera och använda lösenord. De använder exempelvis samma lösenord till flera inloggningar och automatisk inloggning där lösenordet sparats på webbplatsen. De flesta är medvetna om att de bör ha mer komplicerade lösenord framför allt beroende på att vissa kräver mer komplexa lösenord. De flesta använder dock oftast samma eller varianter av ett lösenord till flera. Några av testpersonerna B Stelacon Utredning lösenordshanterare, PTS

17 har mer komplicerade lösenord för viktiga inloggningar och inser vikten av starka och varierade lösenord för olika inloggningar. En testperson har exempelvis en mapp i datorn med sparade lösenord som inte är kritiska, lösenord till t ex banken har personen istället memorerat. Merparten av testpersonerna prioriterar dock enkelhet före säkerhet, och även om de är medvetna om vikten av starka lösenord bortser många från risken det innebär att ha enkla lösenord. Är lösenordhanterare enkla att använda? Generellt upplever testpersonerna utan funktionsnedsättningar att det är enkelt att använda lösenordshanterarna. Nedladdningen fungerar bra för samtliga testpersoner förutom när det gäller 1Password som upplevs krånglig att ladda ner på grund av att skrivbordsversionen krävs för att webbläsartillägget ska fungera på dator. utomatisk inloggning uppskattas generellt av målgruppen. För testpersoner som är blinda och använder skärmläsare är alla fyra lösenordshanterare svåra att använda på grund av att skärmläsaren inte kan läsa av all information i lösenordshanteraren. Detta gäller såväl på dator som på mobil enhet. Personer som är synsvaga använder förstoring i mobil enhet eller förstorningsprogram (Zoomtext 6 ) för att kunna använda lösenordshanterarna. Tydliga konturer och färgval är viktiga kriterier för att lösenordshanterare ska vara enkla att använda. Testpersonerna upplever inte att lösenordshanterarna är enkla att använda då de inte uppfyller ovan nämnda kriterier. Keeper är den lösenordshanterare som anses fungera bäst för denna målgrupp då den har tydligast konturer och bra färgvariationer. Se figur 2 för exempel på ett gränssnitt som fungerar relativt väl för personer som använder förstoring. 6 Förstoringsprogram med inställbar förstoring mellan 1,25 och 36 gånger 2014 B Stelacon Utredning lösenordshanterare, PTS

18 Tydliga konturer och färgsättning Figur 2. nvändargränssnittet för Keepers webbläsartillägg Vissa av personerna med kognitiva funktionsnedsättningar har svårigheter att ladda ner lösenordshanterarna medan andra tycker att det fungerar bra när de väl har lärt sig hur man gör. I målgruppen går också åsikterna isär gällande hur enkelt det är att använda lösenordshanterare. Det är framförallt personer med dyslexi och DHD som upplever det svårt att ladda ner och använda lösenordshanterare medan personer med spergers syndrom anser att det är enkelt. Personer med dyslexi (och i viss utsträckning synsvaga personer) nämner också att de har problem med så kallad Captcha 7, det vill säga förvrängda koder i bildformat. Figur 3 visar exempel på ett gränssnitt som flera av personerna med kognitiva funktionsnedsättningar tycker är otydlig med otydliga ikoner och för liten teckenstorlek. Denna målgrupp uppskattar tydliga symboler och text och föredrar ett gränssnitt som exempelvis Passwordbox. 7 Completely utomated Public Turing test to tell Computers and Humans part 2014 B Stelacon Utredning lösenordshanterare, PTS

19 Otydligt gränssnitt med för liten textstorlek Figur 3. nvändargränssnittet för Lastpass webbläsartillägg Det finns vissa skillnader i hur lösenordshanterarna upplevs på dator via webbläsartillägg och i mobil enhet. Exempelvis sparas inte lösenord automatiskt genom att man loggar in på webbplatsen i alla de mobila apparna. Man måste istället lägga till lösenord manuellt. Passwordbox uppfattas av de flesta som det mest intuitiva och enkla programmet att använda oavsett plattform och operativsystem. Exempelvis finns vanligt förekommande förvalda med tydliga ikoner och enkel direktinloggning (Se figur 3). I Passwordbox mobila app kan man också spara inloggningar i den inbyggda webbläsaren precis som när man använder webbläsartillägget på dator B Stelacon Utredning lösenordshanterare, PTS

20 Intuitivt gränssnitt med tydliga ikoner och enkel direktinloggning Figur 4. nvändargränssnittet för Passwordbox webbläsartillägg Underlättar lösenordshanterare inloggningsprocessen? Den övervägande delen av testpersonerna anser inte att användning av lösenordhanterare underlättar inloggning och hantering av lösenord. För att lösenordshanteraren ska fungera fullt ut upplever man att det är för många moment som måste bockas av, bland annat nedladdning, aktivering och registrering av alla lösenord. Dessutom tycker merparten att de redan idag har en fungerande process för att hantera sina lösenord. De poängterar också att om man skapar komplicerade lösenord till alla sina konton blir man beroende av lösenordshanteraren för att komma ihåg lösenorden. Om man exempelvis behöver komma åt ett konto från en annan dator än sin egen måste man ladda ner webbläsartillägg till den datorn, vilket inte alltid är möjligt om det exempelvis rör sig om en offentlig dator. Inom gruppen med kognitiva funktionsnedsättningar återfinns de personer som upplever sig kunna ha störst nytta av lösenordshanterare. Det handlar om personer med dyslexi, aspergers syndrom/autism och DHD/DD. Dessa personer anser att det är problematiskt att komma ihåg och/eller hantera lösenord och tycker att de testade lösenordshanterarna är relativt användarvänliga. Det finns samtidigt personer med kognitiva funktionsnedsättningar som har svårt att såväl ladda ner som använda lösenordshanterarna. Personer som är blinda eller synsvaga upplever inte att lösenordhanterare underlättar, vilket beror på att lösenordhanterarna 2014 B Stelacon Utredning lösenordshanterare, PTS

21 inte fungerar tillräckligt bra med skärmläsarprogram och att de ofta saknar tydliga konturer och färgval. Det är dock viktigt att poängtera att det är andra faktorer än funktionsnedsättning som påverkar om en person kan tänka sig att använda lösenordshanterare eller inte. Hur säkerhetsmedveten personen är när det gäller hantering av lösenord idag påverkar det upplevda behovet av lösenordhanterare. Det finns de som prioriterar enkelhet och använder samma lösenord till alla inloggningar, alternativt samma lösenord med små variationer. Några har ett enklare lösenord till som de inte bedömer som så viktiga, och ett mer komplicerade lösenord till som är viktiga, som exempelvis banker. Flera av testpersonerna, oavsett om de har en funktionsnedsättning eller inte, använder som nämnts möjligheten att spara lösenord i webbläsaren, då de anser att det är ett enkelt sätt att hantera lösenord. Dessa personer som därmed prioriterar enkelhet före säkerhet ställer sig frågande till vad lösenordshanterarna kan tillföra. Personer som är mer säkerhetsmedvetna och väljer att använda mer komplicerade lösenord som inte sparas i webbläsaren, kan se lösenordshanterare som ett alternativ. Samtidigt är det viktigt för denna målgrupp att få svar på frågan om hur säkra lösenordhanterarna faktiskt är, då samtliga lösenord sparas på samma ställe. Några av testpersonerna uppger att säkerheten är det huvudsakliga skälet till att de inte vill använda lösenordshanterare, och de hellre använder ett komplicerat lösenord med mindre variationer som är möjligt att komma ihåg. Sammanfattningsvis tycker den övervägande delen av användarna inte att lösenordshanterare underlättar inloggningsförfarandet. För vissa målgrupper är funktionaliteten inte tillräckligt bra, andra upplever lösenordshanterarna som ett omständligt sätt att hantera lösenord och tycker att den hantering de valt fungerar bra. Personer med ett högt säkerhetstänkande kan se nyttan med lösenordshanterar men ifrågasätter säkerheten och ser en sårbarhet i att alla lösenord finns lagrade på ett och samma ställe. 4.3 Lösenordshanterare och riktlinjer för webbinnehåll och mobila appar Som ett komplement till användbarhetstesterna undersöktes om lösenordshanterarna påverkar uppfyllandet av riktlinjer för webbinnehåll samt mobila appar. Utgångspunkten var att testa ett antal med hög uppfyllnad av riktlinjer och säkerställa att dessa inte påverkades negativt av att lösenordshanteraren användes parallellt. Resultatet visade att ingen lösenordshanterare som användes som webbläsartillägg påverkade webbinnehållets användarbarhet negativt i någon särskild utsträckning. För fullständigt resultat se bilaga 3 Lösenordshanterare och riktlinjer B Stelacon Utredning lösenordshanterare, PTS

22 5 Säkerhetsgranskning En viktig aspekt vid utvärdering av lösenordshanterare är säkerheten, vilket också påtalats av flera personer som medverkat i användbarhetstesterna. Följande avsnitt sammanfattar en säkerhetsgranskning som Stelacon genomfört i samarbete med Cybercom Sweden B. 5.1 Genomförande För att granska hur säkra de utvalda lösenordshanterarna är har ett penetrationstest utförts. Ett penetrationstest utvärderar säkerheten i ett system genom att simulera attacker mot systemet för att påvisa eventuella sårbarheter eller felaktiga konfigurationer i applikationer. Penetrationstestet har utförts med mål att identifiera svagheter i de utvalda lösenordshanterarna; Keeper, Passwordbox, Lastpass och 1Password. Testet omfattar i huvudsak följande delar. Hur leverantörerna hanterar lagrade lösenord och andra känsliga uppgifter i applikationen och hur överföringen av dessa sker. Vilken metodik leverantörerna har använt för att säkerställa att användardata krypteras korrekt. Vilka säkerhetsfunktioner och inställningar som applikationerna stöder. Granskningen visar att tre av de fyra testade lösenordshanterarna inte har några större brister ur en säkerhetssynpunkt, medan en har flera allvarliga brister. Exempelvis har det påvisats i testerna att användardata i form av användarnamn, lösenord, och även masterlösenord kan återskapas av en angripare under vissa förutsättningar i lösenordshanteraren Keeper. Leverantörerna använder dock en stark kryptering i flera nivåer vilket gör att de har ett bra skydd mot avlyssning av trafik. Keeper. Säkerhetsgranskningen visar att det ur en säkerhetssynpunkt finns flera brister i Keeper som bör åtgärdas för att säkerställa konfidentialiteten 8 av användardata. Det gäller särskilt för användare av Firefox då en angripare enkelt kan få ut känsliga uppgifter (logins, wallets osv) via en konfigurationsfil som skapats av tillägget. Vidare kan en angripare dumpa 9 Firefox minnet för att få åtkomst till masterlösenordet i klartext. Båda bristerna går att utnyttja även då användaren loggat ut från Keeper tillägget. 8 Skydd mot att obehöriga tar del av uppgifterna. 9 Dump av lösenordshanterarens minne, vilket kan innehålla känslig data i klartext B Stelacon Utredning lösenordshanterare, PTS

23 Passwordbox. Ur en säkerhetssynpunkt finns det inga större säkerhetsbrister i Passwordbox. Till skillnad från många andra lösenordshanterare är Passwordbox utrustad med flera viktiga funktioner som kan aktiveras för att ge bättre säkerhet. Några av dessa är möjligheten att ändra antal iterationer 10, PIN kodlås och virtuellt tangentbord. 1Password. Ur en säkerhetssynpunkt finns det inga större säkerhetsbrister i 1Password. Till skillnad från övriga lösenordshanterare finns det inget inbyggt stöd för synkronisering mellan enheter. Det här minskar attackvektorerna 11 något då en angripare bara kan få tag på känsliga uppgifter genom att ha lokal åtkomst till enheten. Men det här gör också att om man förlorar enheten så finns det ingen möjlighet att återskapa informationen. Detta kan lösas genom att man manuellt synkroniserar 1Passwordfilerna med molntjänster som Dropbox eller icloud. Lastpass. Ur en säkerhetssynpunkt finns inga större brister i Lastpass. Precis som Passwordbox och 1Password använder Lastpass teknik för att säkert kryptera, lagra och överföra användardata. Cybercoms sammanfattande riskbedömning av lösenordshanterarna är: Keeper PasswordBox LastPass 1Password Hög Låg Låg Låg Trots den höga säkerheten i de flesta testade lösenordshanterarna är det viktigt att tänka på att svaga lösenord som sparats i en lösenordshanterare fortfarande är svaga lösenord, även om lösenordshanteraren är säker. Flera av lösenordshanterarna kan hjälpa till att generera starka lösenord vilket kan vara positivt ur en säkerhetssynvinkel. Lösenordshanterarnas svaga punkt är masterlösenordet, och om det är svagt exponerar man också alla andra lösenord. Därför bör masterlösenordet vara ett starkt lösenord som ändå är möjligt för användaren att komma ihåg. ndra inställningar och skyddsfunktioner som rekommenderas är: nvänd PIN-kodlås/automatisk utloggning i mobiler och andra enheter. Det ger ett extra skydd ifall man blir av med enheten eller är inaktiv en längre stund. 10 En parameter som påverkar tiden det kommer ta att kryptera/dekryptera masterlösenordet. 11 I det här fallet är attackvektorn nätverket (ingen synkronisering, inget nätverk) B Stelacon Utredning lösenordshanterare, PTS

24 nvänd inbyggda funktioner för att identifiera svaga lösenord. nvänd lösenordsgeneratorn när nya logins skapas. nvänd virtuellt tangentbord eller OTP 12 i de fall man loggar in från publika/osäkra nätverk och datorer. ktivera self-destruct 13 vid ett förvalt antal felaktiga inloggningsförsök. Rensning av cachefiler regelbundet. Sammanfattningsvis kan konstateras att tre av de fyra lösenordshanterarna håller en hög säkerhet och att de i kombination med användning av säkra lösenord och andra säkerhetsinställningar bedöms fungera väl ur ett säkerhetsperspektiv. 12 One-Time-Password 13 Självförstöring 2014 B Stelacon Utredning lösenordshanterare, PTS

25 6 Trender och framtid Lösenordshantering i form av att kroppen blir det nya biologiska lösenordet är en av de tio tekniktrender som spås bli mest intressant för 2014 enligt flera trendanalytiker. Exempelvis rankar Ericsson Consumerlab 14 och Dagens Industri tillsammans med den engelska tidskriften The Economists lösenordshantering bland de tio viktigaste tekniktrenderna. utentisering, eller kontroll av angiven identitet, och accesskontroll kommer sannolikt i en nära framtid kunna göras på annat sätt än att mata in ett lösenord bestående av tecken via ett tangentbord. Enligt Ericsson Consumerlabs rapport från hösten 2013 kommer biometri, det vill säga tekniker för att mäta delar av kroppen elektroniskt, och på så sätt identifiera personer, bli ett viktigt sätt att genomföra autentisering. Det finns också en acceptans från användarna enligt undersökningen. Fingeravtrycksläsare finns redan i pples och Samsungs premiummodeller av mobiltelefoner och flera datormodeller. Fingeravtrycksavläsningen används exempelvis för köp på pples pp store istället för att mata in sitt pple-id (lösenord). ndra biometriska sätt för autentisering är ögonavläsning med hjälp av mobiltelefonens kamera och röstigenkänning. I en framtid kan genetisk autentisering genom utandningsprov vara ännu säkrare. Stelacon anser det troligt att biometrisk autentisering successivt kommer komplettera eller ersätta alfanumeriska lösenord och elektroniska id-tjänster. Nedan följer exempel på lösenordstjänster för framtiden och pågående trender: Flerfaktorsautentisering. Säkerhetskraven höjs, och företag inför fler steg för att säkerställa att rätt person är inloggad i olika system, såsom exempelvis inloggningskort tillsammans med koder. Förutom ordinära metoder kan även autentiseringen kompletteras med biometrisk inloggning. Biometrisk inloggning kan bygga på röst-, ansikts- eller ögonigenkänning alternativt fingeravtryck 15. Lösenordshanterare skulle därmed kunna vara en lösning som fungerar tillsammans med andra inloggningslösningar för att höja säkerhetsnivån ytterligare. Redan idag fungerar exempelvis lösenordshanteraren Lastpass med Yubikey som är en liten USB-sticka som förs in i datorns USB-port för autentisering. Den fungerar utan programvara på alla datorer. Vid inloggning läggs fingret på brickan och då skapas ett nytt, unikt lösenord som skickas till en kontrollserver, där det avgörs om _ _c B Stelacon Utredning lösenordshanterare, PTS

26 användare och nyckel hör ihop. Yubikey Neo är en vidareutveckling som fungerar för smarta telefoner och bygger på den trådlösa NFC 16 - tekniken. I kombination med Lastpass fungerar det på följande vis: När lösenordet till Lastpass app har skrivits in, kommer en ruta upp på skärmen med texten uthenticate. Då sveper man med hjälp av sin nyckelbricka (Yubikey Neo) på telefonens baksida för att genomföra sista steget i autentiseringen. Biometrisk lösenordshantering. Lösenorden ska vara säkra, något som ofta aktualiseras i medier i takt med att lösenord och användaruppgifter kapas och sprids. Bland annat har användaruppgifter från LinkedIn, Playstation och dobe nyligen spridits 17. Samtidigt är det viktigt för användaren att det är enkelt med personlig legitimering. pple och Samsung har börjat använda sig av just biometrisk inloggning i form av fingeravtrycksläsare, istället för PIN-kod för att öppna telefoner. Det är en lösning som bör vara såväl säker som enkel. ndra lösningar som introducerats för att minska användandet av lösenord är exempelvis mobilappen Knock, där man genom att knacka två gånger på telefoner kan låsa upp sin dator (fungerar med Mac). Mobila enheter bärare av känslig information. Det blir viktigare med säkra inloggningar till just mobila enheter. Detta beror bland annat på att användandet av banktjänster, sociala medier, e- legitimation och såväl privat som arbetsrelaterad e-postkorrespondens förflyttar sig från datorer till mobila enheter. Mobilt bank-id blir samtidigt vanligare som identifieringsmetod på exempelvis bankappar i mobila enheter. Det är också möjligt att legitimera sig på e-tjänster i dator med hjälp av bank-id i mobilen. Den mobila enheten är idag en värdehandling som kan innehålla bland annat betaltjänster, access till sociala medier eller känslig företagsinformation. Beroende på personens säkerhetsmedvetenhet kan dubbla lösenord användas, det vill säga först en inloggning till telefonen och sedan lösenord för access till olika appar. Prioriterar användaren enkelhet kan man välja att avaktivera kraven på lösenord, både för inloggning på den mobila enheten och på de olika apparna. Samarbeten mellan tjänster och/eller leverantörer. Idag finns exempelvis möjlighet att logga in på Spotify genom Facebook-kontot, det vill säga samma inloggning ger tillgång till båda tjänsterna. Detta är en lösning som förmodligen är positiv för båda tjänsteleverantörer och det medför också att antalet lösenord för användaren kan minska. Exempel på liknande kopplingar är inloggning på Google som även ger möjlighet att skapa en egen användarprofil på Youtube. 16 Near Field Communication B Stelacon Utredning lösenordshanterare, PTS

27 7 Slutsatser Den övervägande delen av testpersonerna anser inte att användning av lösenordhanterare underlättar inloggning och hantering av lösenord. Detta gäller såväl personer med funktionsnedsättning som personer utan funktionsnedsättning. nledningen är främst att testpersonerna antingen är nöjda med den lösning för lösenordshantering de har valt, alternativt anser de att det är för många moment som krävs innan lösenordshanteraren kan fungera fullt ut. Merparten av testpersonerna använder antingen enkla lösenord eller ett och samma komplicerade lösenord för flera. Många av testpersonerna prioriterar enkelhet och anser inte att de testade lösenordshanterarna är tillräckligt användarvänliga. Blinda personer som använder skärmläsare har dessutom svårt att använda lösenordshanterare på grund av att skärmläsaren inte kan läsa av all information i lösenordshanterarna. För synsvaga personer är det viktigt att färgval och konturer är väl anpassade och tydliga. Ingen av de testade lösenordshanterarna bedöms uppfylla dessa kriterier i tillräckligt stor utsträckning för att de ska fungera fullt ut för synsvaga personer. Den målgrupp som upplever att de kan ha nytta av lösenordshanterare, är personer med kognitiva funktionsnedsättningar där vissa personer upplever att inloggningsförfarandet förenklas. Å andra sidan anser andra inom målgruppen att det är svårt att såväl ladda ner som att använda lösenordshanterarna. Det som påverkar om användarna ser nyttan med lösenordshanterare är inte bara funktionsnedsättning, utan även personens säkerhetsmedvetande. nvändare med ett högt säkerhetsmedvetande ser i större utsträckning nyttan med lösenordshanterare då den möjliggör en enkel hantering av flera och starka lösenord. nvändare som prioriterar enkelhet före säkerhet använder exempelvis webbläsarens möjlighet att spara lösenord, och ser därmed inget mervärde i att använda en lösenordshanterare. För användare med ett högt säkerhetsmedvetetande är det dock viktigt att också lösenordshanterarna är säkra, då de samlar användarens samtliga lösenord. Flera av testpersonerna känner en oro för att säkerheten försämras då lösenordshanterarna samlar alla lösenord på en plats. De genomförda säkerhetstesterna visar att tre av de fyra testade lösenordshanterarna bedöms hålla en hög säkerhet. Med andra ord kan det vara ett intressant alternativ för användare som är säkerhetsmedvetna. Det är dock viktigt att poängtera att det lösenord som används i lösenordshanteraren måste vara starkt då lösenordshanterarnas svaga punkt är masterlösenordet. Det betyder att användaren även fortsättningsvis måste komma ihåg minst ett relativt komplext masterlösenord. Då lösenordshanteraren möjliggör hantering av komplexa lösenord, skapas samtidigt ett beroende, vilket kan vara problematisk om personen vill logga in på exempelvis en offentlig dator. Då måste personen ladda ner webbläsartillägget eller ha med det i en USB-sticka B Stelacon Utredning lösenordshanterare, PTS

28 En begränsning hos samtliga lösenordshanterare är att de inte kan hantera automatisk inloggning med e-legitimation. Det går dock att spara lösenord till e-legitimation som en krypterad anteckning i alla lösenordshanterarna och fylla i den manuellt i e- legitimationsprogramvaran. För några av testpersonerna är det av betydelse då det är just lösenordet till e-legitimationen som är svårt att komma ihåg då de sällan använder den inloggningen. Ett ytterligare verifieringsmoment som många har problem med, exempelvis synsvaga personer och personer med dyslexi, är så kallad Captcha, det vill säga förvrängda koder i bildformat. Som beskrivits i kapitel 6 Trender & framtid, finns flera alternativa tekniker att tillgå redan idag, exempelvis identifiering via fingeravtryck, så kallad biometrisk autentisering. Utvecklingen är dock i sin linda och Stelacon bedömer att i takt med att denna identifieringsform ökar, kommer användandet av traditionella identifieringsformer som användarnamn och lösenord att minska. Vidare ser ett fåtal potentiella användare att lösenordshanterare underlättar inloggningsprocessen varför Stelacon gör bedömningen att nyttan av lösenordshanterare i nuvarande form är begränsad. Under studien har det visat sig att det är relativt få personer som använder starka lösenord som varierar mellan olika, exempelvis enligt PTS råd i tjänsten Testa lösenord 18. Stelacon bedömer därför att det kan finnas behov av informationsinsatser för att öka medvetenheten kring konsekvenser av att använda alltför enkla lösenord. Efterfrågan på tjänster liknande de testade lösenordshanterarna skulle då kunna öka, förutsatt att de upplevs som säkra att använda, kan hantera olika typer av inloggningar, är användarvänliga samt fungerar med skärmläsare och förstoring. 18 Se B Stelacon Utredning lösenordshanterare, PTS