Identifierad och igenkänd, men sen då? Anne-Marie Eklund Löwinder Kvalitets- och säkerhetschef amel@iis.se @amelsec
.SE Administrerar och sköter teknisk drift av den svenska toppdomänen på Internet,.se. Cirka 1 200 000 domäner Runt 150 återförsäljare Ungefär 60 medarbetare Bedriver projekt och annan verksamhet för en positiv utveckling av Internet i Sverige. Läs vår årsredovisning från 2010 https://www.iis.se/docs/arsredovisning_2010.pdf
Undersökning Marknadsundersökning om Eid Genomförd på.se:s uppdrag av marknadsundersökningsföretaget
Hur skulle du vilja beskriva dig själv när det gäller IT-kunskaper? Jag har bra datorvana 46% Jag är ett dataproffs 11% Jag kan inte tillräckligt Jag kan inte 7% tillräckl 7% Bas=1000 Jag Jag kan kan tillräckligt f 35% för att klara mig 35%
Bas=1000 På ungefär hur många ställen eller användarkonton på Internet använder du idag användar-id och lösenord för att logga in? Två av tre har upp till 10 st. 6-10 st 37% 1-5 st 28% Fler än 50 st 2% 21-50 st 10% 11-20 st 23%
Hur säkert tycker du att det känns med lösningen att logga in med användar-id och lösenord på Internet? Två av fem tycker att lösningen känns säker! 3 43% 2 11% Mycket osäkert (1) 3% Kan ej svara 5% Mycket säkert (5) 8% Bas=1000 4 31%
Har du olika eller samma? 35 30 25 20 15 10 5 0 Samma på alla Samma på de flesta Ungefär lika Olika på de flesta Olika på alla Användarid Lösenord
Har du råkat ut för att någon hackat dina konton? Nej, aldrig 82% Ja, 3-5 gånger 1% Ja, 2 gånger 4% Ja, 1 gång 13% Bas=1000
Realiteter Förra årets lösenordselände
Publicerad 2011-11-08 Expressen "Byt lösenord när du byter pojkvän" Anmälda dataintrång fortsätter att öka. En kategori är svartsjuka före detta partners som vill förstöra för sina ex. - Byt lösenord när du byter pojkvän, råder kammaråklagare Helene Gestrin. Publicerad 2011-04-19 DN Hackare tar sikte på småföretagare..dessutom finns det nu så många kreditkortsnummer att tillgå att marknaden är mättad och det är inte lika lönsamt att sälja numren vidare. Alltså är det bekvämare att försöka ta sig in i mindre företag och kapa deras bankkonton eller stjäla affärshemligheter som går att sälja vidare. Ett av de stora säkerhetsproblemen är att företag har för svaga lösenord eller inte ens ändrar de standardlösenord som är förinstallerade. Publicerad 2011-5-11 DN Facebook slarvar med säkerheten Känslig information om privatpersoner på Facebook kan ha läckt ut till en tredje part, enligt det amerikanska datasäkerhetsföretaget Symantec. Oroliga användare rekommenderas därför att byta lösenord. Över 800 000 lösenord sprids på internet Hackergruppen KorrupT uppges ha kommit över 800 000 inloggningsuppgifter till sidorna supergratis.se, gratisgodis.se, jullotter.se och thomsson.net. Publicerad 2012-01-02
Publicerad 2011-10-30 Medindia Facebook Admits Thwarting 600,000 Hacking Attempts a Day Calling the figures a 'big concern', security experts have advised people to choose complicated passwords to avoid any of their personal online accounts being hacked and to have different ones for every single digital service they use. It is understood that out of the approximate 600,000 'compromised Facebook logins' a day, not all of them are successful as Facebook is able in certain circumstances to block some pre-emptively using location technology, the paper said. SvD 2011-10-26 57 sajter uppges hackade 180 000 konton kan ha läckt. Först hackades bloggtoppen och 57 andra sajter på 180 000 lösenord (sägs det) och sen kom gratisbio.se med över 200 000 medlemmars okrypterade lösenord! Sony: 75 000 000 konton Rockyou.com: 32 miljoner konton Steam: 10-tals miljoner konton
Undersökning nr 2 digicure
Vad har vi för lösenord? Företaget Digicure genomförde en analys av de många lösenord som hackades hos bland annat Sonys Playstation. 30 av 128 000 lösenord uppfyllde rimliga krav på säkerhet. Mer än en procent använde lösenordet 123456. En mycket stor andel lösenord bestod av enbart små bokstäver eller små bokstäver och siffror.
Hur ställdes kraven? Minst 12 tecken. Innehålla både små och stora bokstäver samt siffror och specialtecken. Inte vara ett ord eller en mening och inte enkelt kunna gissas.
Vilka lösenord var vanligast? De 10 vanligaste lösenorden Antal Procent 123456 1 322 1,03 123456789 397 0,31 Password 307 0,24 12345 167 0,13 1234 123 0,10 12345678 112 0,09 123 111 0,09 winner 110 0,09 seinfeld 108 0,08 1234567 101 0,08 Totalt 2 858 2,22
Lösenordstips 123456 hejhej hejsan fotboll 123456789 bajskorv sommar blomma mamma 123123 dinmamma johanna 1234 12345 smulan amanda qwerty bajs hejhejhej glosor
Hur gör.se? Alla ska ha en unik identitet. Autentisering innebär att en påstådd identitet verifieras. En person kan styrka sin identitet genom att bevisa innehavet av ett eller flera kreditiv. Tilldelning av kreditiv sker genom en formell rutin. Föregås av en säker personidentifiering, Regler för hur kreditiven hanteras är fastställda. Personen ska ha förstått och accepterat dessa regler.
Behörighet vs. befogenhet Behörigheter definieras som tekniska kontroller för styrning av användares rättigheter i system och tillämpningar. Befogenheter definieras som den rätt en administratör eller användare har att utföra en operation med stöd av de arbetsuppgifter och det ansvar personen har vid ett givet tillfälle.
Behörighetsadministration Använd helst rollbaserade behörigheter så att inga identiteter tilldelas unika rättigheter till data eller system. Alla beslut gällande tilldelning, förändring och spärr av behörigheter BÖR beslutas av en individs chef, uppdragsgivare eller motsvarande. Minsta möjliga behörighet för respektive identitet. Regelbunden uppföljning.
Granskning och uppföljning Tilldelade behörigheter BÖR granskas efter varje förändring i arbetsuppgifter, men också med regelbundna intervall. Innan en person tilldelas en behörighet SKALL det säkerställas att personen innehar den kunskap som krävs för att på ett säkert sätt nyttja behörigheten. Identiteter med privilegierad behörighet till data och system BÖR vara personliga. Anonyma identiteter SKALL ENDAST användas då spårbarheten, identifieringen och behörighetskontrollen upprätthålls på annat sätt.
Vart är vi på väg? Användarnamn och lösenord är inte tillräckligt för att säkerställa identitet när en användare skall ges tillgång till resurser. Den på marknaden mest accepterade lösningen är någon form av tvåfaktorsautentisering med hjälp av något autentiseringstoken (något man vet + något man har).
Vi behöver ha en lösning som Klarar alla miljöer och OS (Windows, OSX, Linux). Normal inloggning. Åtkomst till webbmejl. Åtkomst till intranät. Åtkomst till interna applikationer. Fjärråtkomst via VPN. Åtkomst via BKS.
Frågor?