Internet-palveluntarjoajan luotettava autentikointijärjestelmä

Internet-palveluntarjoaja haluaa tarjota palveluitaan vain omille asiakkailleen. Niinpä Internetin käyttäjien autentikointi on tärkeä osa Internet-palveluntarjoajan kokonaisjärjestelmässä. Jopa asiakkaiden laskutus saattaa perustua luotettavaan autentikointiin. Internet-palveluntarjoajan autentikointijärjestelmä perustuu usein AAA-malliin, joka pitää sisällään käyttäjien autentikoinnin, auktorisoinnin ja käyttötilastojen keräämisen. Tässä työssä esitellään AAA-mallia ja autentikointijärjestelmään läheisesti liittyviä muita teknologioita. Työn käytännön osassa tutustutaan Internet-palveluntarjoajan AAA-ohjelmiston uusimiseen. Tuloksena oli tulevaisuuden tarpeisiin paremmin sopiva AAAjärjestelmä. Samalla esitellään myös joitakin ideoita järjestelmän kehittämiseksi edelleen.

From 'Security for Privacy' to 'Privacy for Security'

This article envisions the use of context-awareness to improve single sign-on solutions (SSO) for mobile users. The attribute-based SSO is expected to increase users' perceived ease of use of the system and service providers' authentication security of the application. From these two features we derive two value propositions for a new business model for mobile platforms. The business model can be considered as an instantiation of the privacy-friendly business model pattern presented in our previous work, reinforcing our claim that privacy-friendly value propositions are possible and can be used to obtain a competitive advantage.

Bluetooth -teknologian hyödyntäminen kommunikointijärjestelmässä

Erilaisissa rakennuksissa on selkeä tarve langatonta teknologiaa hyödyntävälle, edulliselle ja monipuoliselle kommunikointijärjestelmälle, jota voidaan pienin muutoksin käyttää lähes missä tahansa. Kommunikointijärjestelmän avulla tulee olla mahdollista siirtää ääntä ja dataa sekä tarvittaessa tarjota erilaisia rakennuksissa tarvittavia palveluita. Tehdyn esitutkimuksen perusteella valittiin toteutusteknologiaksi Bluetooth, joka monipuolisten ominaisuuksien ja pienen sirukoon ansiosta soveltuu parhaiten tämän diplomityön mukaisen kerrostalon kommunikointijärjestelmän toteuttamiseen. Pieni sirukoko ja edullinen hinta mahdollistavat Bluetooth -teknologiaa hyödyntävän kommunikointijärjestelmän käyttöönoton myös vanhoissa kerrostaloissa. Pienet sirut on helppo piilottaa rakennusten perustuksiin ja mitään valmista verkkoinfrastruktuuria ei tarvita. OBEX (Object Exchange Protocol) -protokollaa käytetään tämän diplomityön mukaisessa Talovastaajapalvelussa audiodatan kuljettamiseen ja autentikointitietojen vaihtamiseen. Talovastaajapalvelu toteutettiin kommunikointijärjestelmän yhteyteen ja se toimii normaalin puhelinvastaajan tapaan, mutta on ominaisuuksiltaan paljon monipuolisempi ja käyttää langatonta Bluetooth -teknologiaa. OBEX:n avulla Talovastaajapalvelusta saatiin yksinkertainen, tehokas ja helposti laajennettavissa oleva kokonaisuus, jota voidaan käyttää pienin muutoksin lähes missä tahansa muussa Bluetooth -teknologiaa hyödyntävässä järjestelmässä.

Henkilökohtaisen päätelaitteen käyttö lähimaksujärjestelmässä

Henkilökohtaista luotettavaa päätelaitetta voidaan käyttää maksuvälineenä langattomissa maksujärjestelmissä. Päätelaitteen luotettavuus saadaan aikaan sen sisältämien tietojen salauksen ja käyttäjän tunnistuksen avulla. Kaupankäynnin tietoturvan kannalta järjestelmien tärkeimpiä tehtäviä ovat osapuolten tunnistaminen ja tietoyhteyden suojaaminen. Tässä työssä esitellään automaatti- ja ruokalamaksamisen järjestelmä, jossa käytetään maksuvälineenä Bluetooth-ominaisuudella varustettua kämmentietokonetta. Henkilökohtaisen luotettavan päätelaitteen vaatimuksia ja uhkia käydään läpi. Samoin erilaisia menetelmiä käyttäjän ja laitteiden tunnistukseen sekä tietoyhteyden suojaamiseen. Käyttäjän tunnistus perustuu julkisten avainten varmenteisiin, joihin on sisällytetty tietoa niin asiakkaasta, maksuvälineestä kuin maksumenetelmästäkin. Maksumenetelmäksi on valittu tilien käyttö. Tietoyhteyden suojaamiseen käytetään epäsymmetristä salausta.

Yhdysliikennepisteen suunnittelu

Langattomien lähiverkkotekniikoiden yleistyessä langattomien verkkojen ja palveluiden kysyntä on kasvanut nopeasti. Varsinkin vuonna 1997 julkistettu IEEE:n 802.11b-standardi on mahdollistanut langattomien verkkotekniikoiden nopean kehityksen. Tässä työssä esitetään suunnitelma kahden verkon välisen rajapinnan rakenteesta ja to-teutuksesta. Rajapintaa kutsutaan yhdysliikennepisteeksi. Sen pääasiallisena tehtävänä on toimia solmupisteenä kaikelle verkkojen väliselle tietoliikenteelle ja hallinnoida niin sisäverkkoa käyttäjineen kuin ulkoverkon puolelle kytkettyjä operaattoreita. Yhdyslii-kennepisteen tehtävänä on tunnistaa sisäverkon käyttäjät, auktorisoida heidät yhteis-työssä operaattorien kanssa, huolehtia sisäverkon käyttäjien verkko-osoitteista ja toimia verkkoliikenteen välittäjänä. Yhdysliikennepiste kykenee reitittämään käyttäjän oikealle operaattorille ja huolehtii siitä, että käyttäjällä on pääsy palveluihin, joiden käyttämiseen tällä on valtuutus. Työssä määritellään yhdysliikennepisteen rajapinnat sekä siihen liitettäviä operaattoreita että sisäverkkoon tarjottavia peruspalveluita varten. Lisäksi määritellään yhdysliikenne-pisteen sisäiset rajapinnat. Yhdysliikennepiste ei rajoita käytettyä verkkotekniikkaa, mutta tässä työssä keskitytään IEEE 802.11b -standardin mukaisiin WLAN-verkkoihin. Yhden tai useamman operaattorin verkkoja on olemassa sekä langallisessa että langat-tomissa ympäristöissä. Näissä verkoissa jokainen Internet-operaattori huolehtii kuiten-kin vain omista asiakkaistaan. Sisäverkko on suljettu, siihen pääsevät liittymään vain operaattorin omat asiakkaat. Työn tuloksena syntynyt yhdysliikennepiste on ratkaisu, jonka avulla voidaan rakentaa monioperaattorialueverkko, joka on avoin kaikille sen käyttäjille.

Tietoturvaohjelmiston kehitys ja immateriaalioikeus

Diplomityö kartoittaa yleisesti tietoturvaohjelmistokehityksessä huomioitavia immateriaalioikeudellisia näkökohtia ja selvittää yksityiskohtaisemmin niiden soveltamista ja vaikutusta erään tietoturvakomponentin suunnittelussa ja toteutuksessa Soneran TradeXpress-ohjelmistoon. Kyseinen komponentti mahdollistaa muun muassa autentikaation ja salauksen käytön sähköisessä tiedonsiirrossa. Työ käsittää myös perustiedot tietoturvasta ja TradeXpress-ohjelmistosta, jotta komponentin kehitystä käsittelevän osuuden ymmärtäminen olisi helpompaa. Immateriaalioikeutta käsitellään vain niiltä osin, joilla on vaikutusta tietokoneohjelmiin ja ohjelmistotuotantoon. Näitä ovat muun muassa tekijänoikeus, patenttioikeus ja tavaramerkkioikeus. Diplomityön tuloksena syntyi selvitys immateriaalioikeudesta ja sen vaikutuksesta ohjelmistotuotantoprosesseihin.

ÄÄNEEN PERUSTUVA KÄYTTÄJÄN TODENTAMINEN PUHELINVERKON LISÄARVOPALVELUISSA

Tässä diplomityössä perehdytään puhujantunnistukseen ja sen käyttökelpoisuuteen käyttäjän henkilöllisyyden todentamisessa osana puhelinverkon lisäarvopalveluja. Puhelimitse ohjattavat palvelut ovat yleensä perustuneet puhelimen näppäimillä lähetettäviin äänitaajuusvalintoihin. Käyttäjän henkilöllisyydestä on voitu varmistua esimerkiksi käyttäjätunnuksen ja salaisen tunnusluvun perusteella. Tulevaisuudessa palvelut voivat perustua puheentunnistukseen, jolloin myös käyttäjän todentaminen äänen perusteella vaikuttaa järkevältä. Työssä esitellään aluksi erilaisia biometrisiä tunnistamismenetelmiä. Työssä perehdytään tarkemmin äänen perusteella tapahtuvaan puhujan todentamiseen. Työn käytännön osuudessa toteutettiin puhelinverkon palveluihin soveltuva puhujantodennussovelluksen prototyyppi. Työn tarkoituksena oli selvittää teknologian käyttömahdollisuuksia sekä kerätä kokemusta puhujantodennuspalvelun toteuttamisesta tulevaisuutta silmällä pitäen. Prototyypin toteutuksessa ohjelmointikielenä käytettiin Javaa.

A Generic Framework Architecture for Portal Front End

A modem software development requires quick results and excellent quality, which leads to high demand for reusability in design and implementation of software components. The purpose of this thesis was to design and implement a reusable framework for portal front ends, including common portal features, such as authentication and authorization. The aim was also to evaluate frameworks as components of reuse and compare them to other reuse techniques. As the result of this thesis, a goo'd picture of framework's life cycle, problem domain and the actual implementation process of the framework, was obtained. It was also found out that frameworks fit well to solve recurrent and similar problems in a restricted problem domain. The outcome of this thesis was a prototype of a generic framework and an example application built on it. The implemented framework offered an abstract base for the portal front ends, using object-oriented methods and wellknown design patterns. The example application demonstrated the speed and ease of the application development based on the application frameworks.

Security in multicast communication

Multicast is one method to transfer information in IPv4 based communication. Other methods are unicast and broadcast. Multicast is based on the group concept where data is sent from one point to a group of receivers and this remarkably saves bandwidth. Group members express an interest to receive data by using Internet Group Management Protocol and traffic is received by only those receivers who want it. The most common multicast applications are media streaming applications, surveillance applications and data collection applications. There are many data security methods to protect unicast communication that is the most common transfer method in Internet. Popular data security methods are encryption, authentication, access control and firewalls. The characteristics of multicast such as dynamic membership cause that all these data security mechanisms can not be used to protect multicast traffic. Nowadays the protection of multicast traffic is possible via traffic restrictions where traffic is allowed to propagate only to certain areas. One way to implement this is packet filters. Methods tested in this thesis are MVR, IGMP Filtering and access control lists which worked as supposed. These methods restrict the propagation of multicast but are laborious to configure in a large scale. There are also a few manufacturerspecific products that make possible to encrypt multicast traffic. These separate products are expensive and mainly intended to protect video transmissions via satellite. Investigation of multicast security has taken place for several years and the security methods that will be the results of the investigation are getting ready. An IETF working group called MSEC is standardizing these security methods. The target of this working group is to standardize data security protocols for multicast during 2004.

Centralized Identity Management for Web Applications

Internet-palvelujen määrä kasvaa jatkuvasti. Henkilöllä on yleensä yksi sähköinen identiteetti jokaisessa käyttämässään palvelussa. Autentikointitunnusten turvallinen säilytys käy yhä vaikeammaksi, kun niitä kertyy yhdet jokaisesta uudesta palvelurekisteröitymisestä. Tämä diplomityö tarkastelee ongelmaa ja ratkaisuja sekä palvelulähtöisestä että teknisestä näkökulmasta. Palvelulähtöisen identiteetinhallinnan liiketoimintakonsepti ja toteutustekniikat – kuten single sign-on (SSO) ja Security Assertion Markup Language (SAML) – käydään läpi karkeiden esimerkkien avulla sekä tutustuen Nokia Account -hankkeessa tuotetun ratkaisun konseptiin ja teknisiin yksityiskohtiin. Nokia Account -palvelun ensimmäisen version toteutusta analysoidaan lopuksi identiteetinhallintapalveluiden suunnitteluperiaatteita ja vaatimuksia vasten.

Platform Architectures for Policy-Based Network Access Control

Tämä diplomityö käsittelee sääntöpohjaisen verkkoon pääsyn hallinnan (NAC) ratkaisuja arkkitehtonisesta näkökulmasta. Työssä käydään läpi Trusted Computing Groupin, Microsoft Corporationin, Juniper Networksin sekä Cisco Systemsin NAC-ratkaisuja. NAC koostuu joukosta uusia sekä jo olemassa olevia teknologioita, jotka auttavat ennalta määriteltyyn sääntökantaan perustuen hallitsemaan suojattuun verkkoon pyrkivien laitteiden tietoliikenneyhteyksiä. Käyttäjän tunnistamisen lisäksi NAC pystyy rajoittamaan verkkoon pääsyä laitekohtaisten ominaisuuksien perusteella, esimerkiksi virustunnisteisiin ja käyttöjärjestelmäpäivityksiin liittyen ja paikkaamaan tietyin rajoituksin näissä esiintyviä puutteita verkkoon pääsyn sallimiseksi. NAC on verraten uusi käsite, jolta puuttuu tarkka määritelmä. Tästä johtuen nykymarkkinoilla myydään ominaisuuksiltaan puutteellisia tuotteita NAC-nimikkeellä. Standardointi eri valmistajien NAC-komponenttien yhteentoimivuuden takaamiseksi on meneillään, minkä perusteella ratkaisut voidaan jakaa joko avoimia standardeja tai valmistajakohtaisia standardeja noudattaviksi. Esitellyt NAC-ratkaisut noudattavat standardeja joko rajoitetusti tai eivät lainkaan. Mikään läpikäydyistä ratkaisuista ei ole täydellinen NAC, mutta Juniper Networksin ratkaisu nousee niistä potentiaalisimmaksi jatkokehityksen ja -tutkimuksen kohteeksi TietoEnator Processing & Networks Oy:lle. Eräs keskeinen ongelma NAC-konseptissa on työaseman tietoverkolle toimittama mahdollisesti valheellinen tietoturvatarkistuksen tulos, minkä perusteella pääsyä osittain hallitaan. Muun muassa tähän ongelmaan ratkaisuna voisi olla jo nykytietokoneista löytyvä TPM-siru, mikä takaa tiedon oikeellisuuden ja koskemattomuuden.

UOCrypt : Gestor de contrasenyes d'escriptori amb funcions de sincronització

Treball final de carrera d'ETIS on s'ha desenvolupat un gestor de contrasenyes d'escriptori que implementa funcions de sincronització mitjançant Dropbox.

PasswordVault : Desenvolupament d'una aplicació segura per a la gestió de contrasenyes robustes

Aquest projecte està emmarcat dins l'àrea de la seguretat informàtica i pretén desenvolupar una aplicació que permeti la gestió segura de les contrasenyes. Però no només s'ha de centrar en aquesta gestió, sinó que es pretén dotar a l'aplicació de la seguretat necessària, mitjançant algoritmes criptogràfics, per tal que aquestes dades no es puguin comprometre.

JXTA anonymity through a replicated message-based approach

JXTA is a mature set of open protocols, with morethan 10 years of history, that enable the creation and deployment of peer-to-peer (P2P) networks, allowing the execution of services in a distributed manner. Throughout its lifecycle, ithas slowly evolved in order to appeal a broad set of different applications. Part of this evolution includes providing basic security capabilities in its protocols in order to achieve some degree of message privacy and authentication. However, undersome contexts, more advanced security requirements should be met, such as anonymity. There are several methods to attain anonymity in generic P2P networks. In this paper, we proposehow to adapt a replicated message-based approach to JXTA, by taking advantage of its idiosyncracies and capabilities.

Gestió de la informació d'interès d'un treballador autònom

L’objectiu principal d’aquest treball és fer un programa que permeti portar la informació que un treballador autònom li interessa, d’acord amb les seves necessitats. En el nostre cas es tracta d’un centre d’estètica, que té més d’una seu, el qual li interessa portar tota la cartilla de clients, centres associats, proveïdors ... a més de poder fer les factures corresponents als centres associats, poder calcular en el moment que en el treballador li interessi, els ingressos realitzats durant un període de temps determinat i poder portar una agenda actualitzada dels dos centres, on es mostren totes les visites que hi ha en un dia. Per tal de realitzar el programa, s’han portat a terme mitjançant dos aplicacions, i connectant-los en una base de dades. Per una banda tenim una aplicació implementada amb C++, per l’altra, una pàgina web amb PHP, finalment com a sistema gestor de base de dades utilitzem el MySQL Server. El programa fet amb C++, consta de tota la part d’entrada i/o modificacions de dades, en aquesta part només hi pot accedir el treballador autònom, ja que és la única persona que pot fer aquesta feina. En la pàgina web, hi pot accedir qualsevol persona que tingui un nom d’usuari i una contrasenya. A través de la web es pot fer qualsevol tipus de consulta, fer tot el control de les agendes, portar a terme tot el tema de facturació i ingressos, i com a excepció l’entrada de dades de clients, ja que s’ha de poder realitzar en qualsevol moment i lloc. Per acabar, tenim la necessitat de tenir un servidor, aquest ha d’estar format, mínim, per la base de dades. Com que l’aplicació amb C++ i la base de dades han d’estar ubicades al mateix lloc. A més, necessitem un servidor web per tal de tenir la nostra pàgina a la xarxa, per aconseguir això, utilitzem un programa anomenat DynDNS, que es fa servir per a convertir una IP dinàmica en una IP estàtica i d’aquesta manera convertir un ordinador qualsevol amb un servidor web.