Geri Dön

Rostam: A passwordless web single sign-on solution integrating credential manager and federated identity systems

Rostam: Kimlik yöneticisi ve federasyonlu kimlik sistemlerini entegre eden şifresiz bir web tek oturum açma çözümü

PDF İndir

  1. Tez No: 909785
  2. Yazar: AMIN MAHNAMFAR
  3. Danışmanlar: PROF. DR. KEMAL BIÇAKCI
  4. Tez Türü: Yüksek Lisans
  5. Konular: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol, Computer Engineering and Computer Science and Control
  6. Anahtar Kelimeler: Belirtilmemiş.
  7. Yıl: 2023
  8. Dil: İngilizce
  9. Üniversite: İstanbul Teknik Üniversitesi
  10. Enstitü: Lisansüstü Eğitim Enstitüsü
  11. Ana Bilim Dalı: Bilişim Uygulamaları Ana Bilim Dalı
  12. Bilim Dalı: Bilgi Güvenliği Mühendisliği ve Kriptografi Bilim Dalı
  13. Sayfa Sayısı: 77

Özet

Şifresiz bir geleceğe geçişin zorluğu, özellikle web uygulamaları doğrulama için hala yoğun bir şekilde şifrelere bel bağladıkça, çok yönlü bir sorundur. Bu sorun, kimlik sağlayıcıların, federasyon kimlik yönetim sistemlerini denetlemekle görevlendirildiği kurumsal ortamlarda daha da büyür. Bu sağlayıcılar, tüm uygulamalarla evrensel uyumluluğa sahip olmayan tekli oturum açma (SSO) hizmetlerini sürdürürler. Bu karmaşıklıkları ele almak için, kimlik bilgisi yönetimini federasyon kimlik sistemleri ile entegre eden yenilikçi bir şifresiz çözüm olan Rostam'ı tanıtıyoruz, bu da web uygulamalarına erişimi kolaylaştırıyor. Literatüre göre, şifre yöneticileri genellikle iki ana kategoriye ayrılır: şifre cüzdanları ve türetilmiş şifreler. Türetilmiş şifreler, ana şifre ile hedef alan adı gibi ek bilgileri birleştirerek web siteleri için benzersiz şifreler oluşturur. Ancak, bu şifre yöneticileri, kullanıcıların web siteleri için mevcut şifrelerini değiştirmeleri gereksinimi gibi belirli sınırlamalarla gelir. Sonuç olarak, hem ticari olarak mevcut hem de tarayıcı entegreli şifre yöneticileri arasında yaygın bir seçim olan şifre cüzdanları kategorisini seçtik. Bu yaklaşım, çevrimiçi kimlik bilgilerinin yönetilmesi için daha güvenli ve kullanıcı dostu bir çözüm sunar ve kullanıcıların mevcut kimlik bilgilerini şifreli bir şekilde güvenle saklamalarını sağlar. Çözümümüz olan Rostam, bir kontrol paneli aracılığıyla sorunsuz bir şekilde entegre olur ve kullanıcının tek bir tıklama ile erişebileceği tüm uygulamaları gösterir, bunu şifresiz bir SSO sürecini tamamladıktan sonra yapar. Bu sezgisel arayüz, kullanıcıların birden çok şifreyi hatırlama ihtiyacını ortadan kaldırır ve çeşitli uygulamalara erişimi merkezileştirerek kullanıcı deneyimini basitleştirir. Mevcut çalışmaları inceledik ve Rostam'ı tasarlarken kimlik bilgisi yöneticilerinde temel kullanım durumlarına ve tasarım paradigmalarına uyduk. Örneğin, Rostam kurulum sürecini, mobil uygulama kurulumu, eklenti kurulumu ve bir bulut hesabına ihtiyaç duyarak basitleştirir. Hem manuel hem de otomatik algılama yöntemleriyle kimlik bilgisi kaydını kabul eder ve kimlik bilgilerini manuel veya otomatik algılama yoluyla günceller, ayrıca manuel kimlik bilgisi kaldırmayı da sağlar. Rostam, çeşitli otomatik doldurma kimlik bilgisi seçenekleri sunarak ve ayrı alt alan adlarını yöneterek kullanıcı deneyimini artırır. Ayrıca, manuel kilit ve zamanlanmış otomatik kilit özellikleri ile güvenliği sağlar, bu da kullanıcının kendini yeniden doğrulamasını gerektirir. Bu çeşitli kullanım durumları ve paradigmalar, kullanıcıların çeşitli ihtiyaçlarına hitap eder ve Rostam'ın kimlik bilgisi yönetimine kapsamlı bir yaklaşımını vurgular. Birçok kimlik bilgisi yöneticisi, sunucu ile ilgili saldırıları önlemeye ve kullanıcının güçlü bir ana şifre seçmesini ve hatırlamasını gerektiren istemci tarafı şifrelemesi ile gizliliği artırmaya odaklanır. Ancak, böyle şifreleri hatırlama önemli bir zorluk oluşturur. Bu sorunu çözme çabaları olmuştur, örneğin aralıklı tekrarlama veya grafik şifre şemaları kullanma gibi, ancak bu yöntemler, rastgele oluşturulan uzun anahtarlar kadar güçlü değildir. Ayrıca, kullanıcı deneyimini artırmak için ana şifrenin geçici veya kalıcı olarak saklanması gibi özellikler güvenliği tehlikeye atar ve ana şifreyi değiştirme veya sıfırlama yeteneği bazı yaygın kullanılan kimlik bilgisi yöneticilerinde yoktur. Önerdiğimiz sistem, kimlik bilgisi yöneticisinde saklanan şifreli şifrelerin güvenliğini sağlamak için bir Anahtar (MasterKey) kullanmayı güvenliği önceliklendiren bir yöntem olarak uygular. Bir güvenlik ihlali durumunda, şifreli şifreler, sunucudan çalınsalar bile güvende kalır. Bu güvenlik, tüm anahtarların, MasterKey dahil, güçlü, rastgele oluşturulmuş ve kullanıcı müdahalesi olmadan istemci tarafında güvenle saklandığı için elde edilir. Ayrıca, bir çift konum tekniği kullanırız, yani verilere erişmek ve bunları kurtarmak için, kullanıcının hem Rostam'ın sunucularına hem de eşleştirilmiş cihazlardan birine erişmesi gerekmektedir. Sistemin dayanıklılığını güçlendirmek için, MasterKey'in senkronizasyonu (eşleştirme) ve kurtarılması için yenilikçi teknikler sunuyoruz. Bu yöntemler, MasterKey'in bir kayıp durumunda korunmasını ve kolayca kurtarılmasını sağlarken sistemin genel güvenliğini sürdürür. Bu keskin uç tekniklerini kullanarak, çözümümüz geleneksel şifre yönetim sistemlerine göre daha güçlü ve kullanıcı dostu bir alternatif sunar. Hibrit çözümümüzün etkinliğini doğrulamak için, çeşitli değerlendirme çerçeveleri kullanarak mevcut araştırmalarla karşılaştırdık. Analizimiz, yenilikçi yaklaşımımızın kimlik bilgisi yönetimi ve federasyon kimlik seçeneklerinin avantajlarını etkili bir şekilde birleştirdiğini ve daha güvenli ve düzenli bir kullanıcı deneyimi oluşturduğunu göstermektedir. Geniş çaplı şifre kullanımı ile ilgili sorunlara ve mevcut SSO hizmeti sınırlılıklarına çözüm getirerek, önerdiğimiz çözüm, web uygulamalarında şifresiz bir geleceğin temelini atmaktadır. Ayrıca, çözümümüzde kimlik bilgisi yönetiminin ve federasyon kimlik sistemlerinin entegrasyonu ek avantajlar sağlar. Birleşik yaklaşım, uygulamalar ve sistemler arasındaki işbirliğini güçlendirir, işletmeler için yeni uygulamaların ve hizmetlerin uygulanmasını basitleştirir. Aynı zamanda, bireysel kullanıcı kimlik bilgilerini yönetmeyle ilgili yönetimsel yükü hafifletir ve şifrele ilgili güvenlik olayları riskini azaltır, örneğin; kimlik avı saldırıları ve veri ihlalleri. Rostam'ın umut verici sonuçlarına rağmen, bazı sınırlamaları vardır. Bunlar arasında kullanıcıların özel bir uygulama indirmeleri gereksinimi, Rostam'ın sunucularına sürekli bağlantı, hesap oluşturma ve silme üzerinde sınırlı kontrol, istemci tarafı kötü amaçlı yazılım saldırılarına duyarlılık, kurtarma için çevrimiçi sunuculara bağımlılık, uyumluluk sorunları ve olası kullanıcı kabulü ve güven sorunları bulunmaktadır. Bu sınırlamalar, gelecekteki gelişmeler ve araştırmalar için fırsatlar sunar ve bu sorunlara odaklanarak sistemin güvenliğini, güvenilirliğini ve kullanıcı deneyimini geliştirme üzerine yoğunlaşabilir. Bu endişelere yanıt vererek, Rostam, kullanıcılara çevrimiçi hesaplarına daha güvenli ve verimli bir şekilde erişim sağlayan yaygın olarak kabul görmüş bir kimlik doğrulama çözümüne dönüşme potansiyeline sahiptir. Sonuç olarak, Rostam, kimlik bilgisi yönetimini federasyon kimlik sistemleriyle entegre ederek şifresiz bir geleceğe doğru yeni bir yaklaşım sunar. Bu yenilikçi yaklaşım, kullanıcı dostu bir kontrol paneli, MasterKey kullanımı ile geliştirilmiş güvenlik önlemleri ve senkronizasyon ve kurtarma için öncü teknikler sunar. Karşılaştırmalı değerlendirmelerimiz göstermektedir ki, çözümümüz kimlik bilgisi yönetiminin ve federasyon kimlik seçeneklerinin avantajlarını etkili bir şekilde harmanlar, web uygulamalarında daha güvenli ve verimli bir kullanıcı deneyimine doğru bir yol oluşturur. Ancak, sınırlamaların kabul edilmesi ve çözüm bulunması, geniş çapta kabul görme ve başarısının sağlanması için hayati önem taşır. Gelecekteki araştırma ve geliştirme çabaları, bu sorunları çözmeye ve Rostam'ın kimlik doğrulama sisteminin güvenliğini, güvenilirliğini ve kullanıcı deneyimini daha da geliştirmeye odaklanmalıdır.

Özet (Çeviri)

The challenge of transitioning to a passwordless future is a multifaceted issue, especially as web applications continue to lean heavily on passwords for authentication. This problem is amplified in enterprise environments, where identity providers, tasked with overseeing federated identity management systems, maintain single sign-on (SSO) services that lack universal compatibility with all applications. To address these complexities, we introduce Rostam, an innovative passwordless solution that integrates credential management with federated identity systems, streamlining access to web applications. Password managers, as per the literature, broadly fall into two primary categories: password wallets and derived passwords. Derived passwords generate unique passwords for websites by amalgamating a master password with supplemental information, such as the target domain name. However, these password managers come with certain limitations, like the need for users to change their existing passwords for websites. Consequently, we have chosen the password wallets category, a prevalent choice among both commercially available and browser-integrated password managers. This approach offers a more secure and user-friendly solution for managing online credentials, allowing users to retain their current credentials securely in encrypted form. Our solution, Rostam, integrates seamlessly through a dashboard, displaying all applications accessible to a user with a single click, after completing a passwordless SSO process. This intuitive interface eradicates the need for users to memorize multiple passwords, simplifying the user experience by centralizing access to diverse applications. We've examined existing works and adhered to essential use cases and design paradigms in credential managers while designing Rostam. For instance, Rostam simplifies the setup process by offering mobile app installation, extension installation, and requiring a cloud account. It accommodates credential registration through both manual and auto-detection methods, and updates credentials manually or through auto-detection, also allowing for manual credential removal. Rostam enhances the user experience by providing various autofill credential options and handling separate subdomains. It also ensures security with manual lock and timed auto-lock features, necessitating the user to reauthenticate themselves. These diverse use cases and paradigms cater to the varied needs of users, underscoring Rostam's comprehensive approach to credential management. Many credential managers focus on thwarting server-related attacks and bolstering privacy through client-side encryption, requiring users to select and remember a potent master password. However, the memorization of such passwords poses a significant challenge. While there have been efforts to counteract this issue, such as using spaced repetition or graphical password schemes, these methods are not as robust as randomly generated long keys. Furthermore, features like the temporary or even permanent storage of the master password to enhance user-experience compromise security, and the ability to alter or reset the master password is absent in some widely used credential managers. Our proposed system prioritizes security by employing a MasterKey, instead of a Master Password, to ensure the safety of encrypted passwords stored in the credential manager. In case of a security breach, encrypted passwords remain secure even if stolen from the server. This security is achieved because all keys, including the MasterKey, are robust, randomly generated, and stored securely on the client-side without any user interference. Furthermore, we employ a dual position technique meaning that to access and recover data, the user needs access to both Rostam's servers and one of the paired devices. To fortify the system's resilience, we introduce innovative techniques for the synchronization (pairing) and recovery of the MasterKey. These methods ensure the MasterKey remains protected and easily recoverable in the event of a loss while maintaining the system's overall security. Incorporating these cutting-edge approaches, our solution presents a robust and user-friendly alternative to traditional password management systems. To confirm the efficacy of our hybrid solution, we compared it with existing research using various evaluation frameworks. Our analysis demonstrates that our innovative approach effectively amalgamates the advantages of credential management and federated identity options, creating a more secure and streamlined user experience. By addressing the challenges associated with widespread password usage and current SSO service limitations, our proposed solution lays the foundation for a passwordless future in web applications. Furthermore, the integration of credential management and federated identity systems in our solution brings additional benefits. The unified approach bolsters interoperability between applications and systems, simplifying the implementation of new applications and services for businesses. It also alleviates the administrative burden of managing individual user credentials and mitigates the risk of password-related security incidents, such as phishing attacks and data breaches. Despite Rostam's promising results, it is not without limitations. These include the requirement for users to download a dedicated application, constant connection to Rostam's servers, limited control over account creation and deletion, susceptibility to client-side malware attacks, reliance on online servers for recovery, compatibility issues, and potential user acceptance and trust concerns. These limitations represent opportunities for future enhancements and research, focusing on these issues to improve the system's security, reliability, and user experience. By addressing these concerns, Rostam has the potential to evolve into a widely adopted authentication solution, offering users a more secure and efficient way to access their online accounts. In conclusion, Rostam offers a novel approach towards a passwordless future by integrating credential management with federated identity systems. This innovative approach provides a user-friendly dashboard, enhanced security measures through the use of a MasterKey, and pioneering techniques for synchronization and recovery. As our comparative evaluations demonstrate, our solution effectively blends the advantages of credential management and federated identity options, forging a path towards a more secure and efficient user experience in web applications. However, acknowledging and addressing the limitations is crucial to ensure its widespread adoption and success. Future research and development efforts should concentrate on resolving these issues and further enhancing the security, reliability, and user experience of Rostam's authentication system.

Benzer Tezler

  1. Tez No

    770897

    Şerîfî'nin 'Tercüme-i Şahnâme'sinde Rüstem karakterinin metin- minyatür ilişkisi açısından incelenmesi

    Investigation of Rostam character in 'Tarjumah-i Shahnamah' of Sherifi in terms of text-miniature relation

    ZEYNEP AYHAN

    Yüksek Lisans

    Türkçe

    Türkçe

    2022

    Dinİstanbul Sabahattin Zaim Üniversitesi

    İslam Tarihi ve Sanatları Ana Bilim Dalı

    DR. ÖĞR. ÜYESİ ÖZLEM GÜNEŞ

    DR. ÖĞR. ÜYESİ HESNA HARAL

  2. Tez No

    463075

    A study on the parasite fauna of common carp (Cyprinus carpio) in some areas of Erbil province of Northern Iraq

    Kuzey Irak Erbil bölgesinin bazı alanlarında sazan (Cyprinus carpio) parazit faunası üzerine bir araştırma

    ROSTAM KAREM WSW WSW

    Yüksek Lisans

    İngilizce

    İngilizce

    2017

    Balıkçılık TeknolojisiFırat Üniversitesi

    Su Ürünleri Mühendisliği Ana Bilim Dalı

    PROF. DR. MUSTAFA DÖRÜCÜ

  3. Tez No

    492983

    Türk ve Irak hukuklarındaki kefalet sözleşmesi düzenlemelerinin karşılaştırılması

    A comparison of bail contract regulations in Turkish and Iraqi laws

    SHAYMAA ROSTAM KHORSHEED ZANGANA

    Yüksek Lisans

    Türkçe

    Türkçe

    2018

    HukukSelçuk Üniversitesi

    Özel Hukuk Ana Bilim Dalı

    YRD. DOÇ. DR. SİNAN SAMİ AKKURT

  4. Tez No

    889765

    The subalterns speak: The periphery revolutionizes gender Apartheid Iran

    Madunlar konuşuyor: Çevre cinsiyet Apartheid İran'da devrim yapıyor

    MAHDIS ROSTAM ZADEH

    Yüksek Lisans

    İngilizce

    İngilizce

    2024

    Felsefeİstanbul Bilgi Üniversitesi

    Kültürel Çalışmalar Ana Bilim Dalı

    DOÇ. DR. ZEYNEP TALAY TURNER

  5. Tez No

    565207

    Asfalt beton kaplamalarında atık floresan lambaların filler olarak kullanılabilirliğinin araştırılması

    Investigation of usage of waste fluorescent lamps as mineral filler in asphalt mixture

    ROSTAM ALI ANWARI

    Yüksek Lisans

    Türkçe

    Türkçe

    2019

    Mühendislik BilimleriSüleyman Demirel Üniversitesi

    İnşaat Mühendisliği Ana Bilim Dalı

    PROF. DR. MEHMET SALTAN

    DR. ÖĞR. ÜYESİ SEZEN COŞKUN

Geri Dön