TU Darmstadt / ULB / TUbiblio

Usability Challenges of PKI

Straub, Tobias (2006)
Usability Challenges of PKI.
Technische Universität Darmstadt
Dissertation, Erstveröffentlichung

Kurzbeschreibung (Abstract)

Security mechanisms can only be effective if they are usable as well. Above all, this statement applies to systems based on public key infrastructures (PKI) due to their high complexity. In practice PKI has been found to be a source for user errors, which could easily lead to security breaches. On the other hand usability problems hinder the usage and deployment of PKI-enabled applications and services. The dissertation at hand describes challenges specific for PKI technology with regard to usability and presents possible solutions. A general multi-layer model of methods to promote usable security is introduced as well as a generic tool for the analysis of PKI-enabled applications of any kind. The thesis subsequently exemplifies several applications of these concepts: Beside technical protection mechanisms, user sensitization and training are important pillars of IT security since a lot of security problems can be traced back to human error or negligence. We develop a new approach for security awareness campaigns aiming at long-term and sustainable changes in behaviour by means of direct user involvement. Delegating security-critical tasks is one possibility to face usability issues. Here we focus on PKI outsourcing, i.e. the operation of a trustcenter by a service provider. In this setting, a secure certificate enrolment process is of particular importance. We point out a weakness of the standard protocol and show how to repair it with the help of a four-eyes principle realized by distributed digital signatures. Our protocol requires a distributed key generation by two parties. For this purpose we present a new, efficient and provably secure algorithm for RSA. Most email programs already support encryption and digital signatures, but these features are hardly used in practice. An important reason for this is the unfavourable cost-benefit ratio from the user's point of view. We show how to improve this ratio with the help of opportunistic security. This allows using public key cryptography without certificates and the costs associated with them. PKI-based authentication schemes suffer from the restriction that, due to security reasons, cryptographic keys cannot be temporarily delegated to a proxy for instance during holidays. We present a uniform and seamless solution for the World Wide Web that supports all common authentication mechanisms.

Typ des Eintrags: Dissertation
Erschienen: 2006
Autor(en): Straub, Tobias
Art des Eintrags: Erstveröffentlichung
Titel: Usability Challenges of PKI
Sprache: Englisch
Referenten: Müller, Prof. Dr. Günter ; Buchmann, Prof. Dr. Johannes
Berater: Buchmann, Prof. Dr. Johannes
Publikationsjahr: 21 April 2006
Ort: Darmstadt
Verlag: Technische Universität
Datum der mündlichen Prüfung: 24 Januar 2006
URL / URN: urn:nbn:de:tuda-tuprints-6821
Kurzbeschreibung (Abstract):

Security mechanisms can only be effective if they are usable as well. Above all, this statement applies to systems based on public key infrastructures (PKI) due to their high complexity. In practice PKI has been found to be a source for user errors, which could easily lead to security breaches. On the other hand usability problems hinder the usage and deployment of PKI-enabled applications and services. The dissertation at hand describes challenges specific for PKI technology with regard to usability and presents possible solutions. A general multi-layer model of methods to promote usable security is introduced as well as a generic tool for the analysis of PKI-enabled applications of any kind. The thesis subsequently exemplifies several applications of these concepts: Beside technical protection mechanisms, user sensitization and training are important pillars of IT security since a lot of security problems can be traced back to human error or negligence. We develop a new approach for security awareness campaigns aiming at long-term and sustainable changes in behaviour by means of direct user involvement. Delegating security-critical tasks is one possibility to face usability issues. Here we focus on PKI outsourcing, i.e. the operation of a trustcenter by a service provider. In this setting, a secure certificate enrolment process is of particular importance. We point out a weakness of the standard protocol and show how to repair it with the help of a four-eyes principle realized by distributed digital signatures. Our protocol requires a distributed key generation by two parties. For this purpose we present a new, efficient and provably secure algorithm for RSA. Most email programs already support encryption and digital signatures, but these features are hardly used in practice. An important reason for this is the unfavourable cost-benefit ratio from the user's point of view. We show how to improve this ratio with the help of opportunistic security. This allows using public key cryptography without certificates and the costs associated with them. PKI-based authentication schemes suffer from the restriction that, due to security reasons, cryptographic keys cannot be temporarily delegated to a proxy for instance during holidays. We present a uniform and seamless solution for the World Wide Web that supports all common authentication mechanisms.

Alternatives oder übersetztes Abstract:
Alternatives AbstractSprache

Benutzbarkeit ist kritisch für das Funktionieren von Sicherheitsmechanismen. Dies gilt im Besonderen für Verfahren basierend auf Public-Key-Infrastrukturen (PKI). Gerade letztere besitzen eine hohe Komplexität und erwiesen sich daher in der Praxis als Quelle von Bedienfehlern, die schnell zu Sicherheitslücken führen können. Umgekehrt bremsen aber auch Benutzbarkeitsprobleme die Nutzung und Verbreitung von PKI-fähigen Anwendungen und Diensten. Gegenstand der vorliegenden Arbeit ist die Darstellung der spezifischen Herausforderungen von PKI-Technologie in Bezug auf Benutzbarkeit sowie das Aufzeigen von Lösungsansätzen. Dazu wird ein allgemeines Schichtenmodell zur Verbesserung der Benutzbarkeit von Sicherheitsanwendungen sowie ein generisches Werkzeug zur Analyse beliebiger PKI-fähiger Software eingeführt. Die Arbeit zeigt sodann beispielhaft mehrere Anwendungen dieser Konzepte auf: Neben technischen Maßnahmen der IT-Sicherheit kommt gerade der Sensibilisierung und Schulung von Anwendern eine große Bedeutung zu, denn viele Sicherheitsprobleme lassen sich auf menschliche Irrtümer oder Nachlässigkeit zurückführen. Wir entwickeln daher ein neues Konzept für Security Awareness-Kampagnen, die durch gezieltes Einbeziehen der Benutzer langfristige und nachhaltige Verhaltensänderungen bewirken sollen. Das Delegieren von sicherheitskritischen Aufgaben ist eine Möglichkeit, Benutzbarkeitsproblemen zu begegnen. Hier wird speziell PKI Outsourcing, d.h. der Betrieb eines Trustcenters durch einen Dienstleister, untersucht. In diesem Fall ist besonders die Sicherheit beim Certificate Enrolment zu gewährleisten. Wir zeigen eine Sicherheitslücke des Standardprotokolls auf und beheben diese mit Hilfe von verteilten digitalen Signaturen, die ein Vieraugenprinzip kryptografisch umsetzen. Unser Protokoll benötigt eine verteilte Schlüsselerzeugung zwischen zwei Parteien. Wir stellen dazu einen neuen, effizienten und beweisbar sicheren Algorithmus für RSA vor. Die meisten Emailprogramme unterstützen bereits Verschlüsselung und digitale Signaturen, doch diese Funktionen werden kaum genutzt. Grund dafür ist die ungünstige Kosten-Nutzen-Relation für den Anwender. Wir zeigen, wie sich diese verbessern lässt. Dies geschieht durch den Einsatz opportunistischer Sicherheit, welche Public-Key-Kryptografie ohne Zertifikate und den damit verbundenen Aufwand realisiert. Ein Problem von PKI-basierten Authentifikationsverfahren ist, dass aus Sicherheitsgründen kryptografische Schlüssel nicht temporär an einen Stellvertreter, etwa während eines Urlaubs, weitergegeben werden können. Wir beschreiben eine, für den Benutzer transparente, einheitliche Lösungsplattform für den Anwendungsfall World Wide Web, die alle gebräuchlichen Authentifikationsverfahren unterstützt.

Deutsch
Freie Schlagworte: usability, security, public key cryptography
Sachgruppe der Dewey Dezimalklassifikatin (DDC): 000 Allgemeines, Informatik, Informationswissenschaft > 004 Informatik
Fachbereich(e)/-gebiet(e): 20 Fachbereich Informatik
20 Fachbereich Informatik > Theoretische Informatik - Kryptographie und Computeralgebra
Hinterlegungsdatum: 17 Okt 2008 09:22
Letzte Änderung: 16 Jan 2019 15:14
PPN:
Referenten: Müller, Prof. Dr. Günter ; Buchmann, Prof. Dr. Johannes
Datum der mündlichen Prüfung / Verteidigung / mdl. Prüfung: 24 Januar 2006
Export:
Suche nach Titel in: TUfind oder in Google
Frage zum Eintrag Frage zum Eintrag

Optionen (nur für Redakteure)
Redaktionelle Details anzeigen Redaktionelle Details anzeigen