Usability of cryptographic interfaces

Mgr. Martin Ukrop

Advanced ('rigorózní') thesis

Abstract:

Až donedávna se většina výzkumu v použitelné bezpečnosti zaobírala pouze pohledem koncových uživatelů bez větších znalostí v IT. Nicméně použitelnost bezpečnostních nástrojů je velice důležitá i pro zkušené vývojáře a správce systémů. Kryptografická rozhraní s nízkou použitelností (i když jsou technicky správná) můžou způsobit zásadní problémy ve vývoji software a ovlivnit tak miliony uživatelů. Tyto teze dizertační práce popisují výzkumné plány směřující k vylepšení použitelnosti kryprografických rozhraní. Analýzou a vylepšením hlášení chyb je snahou způsobit, aby vývojáři lépe rozuměli problémům, které mohou nastat při ověřování certifikátů. Lepší pochopení bezpečnostních důsledků by mělo vést vývojáře k lepším rozhodnutím a tedy způsobovat méně zranitelností ve vyvíjeném software. Již uskutečněné předběžné experimenty potvrzují existenci popisovaného problému a naznačují jeho závažnost. Po shrnutí aktuálního stavu v oboru dává tato práce přehled navrhovaného výzkumu a popisuje již dosažené výsledky.

Abstract:

Until recently, the majority of usable security research considered only the view of end users unskilled in IT. However, usability aspects of security tools are of great importance to developers and system administrators as well. Unusable (although technically correct) cryptographic interfaces cause crucial mistakes in software development, influencing millions of users. This dissertation proposal presents plans for research on cryptographic interfaces aiming to improve the situation. By analyzing and improving the error reporting in certificate validation, I aim to improve developer understanding of the problem. Easier comprehension of the security consequences should lead the developers to better decisions and creating fewer vulnerabilities in the software. Conducted preliminary experiments confirm the existence of the problem and hint at its extent. After summarizing the state of the art, this work gives an overview of the suggested line of research and discusses the achieved results.

Keywords

cryptographic API, cryptographic library, documentation, software development, usable security, X.509 certificate

Language used: English

Date on which the thesis was submitted / produced: 8. 3. 2018

Thesis defence

• Date of defence: 1. 6. 2018
• Reader: Assoc. Prof. Lujo Bauer, Assoc. Prof. Mike Just, Dr.

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Informatics / Information Technology Security