User and infrastructure security and privacy with regard to compliance

Abstract

Nowadays, millions of companies and billions of users worldwide rely on networks either wireless or wired for their daily work and entertainment. Due to the lack of privacy-by-design and the absence of strong security mechanisms, there are multiple ways for malicious users to penetrate networks and systems. Ubiquitous Networking and Global Internet, which has become more portable and accessible than ever before through private and publicly available IT infrastructures, make unauthorized access more feasible. This also generates serious security and privacy concerns due to a number of ensuing cyber threats, especially in case of Internet access via public Wi-Fi networks. In the described context, Internet security should and can play an important role towards protecting our everyday lives and online interactions. Yet, most users are unaware of these threats and the extent to which their privacy might be compromised. Regulations, such as the General Data Protection Regulation (GDPR), have been established to safeguard and improve the privacy and security of users and IT infrastructures, enforcing the installation of adequate cybersecurity measures. The application of regulations such as the GDPR is considered an issue of vital importance protecting the privacy and ensuring the security of IT infrastructures and websites, of data controllers and processors, both inside and outside the European Union. Such regulations may act as a useful tool set, which, among other requirements, mandates the adoption of privacy (and security)-by-design. While the GDPR implies a minimum set of technical Internet Security means to be taken into consideration by companies and organizations to achieve compliance, it is of high importance to highlight the adaptation of strong security mechanisms that will not only set companies compliant with the GDPR but also maintain them strong and resilient against multiple cyber threats. In the present thesis, a big set of issues on privacy and security are analyzed, offering solutions to the numerous problems that companies and single users face either at work or in a recreational setting on a day to day basis. As a case study, in-depth IT security and privacy concerns regarding the National Library of Greece and the Greek Libraries Network of the National Library of Greece were examined, based on international regulatory and IT security standards. Moreover, the adaptation of security mechanisms regarding Text and Data Mining (TDM) technologies is described as a technological option, focusing on the TDM deployed by the National Library of Greece alongside some considerations for applied Internet Security solutions that take into account GDPR requirements. Furthermore, the implementation of IT infrastructures and websites with regards to cybersecurity and the GDPR is promoted. This sets the standards for compliant infrastructures and entities with regulations but also maintains them strong and resilient against most cyber threats. Lastly, in the context of examining security issues regarding Internet access from public Wi-Fi networks, a profound evaluation and analysis of a corpus of approximately one million collected passwords from Wi-Fi networks was conducted for the first time. Τhe data collected are compared against private password databases from previous research, in order to identify similarities and differences, underlying how convenience outweighs consequence, with a special reference to how people use their mobile devices, and consequently, explaining security naivety.

Εκατομμύρια εταιρείες και δισεκατομμύρια χρήστες παγκοσμίως βασίζονται σε ασύρματα ή ενσύρματα δίκτυα για την καθημερινή τους εργασία και διασκέδαση. Λόγω της απουσίας ισχυρών μηχανισμών ασφαλείας κατά τον σχεδιασμό, υπάρχουν πολλοί τρόποι διείσδυσης κακόβουλων χρηστών σε δίκτυα και συστήματα. Το πανταχού παρόν πλέον παγκόσμιο διαδίκτυο, το οποίο έχει γίνει πιο φορητό και προσβάσιμο από ποτέ, μέσω ιδιωτικών και δημοσίων διαθέσιμων υποδομών πληροφορικής, καθιστά την μη εξουσιοδοτημένη πρόσβαση πιο εφικτή. Αυτό δημιουργεί επίσης σοβαρές ανησυχίες για την ασφάλεια και το απόρρητο λόγω πολλαπλών απειλών στον κυβερνοχώρο που προκύπτουν, ειδικά σε περίπτωση πρόσβασης στο Διαδίκτυο μέσω δημόσιων δικτύων Wi-Fi. Στο πλαίσιο αυτό, η διαδικτυακή ασφάλεια πρέπει και μπορεί να διαδραματίσει σημαντικό ρόλο στην προστασία της καθημερινής ζωής και των διαδικτυακών αλληλεπιδράσεων. Ωστόσο, οι περισσότεροι χρήστες δεν γνωρίζουν αυτές τις απειλές και το βαθμό στον οποίο το απόρρητο των επικοινωνιών ενδέχεται να τεθεί σε κίνδυνο. Κανονισμοί, όπως ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ), έχουν θεσπιστεί για τη διαφύλαξη και τη βελτίωση της ιδιωτικής ζωής και της ασφάλειας των χρηστών και των υποδομών πληροφορικής, επιβάλλοντας την εγκατάσταση κατάλληλων μέτρων ασφάλειας στον κυβερνοχώρο. Τέτοιοι κανονισμοί μπορούν να λειτουργήσουν ως ένα χρήσιμο σύνολο εργαλείων, το οποίο, μεταξύ άλλων απαιτήσεων, επιβάλλουν την υιοθέτηση του απορρήτου (και της ασφάλειας) κατά τον σχεδιασμό. Παρόλο που ο ΓΚΠΔ συνεπάγεται ένα ελάχιστο σύνολο τεχνικών μέτρων ασφαλείας που πρέπει να λαμβάνονται υπόψη από εταιρείες και οργανισμούς για την επίτευξη συμμόρφωσης, επισημαίνεται η ανάγκη υιοθέτησης ισχυρών μηχανισμών ασφαλείας που όχι μόνο θα θέσουν τις εταιρείες σε συμμόρφωση με κανονισμούς όπως ο ΓΚΠΔ αλλά θα διατηρήσουν παράλληλα ισχυρές και ανθεκτικές υποδομές έναντι πολλαπλών απειλών στον κυβερνοχώρο. Στην παρούσα διατριβή, αναλύεται ένα μεγάλο σύνολο θεμάτων σχετικά με την προστασία της ιδιωτικής ζωής και της ασφάλεια, προσφέροντας λύσεις στα πολυάριθμα προβλήματα που αντιμετωπίζουν οι εταιρείες και οι μεμονωμένοι χρήστες είτε στην εργασία είτε σε ένα ψυχαγωγικό περιβάλλον καθημερινά. Ως μελέτη περίπτωσης, εξετάστηκαν σε βάθος θέματα ασφάλειας και απορρήτου πληροφορικής σχετικά με την Εθνική Βιβλιοθήκη της Ελλάδας και το Δίκτυο Ελληνικών Βιβλιοθηκών της Εθνικής Βιβλιοθήκης της Ελλάδας, με βάση διεθνή κανονιστικά πρότυπα και πρότυπα ασφάλειας πληροφορικής. Επιπλέον, η προσαρμογή των μηχανισμών ασφαλείας σχετικά με τις τεχνολογίες Εξόρυξης Κειμένων και Δεδομένων (Text and Data Mining) περιγράφεται ως μια τεχνολογική επιλογή, εστιάζοντας στο TDM που αναπτύχθηκε από την Εθνική Βιβλιοθήκη της Ελλάδας παράλληλα με ορισμένες εκτιμήσεις για εφαρμοσμένες λύσεις ασφάλειας που λαμβάνουν υπόψη τις απαιτήσεις του ΓΚΠΔ. Επιπλέον, προωθείται η υλοποίηση υποδομών πληροφορικής και ιστότοπων σχετικά με την ασφάλεια στον κυβερνοχώρο και τον ΓΚΠΔ, μέσω του οποίου τίθενται τα πρότυπα για τη συμμόρφωση σε επίπεδο ασφάλειας ενώ παράλληλα προτείνεται η διατήρηση ισχυρών και ανθεκτικών υποδομών πληροφορικής έναντι των περισσότερων απειλών στον κυβερνοχώρο. Τέλος, στο πλαίσιο της εξέτασης ζητημάτων ασφάλειας σχετικά με την πρόσβαση στο Διαδίκτυο από δημόσια δίκτυα Wi-Fi, πραγματοποιήθηκε για πρώτη φορά στη βιβλιογραφία αξιολόγηση και ανάλυση ενός συνόλου περίπου ενός εκατομμυρίου συλλεγμένων κωδικών πρόσβασης από δίκτυα Wi-Fi. Τα δεδομένα που συλλέχθηκαν συγκρίθηκαν με στοιχεία πρόσβασης από ιδιωτικές βάσεις δεδομένων από προηγούμενες έρευνες, προκειμένου να εντοπιστούν ομοιότητες και διαφορές, καθώς και περαιτέρω χρήσιμα συμπεράσματα αναφορικά με τον τρόπο με τον οποίο οι άνθρωποι χρησιμοποιούν τις κινητές συσκευές τους που είναι προσβάσιμες στο διαδίκτυο.