Automatic Detection of Password Meters on the World Wide Web

La forza delle password generate dagli utenti è un aspetto critico della sicurezza web e sia i widget di convalida delle password (PVW) che i misuratori di forza delle password (PSM) svolgono un ruolo chiave nell'incoraggiare o applicare pratiche di password sicure. Tuttavia, è stato fatto un lavoro su piccola scala per capire come funzionano, che è per lo più manuale. Questa tesi indaga l'esistenza e la funzionalità dei PSM sul World Wide Web utilizzando uno strumento automatizzato su larga scala di 5000 siti web. È stato sviluppato uno strumento basato su Python che utilizza le librerie Playwright e le funzionalità JavaScript per automatizzare il rilevamento e l'analisi dei PSM. Abbiamo eseguito questo strumento sui 5000 siti Web più importanti del World Wide Web dall'elenco Tranco come set di dati, acquisendo e analizzando tutto il feedback di PSM e PVW. Lo studio esamina quanti siti Web incorporano PSM e PVW, valuta se questi misuratori servono come semplici suggerimenti o impongono requisiti di password complessi e analizza le loro risposte ai diversi input di password. I risultati principali rivelano statistiche dettagliate sull’adozione dei PSM, sulla loro implementazione e sul comportamento. Le implicazioni di questi risultati fanno luce sullo stato delle pratiche di sicurezza web e sulla misura in cui gli sviluppatori di siti web danno priorità alla sicurezza degli utenti. Questa ricerca evidenzia le aree di miglioramento nelle pratiche di gestione delle password per garantire un ecosistema digitale più sicuro per gli utenti. Questa tesi è stata una collaborazione tra Prakhar Gupta e Amadou Sarjo Barry. Entrambi hanno contribuito allo sviluppo primario di questo strumento. L'attenzione è stata successivamente divisa, con il primo che lavorava sull'acquisizione e l'analisi del feedback delle password, mentre il secondo si concentrava sulla corretta identificazione e analisi di PSM e PVW su un sito web.

The strength of user-generated passwords is a critical aspect of web security, and both Password validation widgets (PVWs) and Password strength meters (PSMs) play a key role in encouraging or enforcing secure password practices. However, small-scale work has been done to understand how they work, which is mostly manual. This thesis investigates the existence and functionality of PSMs on the World Wide Web using an automated tool on a large scale of 5000 websites. A Python-based tool was developed that uses Playwright libraries and JavaScript functionalities to automate the detection and analysis of PSMs. We ran this tool on the top 5000 websites on the World Wide Web from the Tranco list as a dataset, capturing and analyzing all the feedback from PSMs and PVWs. The study examines how many websites incorporate PSMs and PVWs, evaluates whether these meters serve as mere nudges or enforce strong password requirements, and analyzes their responses to varying password inputs. The key findings reveal detailed statistics on the adoption of PSMs, their implementation, and behavior. The implications of these findings shed light on the state of web security practices and the extent to which website developers prioritize user security. This research highlights areas for improvement in password management practices to ensure a safer digital ecosystem for users. This thesis was a collaboration between Prakhar Gupta and Amadou Sarjo Barry. Both contributed to the primary development of this tool. The focus was later divided, with the former working on capturing and analyzing password feedback, while the latter focused on the correct identification and analysis of PSMs and PVWs on a website.