<p>Examensarbetet syftar till att kartlägga olika metoder för att attackera ett datorsystem uppbyggt kring kommersiella produkter över ett nätverk. Arbetets inriktning har varit att göra en så komplett kartläggning som möjligt med den tid och de resurser som funnits tillgängliga. Arbetet är gjort på Ericsson Microwave Systems AB</p>

<p>Allt fler företag kopplar upp sig mot Internet och använder sig av en s k brandvägg för att skydda sitt interna nätverk gentemot omvärlden. Brandväggens uppgift är, något förenklat, att endast släppa igenom tillåten trafik.</p><p>Då vissa företag utsätter sig för större risker genom att använda sig av osäkra tjänster som t ex Telnet skulle det hjälpa dessa om man gjorde en undersökning av vad litteraturen rekommenderar rörande osäkra tjänster samt hur företag hanterar problemet i dagsläget. För att ta reda på detta gjordes en litteraturstudie samt en enkätstudie.</p><p>Vi konstaterar att det råder enighet i litteraturen om att Telnet bör särbehandlas gentemot icke osäkra tjänster och helt blockeras om den inte behövs samt sammanställde ett flertal rekommendationer rörande Telnet.</p><p>Resultatet visar att vissa brandväggsadminstratörer följer delar av litteraturstudiens rekommendationer, men att ett flertal inte gör någonting för att få Telnet säkrare. Undersökningen visar även hur brandväggsadministratörerna har löst problemet med Telnet.</p>

<p>Detta arbete handlar om att kartlägga åtkomstkontrollen inom olika delar av dagens hälso- och sjukvård, nämligen primär-, sluten- samt hemvården. Arbetet handlar även om att undersöka om det finns alternativa lösningar på nuvarande problem när det gäller åtkomstkontroll inom hälso- och sjukvården.</p><p>Hälso- och sjukvården drivs av olika huvudmän och det kan finnas skillnader när det gäller hantering av åtkomsten till informationen mellan dessa delar.</p><p>Det är viktigt att ha hög datasäkerhet inom hälso- och sjukvården. En del av datasäkerheten är åtkomstkontroll.</p><p>Resultatet av undersökningen som har gjorts inom olika delar av hälso- och sjukvården visar att, generellt sätt, både systemansvariga och användare är nöjda med hur dagens åtkomstkontroll ser ut. Ett problem som har framkommit i intervjuer är hantering av loggar. Loggarna kontrolleras manuellt. Utifrån litteraturstudie konstaterades att det finns olika verktyg som kan kontrollera loggar automatiskt. Litteraturstudien visar att även andra organisationer, både inom hälso- och sjukvården, men även utanför, hanterar loggar på ett manuellt sätt. Det finns dock organisationer som har effektiviserat kontrollen av loggar och hanterar denna automatiskt.</p>

Målet med detta projekt har varit att, till en ny digital handelsplats, ge ett förslag till en implementation av MongoDB, med tillhörande REST-API, för hantering av användar- och annonsdata. Förslaget ska innebära en prestandaeffektiv och säker databas med möjlighet till framtida skalning, tillsammans med ett API för klientkommunikation med hantering av relevanta förfrågningar mot databasen. Prestandan av databasen handlar främst om att i förslaget ange vilka olika former av indexering som bör implementeras, tillsammans med ett förslag till relationsmodell, och vad detta ger för positiva och negativa effekter på systemet. Denna prestanda bör även återspeglas till största möjliga mån i API:et genom att utnyttja den indexering som väljs på bästa sätt. Säkerhet och skalning diskuteras under arbetet för att ge ett förslag på hur detta bäst hanteras för minimera riskerna för dataförlust, samt minimera nedtiden av databasen vid en eventuell framtida skalning. Resultatet visar att de förslag som arbetats fram under projektets gång har stor positiv påverkan på prestandan, samt möjliggör bland annat fritextsökningar och geografisk gallring av annonssökningar, baserat på användarens geografiska position, genom användande av olika typer av index. / <p>Presentationen utförs per distans via Adobe Connect.</p>

Examensarbetet är utfört på uppdrag av Generic Systems i syfte att bl.a. utreda begreppet Information Assurance (IA) utifrån given definition (IA is the process of establishing trust for the information we use in our business). Fokus kom att hamna på taktiska militära ledningssystem inklusive ingående individer. Det finns ett stort behov av en sådan här studie av flera anledningar bl.a. eftersom det just nu pågår ett paradigmskifte; från förvaltar- till förbrukarattityd och från need to know till need to share. Det innebär alltså att ett helt nytt synsätt på information håller på att växa fram Första slutsatsen som drog var att IA är ett verkligt multidisciplinärt ämne som kräver djupa kunskaper inom många och vitt skilda områden t.ex. systemvetenskap, datasäkerhet och organisationsteori. En annan slutsats jsom drogs var att för att en användare ska känna tilltro till information måste tre grundkrav vara uppfyllda: användaren måste ha förtroende för systemet som förmedlar informationen, informationen i sig måste uppvisa vissa kvaliteter och slutligen påverkar egenskaper hos användaren den upplevda tilltron. Med utgångspunkt i Försvarsmaktens behov så visade det sig att de centrala förändringarna som krävs för att uppnå effekten IA bland annat är ökat fokus på användbarhet i systemutvecklingen och flexiblare individanpassad utbildning. Utbildningen måste tillse såväl tillräcklig teknisk kompetens som säkerhetsmedvetande hos personalen. Andra delar som bör förändras är informationsarkitekturen; ökad separation mellan datamodell och informationsmodell är önskvärd.

Saab Bofors Dynamics AB is looking for ways to let the employees work wireless in the future. The security in Wireless Local Area Networks (WLAN) has not been considered very reliable, but new standards and protocols have been developed to enhance the security in WLAN. Since most wireless components soon will have built in support for wireless communication, it is important to have a model to deal with secure wireless communication ready. This is necessary because it is important to protect the company’s information related systems, ensure contingency in the daily work and maintaining the trust of the market and the authorities. With the release of the standard IEEE802.11i, the possibility to build a secure WLAN has improved considerably. With the combination of standards such as IEEE802.1X and IEEE802.11i, and improved encryption with Advanced Encryption Standard (AES) it is possible to make the wireless network more secure. It is important to ensure secure wireless communication between the client and the accesspoint, and to install a personal firewall on every wireless client in the network. There are many aspects to take into consideration when building a WLAN, some are discussed in this report and some are discussed in the secret part of the report for Saab Bofors Dynamics AB only.

Bofors Defence AB is in the process of updating and documenting the company’s routines for information security. The object is to be certified according to the standard ISO 17799-1 during 2003. Among other things updating means that the company will be provided with contingency plans who should insure a reliable IT-environment. Basically it is all about protecting the company’s information related systems, ensure contingency in the daily work and maintaining the trust of the market and the authorities. The aim of the Thesis was to apply existing methods in the making of contingency plans. The plans are focused on the information related systems that are critical to the company and takes in consideration the threats, which might stop them from operating as desired. The contingency plans cover a limited numberof systems, which for example handle e-mail and order intake. The plans comprise the servers and platforms (for example operating systems), which are essential to the systems. The Thesis is focused on the aspect of availability. The aspects of confidentiality (for example fire walls) and integrity (for example access restrictions) are handled by the company’s own personnel. To ensure contingency is only a minor part of the work that needs to bee done before a company can be certified according to ISO 7799-1. This Thesis needs complementary additions before it can be incorporated in the documentation presented to the accreditation agency. However the result is in line with the company’s commission.

Kryptering används för en mängd olika ändamål idag, till exempel för att elektroniskt signera dokument, autentisera en person och skydda hemlig information. För att detta skall fungera krävs att krypteringsnyckeln hålls hemlig och är lagrad på ett säkert sätt. Denna rapport redogör för hur krypteringsnycklar idag lagras och hur säkra det olika sätten är. Lagringssätten som behandlas är bland annat aktiva kort, bankdosor och datorfil. Det redogörs även för ett antal olika typer av hot såsom social engineering, malware och avlyssning för att slå fast vilka hot som är möjliga mot vilka system. Syftet med denna rapport är alltså att utvärdera hur säkra dagens sätt att lagra krypteringsnycklar är och vilka brister det finns med dessa. Syftet är även att få läsaren att förstå att hur man som användare beter sig spelar in på säkerheten i dessa system. Det visar sig att alla de behandlade systemen har brister som gör att krypteringsnyckeln kan hamna i orätta händer. Vissa av systemen har fler och större brister än de andra. Säkrast verkar bankdosor och aktiva kort vara då de egentligen bara är möjligt att attackera dessa om bedragaren kan få fysisk kontakt till dem. Vid fysisk kontakt har dessutom alla systemen brister som gör det möjligt att få ut krypteringsnyckeln. Det leder till slutsatsen att det är viktigt att användaren hanterar sin utrustning på ett säkert sätt och förhindrar obehöriga att få fysisk tillgång till dem. / Cryptology is used for a lot of different purposes today. For example it is used for sign electronic documents, to authenticate a person and to protect secret information. In order for this to be secure the encryption key has to be kept concealed and stored in a secure way. This paper discusses how encryption keys are stored today and how secure it is. It discusses authentication tokens, smart cards and encryption keys in computer files. It also discusses some threats, like social engineering, malware and eavesdropping in order to understand which threats are dangerous to which systems. The purpose of this paper is to evaluate how secure the key storage is and to point out the security flaws in the systems. Another purpose is to make the reader understand that the behavior of a user will affect the security of the systems. All the discussed systems have security flaws which can lead to that the encryption key can end up in wrong hands. Some of the systems have larger flaws than others. The most secure systems seem to be authentication tokens and smart cards. It is only possible to attack those systems when physical access to the equipment can be obtained. Actually none of the discussed systems has good protection for physical access attacks. This leads to the conclusion that it is very important that a user handle his equipment in a secure way and prevent unauthorized persons to access them.

Penetrationstester är ett sätt att utifrån ett angreppsperspektiv testa datasäkerhet. Denna rapport tar upp ett antal vanliga sårbarhetstyper att leta efter, och föreslår metoder för att testa dem. Den är skapad för att vara ett stöd för organisationer som vill starta en egen penetrationstestverksamhet. I rapporten ingår därför förutom sårbarhetstyper att leta efter, även de viktigaste typer av verktyg och kompetenser som behövs. Även förslag på administrativa rutiner och en grov skiss på utförandet finns med. I sista kapitlet finns sedan en diskussion om hur rapporten kan ligga till underlag för fortsatt arbete och hur penetrationstester använder sig av/relaterar till ett par närliggande områden såsom kryptering och intrångsdetektering. Det hela avslutas med en liten analys på när penetrationstester är användbara, vilket är när de antingen är helautomatiserade och bara kontrollerar ett fåtal sårbarheter, eller när kostnaden för ett intrång skulle bli väldigt stor.

Detta examensarbete beskriver resultatet av en undersökning av säkerheten hos Bluetooth samt hur användning av Bluetooth-utrustade produkter kan påverka användarnas integritet. Undersökningen har genomförts dels genom litteraturstudier och dels genom implementation av en forskningsprototyp. Forskningsprototypen har använts vid ett experiment där vi utrönt vilken information en Bluetooth-utrustad produkt avslöjar till en tredje part. Vid experimentet har vi även försökt koppla ihop Bluetooth-utrustade produkter med fysiska personer i syfte att visa möjligheterna att kartlägga människors rörelsemönster. Resultatet av undersökning har visat att det finns flera säkerhetsbrister hos Bluetooth-utrustade produkter, men att merparten av dessa inte beror på Bluetooth-standarden utan på implementationen av den. Vidare dras slutsatsen att det går att kartlägga människors rörelsemönster med hjälp av Bluetooth. I uppsatsen beskrivs först Bluetooth-standarden, följt av en beskrivning av säkerheten hos Bluetooth. Slutligen beskrivs implementationen av forskningsprototypen och resultatet av experimentet. / This report describes the result of an experiment that studies security and privacy issues in products using Bluetooth. The study has been carried out by performing a literature study and by implementing a research prototype. The research prototype has been used in an experiment in which we examined the amount of information a Bluetooth equipped product reveals when being used. We have also tried to correlate Bluetooth equipped products with their respective owners in the experiment. This was done to investigate the possibilities of tracking peoples' movement patterns. The result of the study shows that there exist several security flaws in Bluetooth equipped products. However, the main part of the flaws are not a product of the Bluetooth standard. Instead, it is the implementations of the Bluetooth standard that contains the security flaws. Further, we concluded that it is possible to track peoples' movement patterns using Bluetooth. The report starts with a description of the Bluetooth standard, followed by a description of various aspects regarding Bluetooth security. Finally, the implementation of the research prototype and the subsequent results from the experiment are described.