Companies around the world invest an increasing amount of money trying to protect themselves from cybercrime and unauthorized access of valuable data. The nature of these covert threats makes it seemingly impossible to quantify the risk of getting attacked. While it is possible to estimate the tangible costs of a security breach it is much harder to asses what a company stands to lose in terms of intangible costs. This thesis uses the Event Study methodology to determine the intangible losses of listed American companies who suffered data breaches. On average, the companies in the dataset loses 0.21% of their market cap after a security breach which, although not being statistically significant, translates to $267 million. Despite looking at several parameters to find significant predictors, only one turned out to be statistically significant, namely the number of records breached. These weak correlation is a result in itself; because of the low impact of a breach perhaps the companies lack proper incentives to protect their users' data. / Det ständigt växande cyberhotet gör att allt fler företag väljer att göra stora investeringar i datasäkerhet. Den dolda hotbilden gör det i stort sett omöjligt att kvantifiera sannolikheten för att råka ut för en attack. Även om det går att avgöra och förutspå de direkta kostnaderna kring ett dataintrång så är det nästintill omöjligt att avgöra de indirekta kostnaderna kring ett dataintrång. Detta arbete använder eventstudie-metodologin för att uppskatta de indirekta kostnaderna hos börsnoterade amerikanska företag efter att de haft ett dataintrång. Företagen i den undersökta datamängden förlorar i genomsnitt 0.21% av sitt marknadsvärde vilket, även om det saknar statistisk signifikans, motsvarar $267 miljoner. Arbetet undersöker ett antal parametrar för att hitta signifikanta prediktorer men endast en av de prediktorer vi undersökte var statistiskt signifikant, nämligen antalet läckta uppgifter. Dessa svaga samband är i sig intressanta; den till synes svaga inverkan av dataintrång på företagens börsvärde antyder att de kanske inte har så stora finansiella incitament att skydda sina kunders data.

IoT devices have become more common in our everyday lives as they provide more useful features than traditional devices. One such device is the smart door lock, which enables homeowners to grant access on a user-specified level through digital keys and remote operation. However, as smart locks are meant to protect everything we own, they become an attractive target for attackers. This thesis evaluates the Yale Linus and Gimdow smart lock systems through a comprehensive security examination. In order to provide insight into the IT security of common smart locks on the market today and whether or not the companies behind the locks researched have implemented mitigations towards common attacks on smart locks found in earlier research. In doing so, Gimdow proved to lack basic security measures as an attacker could easily get unauthorized access. The Yale Linus system was deemed to have sufficient IT security as no immediate vulnerabilities were found. / IoT-enheter har blivit vanligare i vår vardag eftersom de tillhandahåller fler funktioner än traditionella enheter. En av dessa enheter är det smarta dörrlåset. Låset gör det möjligt för husägare att, på en användarspecificerad nivå, ge åtkomst till hushållet genom digitala nycklar och fjärrstyrning. Men eftersom smarta lås är avsedda att skydda allt vi äger, blir de ett attraktivt mål för angripare. Denna avhandling utvärderade två smarta låssystem av Yale Linus och Gimdow genom en omfattande säkerhetsundersökning. Målet var att ge insikt i IT-säkerheten för smarta lås på marknaden idag, samt kolla ifall låsföretagena bakom de valda låsen har tagit tidigare forskning angående attacker på smart lås i åtanke. I den här studien visade det sig att Gimdow saknar grundläggande säkerhetsåtgärder vilket tillåter en angripare att lätt få obehörig åtkomst. Yale Linus-systemet ansågs ha tillräcklig IT-säkerhet eftersom inga omedelbara sårbarheter kunde hittas.

Following circumstances such as mergers and acquisitions, the IT systemsassociated with the participating organisations may need to share access towardsservices and systems with eachother. Access towards systems and services is oftencontrolled using secret information such as passwords or keys. This implies thatsharing access between IT systems is achieved by sharing secret information. This thesis proposes new methods for automatic synchronization of secretsbetween different secret management systems that may not be natively compatiblewith one another. After examining how the already existing secret managementsystems function as well as created a data centric threat model, a system design wasproposed. A secret proxy connects to each secret management system which in turnconnects to a central secret distributor that handles and updates the other proxies. The results indicate that such a system can be implemented and securely distributesecrets automatically. By synchronizing secrets automatically, the work involvedwith supporting several secret management systems in parallel which all needaccess to some common secrets could be reduced. / Under omständigheter så som sammanslagning av organisationer kan ett flertalseparata IT-system tilhörande de olika organisationerna behöva dela åtkomst mottjänster med varandra. Åtkomst mot tjänster regleras ofta med hjälp av hemliginformation så som lösenord eller nycklar. Detta innebär att delning av åtkomstmellan IT-system uppnås genom delning av hemlig information mellan dessasystem. Detta arbetet föreslår nya metoder för att automatiskt synkronisera lösenord ochhemligheter mellan flera hemlighetshanteringssystem som normalt sett inte ärkompatibla med varandra. En arkitekturell modell togs fram efter att en utvärdering av redan existerandehemlighetshanteringssystems funktionalitet samt en analys av den framtagna hotmodellengjorts. En proxy ansluter till det lokala hemlighets-hanteringssystemetsom i sin tur ansluts till ett centralt distribueringssystem vars jobb är att hanteraoch uppdatera alla proxys. Resultatet påvisar att ett system för att automatiskt synkronisera hemligheter påett säkert sätt går att bygga både i teorin och i praktiken. Automatisk synkroniseringkan minska det arbete som krävs för att hantera flera parallella system däralla behöver ha tillgång till gemensamma hemligheter.

The importance of cyber security is rapidly increasing. At the same time, too few cyber security professionals are educated in order to fulfill industrial needs. Women are a minority within information technology and account for an even smaller number of people within cyber security itself. A skewed gender disparity can lead to reduced productivity and missing out on wider perspectives. This project intends to investigate what different factors and reasons could be behind why women are a minority within cyber security. This study examines possible reasons for the gender disparity, using a survey study, directed towards university students, mostly within information technology and similar subjects. The study also included a ‘cyber security exercise’ where interviewees through a mixed- method qualitative study tested a practical example of a cyber security task, in this case an artificial website, with predetermined security flaws, programmed by the authors. None of the factors that were examined could be proven to cause the gender disparity, since this would have required more detailed experimentation. Support was found for there being a lack of female role models within cyber security, that women to a greater degree feel that they are treated differently on account of their gender, and that the environment in the workplace generally is more important to women than to men. There were also derivatives from some hypotheses that correlated with the low number of women in cyber security, but were not supported to the same extent: women’s lesser interest in working with software development or programming, that the popular image of cyber security may be highly focused on hacking, that there are so few women, and that women may have lower self- confidence than men when it comes to information technology. The results of this study shed a light on factors influencing women’s underrepresentation in cyber security, and can serve as a foundation for aspects that may be relevant to investigate further. Some cyber security programmes in Sweden have a more even gender distribution than the norm, but no clear reasons for this could be determined with certainty, meaning that they too can serve as a clear foundation for future research in this area. / Datasäkerhet är ett ämne som snabbt blir allt viktigare. Samtidigt så utbildas inte tillräckligt många datasäkerhetstekniker för att kunna uppfylla industrins behov. Inom området informationsteknologi utgör kvinnor en minoritet och inom datasäkerhet specifikt utgör de en ännu mindre andel. En skev könsfördelning kan leda till reducerad produktivitet och att bredare perspektiv missas. Detta arbete avser att undersöka vilka olika faktorer och anledningar som skulle kunna ligga bakom varför kvinnor utgör en minoritet inom datasäkerhet. Den här studien undersöker möjliga orsaker till könsfördelningen med hjälp av en enkätstudie, riktad till universitetsstudenter, främst inom informationsteknologi och liknande ämnen. Studien inkluderade även en “datasäkerhetsövning” där personer genom en ’mixed- method’ kvalitativ studie fick prova på ett konkret exempel på en datasäkerhetsuppgift, i form av en artificiell hemsida med förbestämda säkerhetsbrister, som programmerats av författarna. Ingen faktor av de som undersöktes kunde bevisas orsaka könsfördelningen, eftersom det skulle krävt mer detaljerad experimentering. Stöd hittades för att det finns en brist på kvinnliga förebilder inom datasäkerhet, att kvinnor i större grad upplever att de blir särbehandlade på grund av sitt kön, samt att miljön på en arbetsplats generellt är viktigare för kvinnor än för män. Det fanns även derivat från hypoteser som visades korrelera med det låga antalet kvinnor i datasäkerhet, men som inte fick stöd i samma utsträckning: kvinnors lägre intresse för att studera mjukvaruutveckling eller jobba som programmerare, att den allmänna bilden av att datasäkerhet kan vara mycket fokuserad på hacking, att det är en låg andel kvinnor samt att kvinnor kan ha lägre självförtroende än män när det kommer till informationsteknik. Resultaten av denna studie kan bidra till att belysa faktorer som påverkar kvinnors underrepresentation inom datasäkerhet och kan verka som en grund till aspekter som kan vara relevanta att undersöka vidare. Ett fåtal datasäkerhetsutbildningar i Sverige hade en betydligt jämnare könsfördelningen än normen, men inga tydliga anledningar för detta kunde bestämmas med säkerhet, vilket innebär att de utgör ett tydlig grund för ytterligare forskning inom området.

The number of IoT systems in our homes has exploded in recent years. By 2025 it is expected that the number of IoT devices will reach 38 billion. Home alarm systems are an IoT product that has increased dramatically in number and complexity in recent years. Besides triggering an alarm when an intruder tries to break in, a modern system can now control your light bulbs, lock and unlock your front door remotely, and interact with your smart speaker. They are undeniably effective in deterring physical intrusion. However, given the recent rise in complexity how well do they hold up against cyber attacks? In this thesis, a smart home alarm system from SecuritasHome is examined. A comprehensive security analysis was performed using penetration testing techniques and threat modeling. The work focused mainly on radio frequency (RF) hacking against the systems RF communication. Among other things, a critical vulnerability was found in the proprietary RF protocol, allowing an attacker to disarm an armed system and thus completely bypass the system’s functionality. The security of the system was deemed to be lacking. / Antalet IoT system i våra hem har exploderat de senaste åren. Vid år 2025 förväntas antalet IoT enheter nå 38 miljarder. Hemlarmsystem är en typ av IoT-produkt som ökat dramatiskt i komplexitet på senare tid. Förutom att framkalla ett larm vid ett intrång kan ett modernt hemlamsystem numera kontrollera dina glödlampor, låsa och låsa upp din ytterdörr, samt kontrollera dina övervakningskameror. De är utan tvekan effektiva på att förhindra fysiska intrång, men hur väl står de emot cyberattacker? I denna uppsats undersöks ett hemlarmsystem från SecuritasHome. En utförlig säkerhetsanalys gjordes av systemet med penetrationstestnings-metodiker och hotmodellering. Arbetet fokuserade mestadels på radiovågshackning (RF) mot systemets RF-kommunikation. Bland annat hittades en kritiskt sårbarhet i systemets RF-protokoll som gör det möjligt för en angripare att avlarma ett larmat system, och därmed kringå hela systemets funktionalitet. Säkerheten av systemet bedömdes vara bristfällig.

Security in the healthcare sector has historically been insufficient, seeing several high-profile cyber-attacks crippling availability of equipment and vital services with demands of ransom sums, and intrusions collecting sensitive patient data en masse. For this reason, digital services intended for medical use need to be convincingly secure in order to be adopted. This report investigates how to implement sufficient information security for a system involving a digital pill organiser with mobile application connectivity intended for professional medical use. Each component of the currently-indevelopment Dosis Pro system is systematically evaluated in order to assess which security measures need to be taken for the service to be considered adequately secure. The analysis is structured around the ISO IEC 27001:2013 guidelines, and potential solutions are suggested on a per-component basis based on a broad literature study in related research. The result is practical solutions for 19 highlighted problem areas, which should achieve a reasonable level of security overall in combination with the careful data flow of the service. Further, to achieve an exceptionally secure system it is advisable to test the solutions on a complete system, and continuously carry out similar evaluations and improve its design throughout several years of operation. / Hälsovårdssektorn har genom tiderna utstått många angrepp mot sina digitala verktyg och tjänster. Det har rådit allt från storskaliga dataintrång till förhindrande av kritiska offentliga tjänster med krav på lösensummor. På grund av det här måste digitala produkter avsedda för medicinskt bruk visas vara säkra för att bli accepterade. I detta examensarbete undersöks det hur man kan implementera fullgod datasäkerhet för ett system kring en digital pillerdosa med appanslutning avsedd för bruk inom vården. I rapporten undersöks systematiskt varje komponent av Dosis Pro-tjänsten för att avgöra vilka säkerhetsrisker som existerar och vilka åtgärder som behöver vidtas för att tjänsten ska kunna konstateras vara säker. Analysen struktureras enligt riktlinjerna från ISO IEC 27001:2013, lösningar föreslås komponentvis utifrån en bred litteraturstudie inom relaterad forskning. Resultatet är praktiska lösningar för 19 identifierade problemområden, vilka tillsammans bör uppnå en godkänd säkerhetsnivå medräknat tjänstens försiktiga data-flöde. Vidare, för att uppnå ett exceptionellt säkert system, rekommenderas det att testa lösningarna i ett färdigt system, och kontinuerligt utföra liknande utvärderingar för att göra förbättringar under flera år av drift.

Mikrochip, eller integrerad krets, är en samling av elektroniska kretsar på en mindre platta. De går att finna i nästan alla elektroniska produkter, såsom i mobiler eller självkörande bilar. Idag har denna teknik blivit så liten att människor kan implantera den i kroppen, där användningsområdena är många och fortfarande relativt outforskade. Ny teknik kommer ofta med positiva och negativa aspekter, en teknik som kan integreras med kroppen kan för individen kännas integritetskränkande, främmande eller obehagligt. Detta är en kvalitativ studie där vi genom intervjuer har undersökt vilka attityder ungdomar i Sverige har till implantat av mikrochip. Studien har identifierat vad ungdomar har för attityder och åsikter kring mikrochip i kontexten av deras egna privatliv, hälsa, vardagsliv och datasäkerhet.

<p>Fenomenet skadlig kod är ett problem som blir allt större i vårt moderna samhälle. Detta beror på att användandet av datorer och andra enheter som använder sig av operativsystem ökar hela tiden, samtidigt som skaparna av den skadliga koden i allt högre utsträckning kan slå</p><p>mynt av den. Det är de ekonomiska drivkrafterna som för utvecklingen av den skadliga koden framåt och utsätter användare av datorer och andra enheter som använder sig av operativsystem för säkerhetsrisker.</p><p>Syftet med denna uppsats är att undersöka hur den skadliga kodens värld kan tänkas se ut ur ett antal olika synvinklar år 2013, dvs. fem år framåt i tiden efter att denna uppsats färdigställts. De viktigaste synvinklarna är de tänkbara skillnader som finns mellan dagens och framtidens skadliga kod samt de tänkbara trender och nyheter som förväntas dyka upp.</p><p>Dessa prognoser grundar sig på intervjuer av fyra i Sverige boende experter samt på litteratur.</p><p>De viktigaste slutsatserna som dras i denna uppsats är:</p><p>- Skadlig kod kommer att utgöra ett mycket större hot i framtiden än idag</p><p>- Skadlig kod kommer att bli mycket mer förekommande</p><p>- Kostnaden av dess skadeverkningar kommer att öka</p><p>- Ekonomisk vinning blir en ännu starkare drivkraft för skapandet av skadlig kod</p><p>- Skadlig kod kommer drabba andra enheter än datorer i högre utsträckning än idag</p><p>- Trojaner och Rootkits utgör framtidens största hot</p><p>- Den skadliga koden kommer att fortsätta att ligga steget före antivirustillverkarna</p>

Fenomenet skadlig kod är ett problem som blir allt större i vårt moderna samhälle. Detta beror på att användandet av datorer och andra enheter som använder sig av operativsystem ökar hela tiden, samtidigt som skaparna av den skadliga koden i allt högre utsträckning kan slå mynt av den. Det är de ekonomiska drivkrafterna som för utvecklingen av den skadliga koden framåt och utsätter användare av datorer och andra enheter som använder sig av operativsystem för säkerhetsrisker. Syftet med denna uppsats är att undersöka hur den skadliga kodens värld kan tänkas se ut ur ett antal olika synvinklar år 2013, dvs. fem år framåt i tiden efter att denna uppsats färdigställts. De viktigaste synvinklarna är de tänkbara skillnader som finns mellan dagens och framtidens skadliga kod samt de tänkbara trender och nyheter som förväntas dyka upp. Dessa prognoser grundar sig på intervjuer av fyra i Sverige boende experter samt på litteratur. De viktigaste slutsatserna som dras i denna uppsats är: - Skadlig kod kommer att utgöra ett mycket större hot i framtiden än idag - Skadlig kod kommer att bli mycket mer förekommande - Kostnaden av dess skadeverkningar kommer att öka - Ekonomisk vinning blir en ännu starkare drivkraft för skapandet av skadlig kod - Skadlig kod kommer drabba andra enheter än datorer i högre utsträckning än idag - Trojaner och Rootkits utgör framtidens största hot - Den skadliga koden kommer att fortsätta att ligga steget före antivirustillverkarna

For Siemens Industrial Turbomachinery to meet its business objectives a modular authentication concept has to be implemented. Such a mechanism must be cost- effective while providing a well-balanced level of security, easy maintenance and be as user-friendly as possible. Authenticating users securely involves the combination of two fields, theory of authentication mechanisms in information systems and human computer interaction. To construct a strong user authentication system the correlations of these fields has to be understood and provide guidance in the design. Strong user authentication mechanisms enforce the use of two-factor authentication or more. The combinations implemented rely on knowledge, possession and sometimes logical-location. A user authentication system has been implemented using leading industrial products as building blocks glued together with security analysis, programming and usability research. The thesis is divided into two parts, the first part giving the theoretical background of cryptography, authentication theory and protocols needed for the understanding of the second part, providing security analysis, blueprints, and detailed discussions on the implemented system. Conclusions have been drawn regarding the implemented system and its context as well as from strict theoretical reasoning regarding the authentication field in general. Conclusions include: · The unsuitability of remote authentication using biometrics · The critical importance of client security in remote authentication · The importance of a modular structure for the security of complex network-based systems