Detta examensarbete kommer att behandla hur man kan skapa en webbplats med tillhörande spel med hjälp av PHP-ramverket CodeIgniter. Rapporten tar upp hur detta ramverk fungerar och hur applikationer i ramverket kan göras säkra. Läsaren kommer att få veta mer om vilka HTML-standarder man kan använda för webbplatser och om den programmeringsmetod, MVC-principen, som CodeIgniter använder sig av. Kortfattat tar rapporten upp teknisk webbutveckling och programmeringen bakom densamma. / This thesis will examine how to create a web site with a game, based on the PHP-framework CodeIgniter. The report explains how this framework works and how you can make secure applications by using the framework. The reader will also get to know more about the HTML-standards possible to use for web sites and about the programming method, the MVC-principle, CodeIgniter is using. In short, the report explains technical web development and the programming behind it. / Kontakt med författaren kan ske via dennes webbplats, http://www.bjornlarsson.se/.Detta verk är licensierat under en Creative Commons Erkännande-IckeKommersiell 2.5 Sverige Licens (http://creativecommons.org/licenses/by-nc/2.5/se/).

Information security is an essential part of all information systems; especially in large organizations and companies dealing with classified material. Every large information system has an architecture that includes many parts that together form an Enterprise Architecture. The aim of this thesis is to study how to describe several security functions in an Enterprise Architecture and also how to ensure accountability between requirements and the implementation of the security functions. The description is for stakeholders on a conceptual level rather than a technical level. The study has been carried out by comparing the theoretical framework that has been formed by a study of the literature, and the empirical framework that has been formed by a group discussion and interviews with Information Security Consultants from Combitech AB. The process of the study was to obtain a theoretical background about Enterprise Architectures and then generate prototypes that could be tested in the interviews. The tests gave suggestions regarding how to change the prototypes to find the optimal way to describe security functions on a conceptual level. The final result of this study is to use integrated views for each security function. The integrated view should include: an identifier, a brief description of the security function, the requirements and a picture or use case. For the accountability, the requirements are numbered and displayed in the picture, in this way the stakeholder can see how the requirements are fulfilled.

An organization with such a big responsibility as the Swedish armed forces constantly needs to find new ways to develop and increase their effectiveness when it comes to management, administration and organization. An information system with cloud computing as a basis would mean a modernization of the Swedish armed force’s administration and could potentially live up to the security standards within the organization. The primary goal of the thesis is to present and analyze cloud solutions that the Swedish armed forces eventually could integrate in to their activities. The first part of the thesis gives an introduction to the cloud technology with the security aspects of a cloud as a large part of the focus. This is followed by information about the Swedish armed forces and their current IT-systems, as well as information on the requirements they have for the implementation of new IT-systems within the organization. Two different cloud services from VMware and Cloudstack have been examined in order to see whether these could be used for a future implementation. The focus of the analysis lies heavily on the security issues and questions, that arise, for each solution, as the security aspect is something that is very important for the Swedish armed forces. The thesis also touches on the economical benefits and economical difficulties associated with cloud service implementation. The purpose of this is to see whether an eventual implementation is beneficial or not. / En organisation med ett så stort ansvar som Försvarsmakten behöver ständigt nya sätt att utvecklas och effektivisera sin drift, administration och organisation. Ett informationshanteringssystem i molnmiljö som grund skulle innebära en modernisering av administrationen inom organisationen och har potentialen att uppfylla Försvarsmaktens förbättringskrav. Arbetet har som huvudmål att ta fram och analysera lösningsförslag för hur Försvarsmakten skulle kunna använda sig av molnbaserade IT-system. I den första delen av arbetet ges en grundläggande introduktion till molnteknologin som även innefattar säkerhetsaspekter. Efter detta presenteras allmän information om Försvarsmakten, deras nuvarande IT-system samt de krav som ställs när det kommer till implementation av nya IT-system inom organisationen. Två olika molntjänster från WMware och Cloudstack undersöks för att se hur dessa skulle kunna användas för en eventuell implementation inom Försvarsmakten. Analysen av de två olika molntjänsterna fokuserar främst på säkerhetsaspekter, då det är ett viktigt fokusområde för Försvarsmakten. Ett annat område som arbetet har som syfte att undersöka är ekonomin för molntjänster. Detta för att se om en eventuell implementation är lönsam för Försvarsmakten eller inte.

Companies around the world invest an increasing amount of money trying to protect themselves from cybercrime and unauthorized access of valuable data. The nature of these covert threats makes it seemingly impossible to quantify the risk of getting attacked. While it is possible to estimate the tangible costs of a security breach it is much harder to asses what a company stands to lose in terms of intangible costs. This thesis uses the Event Study methodology to determine the intangible losses of listed American companies who suffered data breaches. On average, the companies in the dataset loses 0.21% of their market cap after a security breach which, although not being statistically significant, translates to $267 million. Despite looking at several parameters to find significant predictors, only one turned out to be statistically significant, namely the number of records breached. These weak correlation is a result in itself; because of the low impact of a breach perhaps the companies lack proper incentives to protect their users' data. / Det ständigt växande cyberhotet gör att allt fler företag väljer att göra stora investeringar i datasäkerhet. Den dolda hotbilden gör det i stort sett omöjligt att kvantifiera sannolikheten för att råka ut för en attack. Även om det går att avgöra och förutspå de direkta kostnaderna kring ett dataintrång så är det nästintill omöjligt att avgöra de indirekta kostnaderna kring ett dataintrång. Detta arbete använder eventstudie-metodologin för att uppskatta de indirekta kostnaderna hos börsnoterade amerikanska företag efter att de haft ett dataintrång. Företagen i den undersökta datamängden förlorar i genomsnitt 0.21% av sitt marknadsvärde vilket, även om det saknar statistisk signifikans, motsvarar $267 miljoner. Arbetet undersöker ett antal parametrar för att hitta signifikanta prediktorer men endast en av de prediktorer vi undersökte var statistiskt signifikant, nämligen antalet läckta uppgifter. Dessa svaga samband är i sig intressanta; den till synes svaga inverkan av dataintrång på företagens börsvärde antyder att de kanske inte har så stora finansiella incitament att skydda sina kunders data.

IoT devices have become more common in our everyday lives as they provide more useful features than traditional devices. One such device is the smart door lock, which enables homeowners to grant access on a user-specified level through digital keys and remote operation. However, as smart locks are meant to protect everything we own, they become an attractive target for attackers. This thesis evaluates the Yale Linus and Gimdow smart lock systems through a comprehensive security examination. In order to provide insight into the IT security of common smart locks on the market today and whether or not the companies behind the locks researched have implemented mitigations towards common attacks on smart locks found in earlier research. In doing so, Gimdow proved to lack basic security measures as an attacker could easily get unauthorized access. The Yale Linus system was deemed to have sufficient IT security as no immediate vulnerabilities were found. / IoT-enheter har blivit vanligare i vår vardag eftersom de tillhandahåller fler funktioner än traditionella enheter. En av dessa enheter är det smarta dörrlåset. Låset gör det möjligt för husägare att, på en användarspecificerad nivå, ge åtkomst till hushållet genom digitala nycklar och fjärrstyrning. Men eftersom smarta lås är avsedda att skydda allt vi äger, blir de ett attraktivt mål för angripare. Denna avhandling utvärderade två smarta låssystem av Yale Linus och Gimdow genom en omfattande säkerhetsundersökning. Målet var att ge insikt i IT-säkerheten för smarta lås på marknaden idag, samt kolla ifall låsföretagena bakom de valda låsen har tagit tidigare forskning angående attacker på smart lås i åtanke. I den här studien visade det sig att Gimdow saknar grundläggande säkerhetsåtgärder vilket tillåter en angripare att lätt få obehörig åtkomst. Yale Linus-systemet ansågs ha tillräcklig IT-säkerhet eftersom inga omedelbara sårbarheter kunde hittas.

Following circumstances such as mergers and acquisitions, the IT systemsassociated with the participating organisations may need to share access towardsservices and systems with eachother. Access towards systems and services is oftencontrolled using secret information such as passwords or keys. This implies thatsharing access between IT systems is achieved by sharing secret information. This thesis proposes new methods for automatic synchronization of secretsbetween different secret management systems that may not be natively compatiblewith one another. After examining how the already existing secret managementsystems function as well as created a data centric threat model, a system design wasproposed. A secret proxy connects to each secret management system which in turnconnects to a central secret distributor that handles and updates the other proxies. The results indicate that such a system can be implemented and securely distributesecrets automatically. By synchronizing secrets automatically, the work involvedwith supporting several secret management systems in parallel which all needaccess to some common secrets could be reduced. / Under omständigheter så som sammanslagning av organisationer kan ett flertalseparata IT-system tilhörande de olika organisationerna behöva dela åtkomst mottjänster med varandra. Åtkomst mot tjänster regleras ofta med hjälp av hemliginformation så som lösenord eller nycklar. Detta innebär att delning av åtkomstmellan IT-system uppnås genom delning av hemlig information mellan dessasystem. Detta arbetet föreslår nya metoder för att automatiskt synkronisera lösenord ochhemligheter mellan flera hemlighetshanteringssystem som normalt sett inte ärkompatibla med varandra. En arkitekturell modell togs fram efter att en utvärdering av redan existerandehemlighetshanteringssystems funktionalitet samt en analys av den framtagna hotmodellengjorts. En proxy ansluter till det lokala hemlighets-hanteringssystemetsom i sin tur ansluts till ett centralt distribueringssystem vars jobb är att hanteraoch uppdatera alla proxys. Resultatet påvisar att ett system för att automatiskt synkronisera hemligheter påett säkert sätt går att bygga både i teorin och i praktiken. Automatisk synkroniseringkan minska det arbete som krävs för att hantera flera parallella system däralla behöver ha tillgång till gemensamma hemligheter.

The importance of cyber security is rapidly increasing. At the same time, too few cyber security professionals are educated in order to fulfill industrial needs. Women are a minority within information technology and account for an even smaller number of people within cyber security itself. A skewed gender disparity can lead to reduced productivity and missing out on wider perspectives. This project intends to investigate what different factors and reasons could be behind why women are a minority within cyber security. This study examines possible reasons for the gender disparity, using a survey study, directed towards university students, mostly within information technology and similar subjects. The study also included a ‘cyber security exercise’ where interviewees through a mixed- method qualitative study tested a practical example of a cyber security task, in this case an artificial website, with predetermined security flaws, programmed by the authors. None of the factors that were examined could be proven to cause the gender disparity, since this would have required more detailed experimentation. Support was found for there being a lack of female role models within cyber security, that women to a greater degree feel that they are treated differently on account of their gender, and that the environment in the workplace generally is more important to women than to men. There were also derivatives from some hypotheses that correlated with the low number of women in cyber security, but were not supported to the same extent: women’s lesser interest in working with software development or programming, that the popular image of cyber security may be highly focused on hacking, that there are so few women, and that women may have lower self- confidence than men when it comes to information technology. The results of this study shed a light on factors influencing women’s underrepresentation in cyber security, and can serve as a foundation for aspects that may be relevant to investigate further. Some cyber security programmes in Sweden have a more even gender distribution than the norm, but no clear reasons for this could be determined with certainty, meaning that they too can serve as a clear foundation for future research in this area. / Datasäkerhet är ett ämne som snabbt blir allt viktigare. Samtidigt så utbildas inte tillräckligt många datasäkerhetstekniker för att kunna uppfylla industrins behov. Inom området informationsteknologi utgör kvinnor en minoritet och inom datasäkerhet specifikt utgör de en ännu mindre andel. En skev könsfördelning kan leda till reducerad produktivitet och att bredare perspektiv missas. Detta arbete avser att undersöka vilka olika faktorer och anledningar som skulle kunna ligga bakom varför kvinnor utgör en minoritet inom datasäkerhet. Den här studien undersöker möjliga orsaker till könsfördelningen med hjälp av en enkätstudie, riktad till universitetsstudenter, främst inom informationsteknologi och liknande ämnen. Studien inkluderade även en “datasäkerhetsövning” där personer genom en ’mixed- method’ kvalitativ studie fick prova på ett konkret exempel på en datasäkerhetsuppgift, i form av en artificiell hemsida med förbestämda säkerhetsbrister, som programmerats av författarna. Ingen faktor av de som undersöktes kunde bevisas orsaka könsfördelningen, eftersom det skulle krävt mer detaljerad experimentering. Stöd hittades för att det finns en brist på kvinnliga förebilder inom datasäkerhet, att kvinnor i större grad upplever att de blir särbehandlade på grund av sitt kön, samt att miljön på en arbetsplats generellt är viktigare för kvinnor än för män. Det fanns även derivat från hypoteser som visades korrelera med det låga antalet kvinnor i datasäkerhet, men som inte fick stöd i samma utsträckning: kvinnors lägre intresse för att studera mjukvaruutveckling eller jobba som programmerare, att den allmänna bilden av att datasäkerhet kan vara mycket fokuserad på hacking, att det är en låg andel kvinnor samt att kvinnor kan ha lägre självförtroende än män när det kommer till informationsteknik. Resultaten av denna studie kan bidra till att belysa faktorer som påverkar kvinnors underrepresentation inom datasäkerhet och kan verka som en grund till aspekter som kan vara relevanta att undersöka vidare. Ett fåtal datasäkerhetsutbildningar i Sverige hade en betydligt jämnare könsfördelningen än normen, men inga tydliga anledningar för detta kunde bestämmas med säkerhet, vilket innebär att de utgör ett tydlig grund för ytterligare forskning inom området.

The number of IoT systems in our homes has exploded in recent years. By 2025 it is expected that the number of IoT devices will reach 38 billion. Home alarm systems are an IoT product that has increased dramatically in number and complexity in recent years. Besides triggering an alarm when an intruder tries to break in, a modern system can now control your light bulbs, lock and unlock your front door remotely, and interact with your smart speaker. They are undeniably effective in deterring physical intrusion. However, given the recent rise in complexity how well do they hold up against cyber attacks? In this thesis, a smart home alarm system from SecuritasHome is examined. A comprehensive security analysis was performed using penetration testing techniques and threat modeling. The work focused mainly on radio frequency (RF) hacking against the systems RF communication. Among other things, a critical vulnerability was found in the proprietary RF protocol, allowing an attacker to disarm an armed system and thus completely bypass the system’s functionality. The security of the system was deemed to be lacking. / Antalet IoT system i våra hem har exploderat de senaste åren. Vid år 2025 förväntas antalet IoT enheter nå 38 miljarder. Hemlarmsystem är en typ av IoT-produkt som ökat dramatiskt i komplexitet på senare tid. Förutom att framkalla ett larm vid ett intrång kan ett modernt hemlamsystem numera kontrollera dina glödlampor, låsa och låsa upp din ytterdörr, samt kontrollera dina övervakningskameror. De är utan tvekan effektiva på att förhindra fysiska intrång, men hur väl står de emot cyberattacker? I denna uppsats undersöks ett hemlarmsystem från SecuritasHome. En utförlig säkerhetsanalys gjordes av systemet med penetrationstestnings-metodiker och hotmodellering. Arbetet fokuserade mestadels på radiovågshackning (RF) mot systemets RF-kommunikation. Bland annat hittades en kritiskt sårbarhet i systemets RF-protokoll som gör det möjligt för en angripare att avlarma ett larmat system, och därmed kringå hela systemets funktionalitet. Säkerheten av systemet bedömdes vara bristfällig.

Security in the healthcare sector has historically been insufficient, seeing several high-profile cyber-attacks crippling availability of equipment and vital services with demands of ransom sums, and intrusions collecting sensitive patient data en masse. For this reason, digital services intended for medical use need to be convincingly secure in order to be adopted. This report investigates how to implement sufficient information security for a system involving a digital pill organiser with mobile application connectivity intended for professional medical use. Each component of the currently-indevelopment Dosis Pro system is systematically evaluated in order to assess which security measures need to be taken for the service to be considered adequately secure. The analysis is structured around the ISO IEC 27001:2013 guidelines, and potential solutions are suggested on a per-component basis based on a broad literature study in related research. The result is practical solutions for 19 highlighted problem areas, which should achieve a reasonable level of security overall in combination with the careful data flow of the service. Further, to achieve an exceptionally secure system it is advisable to test the solutions on a complete system, and continuously carry out similar evaluations and improve its design throughout several years of operation. / Hälsovårdssektorn har genom tiderna utstått många angrepp mot sina digitala verktyg och tjänster. Det har rådit allt från storskaliga dataintrång till förhindrande av kritiska offentliga tjänster med krav på lösensummor. På grund av det här måste digitala produkter avsedda för medicinskt bruk visas vara säkra för att bli accepterade. I detta examensarbete undersöks det hur man kan implementera fullgod datasäkerhet för ett system kring en digital pillerdosa med appanslutning avsedd för bruk inom vården. I rapporten undersöks systematiskt varje komponent av Dosis Pro-tjänsten för att avgöra vilka säkerhetsrisker som existerar och vilka åtgärder som behöver vidtas för att tjänsten ska kunna konstateras vara säker. Analysen struktureras enligt riktlinjerna från ISO IEC 27001:2013, lösningar föreslås komponentvis utifrån en bred litteraturstudie inom relaterad forskning. Resultatet är praktiska lösningar för 19 identifierade problemområden, vilka tillsammans bör uppnå en godkänd säkerhetsnivå medräknat tjänstens försiktiga data-flöde. Vidare, för att uppnå ett exceptionellt säkert system, rekommenderas det att testa lösningarna i ett färdigt system, och kontinuerligt utföra liknande utvärderingar för att göra förbättringar under flera år av drift.

Mikrochip, eller integrerad krets, är en samling av elektroniska kretsar på en mindre platta. De går att finna i nästan alla elektroniska produkter, såsom i mobiler eller självkörande bilar. Idag har denna teknik blivit så liten att människor kan implantera den i kroppen, där användningsområdena är många och fortfarande relativt outforskade. Ny teknik kommer ofta med positiva och negativa aspekter, en teknik som kan integreras med kroppen kan för individen kännas integritetskränkande, främmande eller obehagligt. Detta är en kvalitativ studie där vi genom intervjuer har undersökt vilka attityder ungdomar i Sverige har till implantat av mikrochip. Studien har identifierat vad ungdomar har för attityder och åsikter kring mikrochip i kontexten av deras egna privatliv, hälsa, vardagsliv och datasäkerhet.