IoT devices within the technical market are rapidly growing in popularity. However, they are still young and due to the rapid growth and demand of the market, they are also known to be more vulnerable to attacks compared to other applications. The smartwatch is an IoT device that collects a large amount of personal data and monitors a consumer continuously, therefore it also comes with a great privacy risk if there are vulnerabilities in the device.  The objective of this thesis was to assess the security of Garmin’s smartwatch Venu and to demonstrate whether the smartwatch is secure or not. The task of fully validating the security of an application or device is nontrivial and cannot be perfectly achieved. However, this thesis uses a systematic approach using state of the art approaches to attempt to assess security.  The methodology PTES was applied which includes threat modelling. Threat modelling was used to list the possible vulnerabilities existing on the smartwatch. The tested vulnerabilities were selected based on the delimitations as well as their placing on an applied risk matrix. The vulnerabilities were then tested based on OWASP:s testing guide and ASVS.  It was found that Garmin Venu was generally secure with a few minor security flaws. The Swedish law limited the possible security tests, as this thesis was done without collaboration with Garmin. However, the thesis does provide pointers of needed further investigation for vulnerabilities as well as conclusions that suggest that the smartwatch is secure. The threat model in this thesis provides identified threats that were not analysed due to time constraints. The conclusion of this thesis encourages further analysis of the operating system Garmin runs on, as it opens up more potential threats to be penetration tested. / IoT-enheter inom den tekniska marknaden växer snabbt i popularitet. De är dock fortfarande nyutkomna och på grund av den snabba tillväxten och efterfrågan på marknaden är de också kända för att vara mer utsatta för attacker jämfört med andra applikationer. Smartklockan är en IoT-enhet som samlar in en stor mängd personuppgifter och kontinuerligt övervakar en konsument. Följaktligen tillkommer en stor integritetsrisk om det finns sårbarheter i enheten.  Syftet med detta examensarbete var att bedöma säkerheten för Garmins smartklocka Venu och undersöka om smartklockan är säker eller inte. Uppgiften att helt validera säkerheten för en applikation eller enhet är inte enkel och kan inte fullbordas. Emellertid använder detta arbete ett systematiskt tillvägagångssätt som använder avancerade metoder för att försöka bedöma säkerheten.  Metoden PTES tillämpades vilken inkluderar hotmodellering. Hotmodellering användes för att lista upp de möjliga sårbarheter som finns på smartklockan. De testade sårbarheterna valdes utifrån begränsningarna för examensarbetet och deras placering i en tillämpad riskmatris. Sårbarheterna testades sedan baserat på OWASPs testguide och ASVS.  Sammanfattningsvis konstaterades att Garmin Venu i allmänhet var säker med några mindre säkerhetsfel. Svensk lag begränsade de möjliga säkerhetstesterna, eftersom detta examensarbete gjordes utan samarbete med Garmin. Arbetet ger tips om ytterligare väsentliga granskningar för sårbarheter samt bidrar med slutsatser som tyder på att smartklockan är säker. Hotmodellen i detta arbete innehåller identifierade hot som inte analyserades på grund av tidsbegränsning. Avslutningen i detta examensarbete uppmuntrar bland annat till ytterligare analys av det operativsystem Garmin körs på, eftersom det öppnar upp möjligheten till ytterligare penetrationstest av potentiella hot.

Internet of Things (IoT) devices have entered the home, offices, and other parts of everyday life at an alarming rate in recent years. A large company in the IoT space is Ring. They mostly make smart home security devices, with the mission of making neighborhoods safer, and their flagship product is the Ring doorbell. However, an important question is: Does connecting such a device to your home network introduce new threats? In this thesis, the security of the Ring doorbell and applications in its ecosystem are evaluated and presented. A structured approach is taken for the evaluation by constructing a threat model, evaluating threats, and further pursuing selected threats by penetration testing. One minor vulnerability was discovered but the overall conclusion was that this product followed best practices when it comes to securing IoT devices, reducing attack surfaces, and enforcing user security policies. The conclusion of this thesis is that adding a Ring doorbell to your home network does not introduce a new threat. / Sakernas internet (IoT) enheter har kommit in i hemmet, kontoret och andra delar av vardagen i en alarmerande takt under de senaste åren. Ett stort företag inom IoT området är Ring. De tillverkar mestadels smarta hem säkerhetsenheter, med uppdraget att göra stadsdelar säkrare, och deras flaggskeppsprodukt är Ring-dörrklockan. Men införs nya hot om du ansluter en sådan enhet till ditt hemnätverk? I detta examensarbete utvärderas och presenteras säkerheten för Ring dörrklockan och applikationer i dess ekosystem. Ett strukturerat tillvägagångssätt används för utvärderingen genom att konstruera en hotmodell, utvärdera hot och fortsätta vidare utvalda hot genom penetrationstester. En mindre sårbarhet men den övergripande slutsatesen var att den här produkten följde bästa praxis när det gäller att säkra IoT enheter, minska attackytor och upprätthålla användarsäkerhetspolicyer. Slutsatsen av denna avhandling är att om du lägger till en Ring-dörrklocka i ditt hemnätverk inte introducerar ett nytt säkerhetshot.

With the advancements made in the field of data science, smart IoT devices are be-coming increasingly common. Consequently, this creates an increased number of targets for hackers to potentially exploit. This is a study about ethically hacking a robot vacuum, the Roborock S7, and evaluating the security of the target system. The DREAD and Stride threat models are used in order to find potential exploits. These exploits are then tested on the vacuum. Four tests were done on the system: scan-ning, denial-of-service attack, man-in-the-middle sniffing and man-in-the-middle tampering. The study found that the vacuum is relatively secure against web threats with weaknesses found surrounding its handling of its own network and lack of re-sistance to denial-of-service attacks on the DHCP protocol. / Med de framsteg som sker inom datavetenskap och teknologi blir IoT-enheter allt vanligare i hemmen. Detta medför en ökad mängd enheter med potentiella sårbar-heter som hackare kan utnyttja. Denna rapport handlar om att etiskt hacka en ro-botdammsugare av modell Roborock S7 och utvärdera dess säkerhet mot internet-hot. DREAD och STRIDE används som hotmodeller för att hitta sårbarheter. Sår-barheterna testas sedan på dammsugaren. Fyra tester utfördes på system: scanning, denial-of-service-attack, man-in-the-middle-avlyssning och man-in-the-middle-av-lyssning med manipulering. Rapporten hittade att dammsugaren är resonabelt säker mot internethot men med svagheter i hur enheten hanterar sitt egna nätverk samt ett bristande motstånd mot en denial-of-service-attack genom DHCP-protokollet.