Detta examensarbete har utförts inom programmet högskoleingenjör i datateknik vid Linköpings Universitet. Syftet med arbetet är att undersöka de säkerhetsbrister som finns med att använda enheter som kommunicerar via Bluetooth inom hälsotillämningar samt vilka steg som kan tas för att skydda sig mot dem. För att studera dessa sårbarheter användes en pulsmätare som anslöts via Bluetooth med en Android-telefon. Vi påvisar i den första delen av rapporten de sårbarheter som finns med att använda Bluetooth genom att utföra ett antal tidigare kända attacker som tidigare inte har studerats i detta sammanhang. I den andra delen av rapporten utförs attackerna igen, men den här gången med en metod för att motverka skadan de kan åstadkomma. Resultaten visar några av de sårbarheter inom applikationer för hälsa som man måste ha i åtanke när man utvecklar system som hanterar känslig data via Bluetooth. Det visar att det går att avvärja flera av de studerade attackerna med relativt enkla metoder som inte kräver någon extra hårdvara

No description available.

<p>Försvarsmaktens förändring genom reformarbetet mot ett insatt insatsförsvar, har lett till ett fokus mot delvis nya uppgifter. Expeditionära operationer är en sådan uppgift, som innebär förändrade krav och förmågor på materiel och personal. Problemet, som uppsatsen vill belysa, är att vid planering och genomförande är taktiska uppgifter i operationsområdet dimensionerande i för hög grad. På det viset läggs inte tillräcklig kraft på hur förbandet ska komma på plats och hur bäst förutsättningar för uthållighet ska säkerställas över tiden. Det är därför angeläget att en noggrann analys genomförs i planläggningsskedet, så att egna kritiska sårbarheter kan identifieras.</p><p>Syftet med uppsatsen är att undersöka vilka kritiska sårbarheter som är tydligast ur ett logistiskt perspektiv, vid en vald expeditionär operation. Innebörden är att identifiera de kritiska sårbarheterna som uppstod och de som skulle ha kunnat påverka den expeditionära operationens målsättning.</p><p>Den expeditionära operationen som behandlas är den svenska insatsen i Tchad 2008. Analysverktyget som används för att genomlysa den är en operationalisering av Milan Vegos operationella faktorer tid, rum och styrka.</p><p>Resultatet pekar på tre områden som kritiska sårbarheter. De identifierades vid deployering och redeployering, inom hälso- och sjukvården samt av att förbandet inte klarade att hantera den omfattande mängden materiel och förnödenheter.<strong></strong></p> / <p>The Swedish Armed Forces have, as a consequence of the transformation, focused on partly new tasks. Expeditionary operations are one of these tasks, which denote changed demands on equipment and necessary competence of the personnel. The problem this study will try to clarify is the risk within focus too much on the tactical task in the area of operations. In that way the planning doesn't evaluate the needs in its entirety. To overlook details in the deployment and the endurance in the area could create critical vulnerabilities already in the planning of the operation.</p><p>The purpose of this study is to investigate the most obvious critical vulnerabilities, in a logistic perspective, during a chosen expeditionary operation. Both to identify the critical vulnerabilities arisen and those which could have had an affect on the aim of the expeditionary operation.</p><p>The expeditionary operation is the case-study of the Swedish participation in EUFOR Chad/CAR 2008. The tool that is used to analyze the case-study is the author's interpretation of Milan Vegos operational factors time, space and force.</p><p>The result of the study shows three areas as critical vulnerabilities. They were identified at deployment and redeployment, within the medical service and that the force couldn't manage to deal with the amount of equipment and supplies</p>

Försvarsmaktens förändring genom reformarbetet mot ett insatt insatsförsvar, har lett till ett fokus mot delvis nya uppgifter. Expeditionära operationer är en sådan uppgift, som innebär förändrade krav och förmågor på materiel och personal. Problemet, som uppsatsen vill belysa, är att vid planering och genomförande är taktiska uppgifter i operationsområdet dimensionerande i för hög grad. På det viset läggs inte tillräcklig kraft på hur förbandet ska komma på plats och hur bäst förutsättningar för uthållighet ska säkerställas över tiden. Det är därför angeläget att en noggrann analys genomförs i planläggningsskedet, så att egna kritiska sårbarheter kan identifieras. Syftet med uppsatsen är att undersöka vilka kritiska sårbarheter som är tydligast ur ett logistiskt perspektiv, vid en vald expeditionär operation. Innebörden är att identifiera de kritiska sårbarheterna som uppstod och de som skulle ha kunnat påverka den expeditionära operationens målsättning. Den expeditionära operationen som behandlas är den svenska insatsen i Tchad 2008. Analysverktyget som används för att genomlysa den är en operationalisering av Milan Vegos operationella faktorer tid, rum och styrka. Resultatet pekar på tre områden som kritiska sårbarheter. De identifierades vid deployering och redeployering, inom hälso- och sjukvården samt av att förbandet inte klarade att hantera den omfattande mängden materiel och förnödenheter. / The Swedish Armed Forces have, as a consequence of the transformation, focused on partly new tasks. Expeditionary operations are one of these tasks, which denote changed demands on equipment and necessary competence of the personnel. The problem this study will try to clarify is the risk within focus too much on the tactical task in the area of operations. In that way the planning doesn't evaluate the needs in its entirety. To overlook details in the deployment and the endurance in the area could create critical vulnerabilities already in the planning of the operation. The purpose of this study is to investigate the most obvious critical vulnerabilities, in a logistic perspective, during a chosen expeditionary operation. Both to identify the critical vulnerabilities arisen and those which could have had an affect on the aim of the expeditionary operation. The expeditionary operation is the case-study of the Swedish participation in EUFOR Chad/CAR 2008. The tool that is used to analyze the case-study is the author's interpretation of Milan Vegos operational factors time, space and force. The result of the study shows three areas as critical vulnerabilities. They were identified at deployment and redeployment, within the medical service and that the force couldn't manage to deal with the amount of equipment and supplies

Enligt gällande västliga militära planeringsdoktriner, inklusive den svenska som den formuleras i Svensk planerings och ledningsmetod (SPL), är tyngdpunktsanalyser av såväl motståndaren som den egna sidan avgörande steg i planeringsprocesserna på både strategisk och operativ nivå. Tyngdpunkten kan anfallas eller påverkas direkt eller indirekt, i det ideala fallet genom att slå mot kritiska sårbarheter. Kritiska sårbarheter kan ofta vara av teknisk karaktär, vilket historiska erfarenheter visar. Bristande teknisk förståelse riskerar därmed leda till att kritiska sårbarheter hos fienden inte exploateras och att våra egna inte skyddas. De nyckelfaktorer som bygger upp tyngdpunkten ska enligt doktrinerna identifieras genom systemanalys. Beskrivningarna av vad en systemanalys är eller hur denna kan genomföras saknar dock både tillräckligt djup och tydlighet för att kunna användas praktiskt och ge önskad kvalitet. Detta riskerar att ge stora konsekvenser för den fortsatta planeringen. I uppsatsen föreslås en utvecklad metod för tyngdpunktsanalys, med fokus på hur de kritiska sårbarheterna identifieras och värderas. Metodens huvudsakliga moment är modellering och klassificering, där klassificeringsmomentet sker med en föreslagen metod som hämtat stöd från såväl verkansprocessen som civil forskning om systemsårbarheter. Metoden operationaliseras i uppsatsen och prövas i en fallstudie med två fall. Slutsatserna från undersökningen indikerar att den föreslagna metoden är användbar och har förklaringskraft i de undersökta fallen. För att analysen av kritiska sårbarheter ska nå tillräcklig kvalitet krävs djupa systemkunskaper och inte minst resurser i form av personal och tid. Den föreslagna metoden behöver prövas i sin helhet för att utvärdera den praktiska användbarheten. / According to contemporary western military doctrines, and Swedish doctrine is no exception, analyses of the centers of gravity of enemy and friendly forces are vital steps in the planning process at the strategic and operational levels of war. Centers of gravity might be attacked or influenced directly or indirectly, ideally by targeting critical vulnerabilities. Critical vulnerabilities are often of a technical nature, as shown by historical experience. A lack of technical understanding might lead to enemy vulnerabilities not being exploited and our own not being adequately protected. According to doctrine, a center of gravity’s key factors should be identified through systems analysis of enemy and friendly forces. However, descriptions of what these analyses are, or how they should be conducted, lack sufficient depth and clarity to be used in practice and provide sufficient quality. This is likely to have negative consequences for continued planning. This thesis proposes a developed method for center of gravity analysis, focusing on the identification and evaluation of critical vulnerabilities. The main elements of the method are modeling and classification, where the classification is conducted using a proposed method, supported by a method within the targeting process, and by civilian research into system vulnerabilities. The full method is operationalized in the thesis and tested in a two-case study. The conclusions from the study indicate that the proposed method is usable and has explanatory value in the cases studied. To achieve sufficient quality in the analysis of critical vulnerabilities, in-depth systems knowledge and, not least, resources in terms of staff and time are required. The proposed method needs to be tested in its entirety to evaluate its practical usability.

VTable kapning har nyligen blivit befordrad till de facto-teknik för utnyttjar C ++ program, särskilt webbläsare. VTables kan vara manipuleras utan korrumperande minne, helt enkelt genom att utnyttja användning-after-free sårbarheter. Under de senaste Pwn2Own tävlingar alla större webbläsare brott med bedrifter baserade på användning-efter-free sårbarheter och VTable kapning. I detta dokument föreslår vi VTPin: ett system för att skydda mot VTable kapning, via användning-efter-fria sårbarheter, i stora C ++ binärer som kan inte kompileras eller omskrivet. Huvudtanken bakom VTPin är att stift alla frigjorda VTable pekare på en säker VTable under VTPin’s kontroll. Specifikt, för varje förekommande objekt avallokering, VTPin avallokerar allt utrymme tilldelas, men bevarar och uppdaterar VTable pekaren med adressen till den säkra VTable. Därför kan någon dereferenced dinglande pekaren bara anropa en metod som tillhandahålls av VTPin’s säker objekt. Därefter kallar alla virtuella metoden på grund av dinglande pekare är inte bara neutraliseras, men de kan vara inloggad spåras och lappat. Jämfört med andra lösningar som försvarar mot VTable kapning, VTPin uppvisar vissa egenskaper som gör den lämplig för praktisk och omedelbar användning i produktion programvara. Först, VTPin skyddar binärer, direkt och öppet, utan att det krävs källa sammanställning eller binär omskrivning. För det andra, VTPin inte är en allokerare ersättning, och därför är det inte stör den allokeringsstrategier och politik skyddade programmet; det ingriper i avallokeringen processen endast när ett virtuellt föremål som skall frigöras för bevara VTable pekaren. För det tredje, är VTPin snabbt; Mozilla Firefox, skyddas med VTPin, upplever en genomsnittlig overhead en 1% till 4,1 % när man kör populära riktmärken webbläsaren.

Open-source software is often chosen with the expectation of increased security. The transparency and peer review process of open development offer advantages in terms of more secure code. However, developing secure code remains a challenging task that requires more than just expertise. Even with adequate knowledge, human errors can occur, leading to mistakes and overlooked issues that may result in exploitable vulnerabilities. It is reasonable to assume that not all developers introduce bugs or vulnerabilities randomly since each developer brings unique experience and knowledge to the development process. The objective of this thesis is to investigate a method for identifying high-risk developers who are more likely to introduce vulnerabilities or bugs, which can be used to predict potential locations of bugs or vulnerabilities in the source code based on the developer who wrote the code. Metrics related to developers’ code churn, code complexity, bug association, and experience were collected during a case study of the open- source project Kibana. The findings provide empirical evidence suggesting that developers that write code with higher complexity and have a greater project activity pose a higher risk of introducing vulnerabilities and bugs. Developers who have introduced vulnerabilities also tend to exhibit higher code churn, code complexity, and bug association compared to those who have not introduced a vulnerability. However, the metrics employed in this study were not sufficiently discriminative for identifying developers with a higher risk of introducing vulnerabilities or bugs per commit. Nevertheless, the results of this study serve as a foundation for further research in this area exploring the topic further. / Programvara med öppen källkod väljs ofta med förväntningar om ökad säkerhet. Transparensen och peer review-processen erbjuder fördelar i form av säkrare kod. Men att utveckla säker kod är fortfarande en utmanande uppgift som kräver mer än bara expertis. Även med tillräcklig kunskap kan mänskliga fel uppstå, vilket leder till misstag och förbisedda problem som kan resultera i exploaterbara sårbarheter. Det är rimligt att anta att inte alla utvecklare introducerar buggar eller sårbarheter slumpmässigt, eftersom varje utvecklare tar med sig unik erfarenhet och kunskap till utvecklingsprocessen. Syftet med detta examensarbete är att identifiera en metod att identifiera högriskutvecklare som är mer benägna att introducera sårbarheter eller buggar, vilket kan användas för att förutsäga potentiella platser för buggar eller sårbarheter i källkoden baserat på utvecklaren som skrev koden. Mätvärden relaterade till utvecklarnas omsättning av kod, kodkomplexitet, buggassociation och erfarenhet samlades in under en fallstudie av det öppna källkodsprojektet Kibana. Fynden ger empiriska bevis som tyder på att utvecklare med högre kodkomplexitetsmått och större projektaktivitet utgör en högre risk för att introducera sårbarheter och buggar. Utvecklare som har introducerat sårbarheter tenderar också att uppvisa högre omsättning av kod, kodkomplexitet och buggassociation jämfört med de som inte har introducerat en sårbarhet. De mätvärden som användes i denna studie var dock inte tillräckligt diskriminerande för att identifiera utvecklare med en högre risk att introducera sårbarheter eller buggar per commit. Ändå fungerar resultaten av denna studie som en grund för vidare studier inom detta område.

VPN-teknologin är känd för att skydda användarens personliga integritet och säkerhet online. Genom att etablera en krypterad tunnel mellan användare och VPN-tjänstens server möjliggörs flera funktioner. Dessa funktioner kan inkludera anonym surfning genom att maskera användarens IP-adress och geografiska plats, eller tillhandahålla en säker anslutning över ett offentligt nätverk. Den systematiska litteraturstudien undersöker problemområdet inom VPN-lösningaroch försöker sammanställa relevant forskning. Två databaser användes för att hitta artiklar med hjälp av en sökterm, där 31 artiklar accepterades efter granskning. Tematisk kodning användes och fyra huvudområden identifierades: Sårbarhet i protokoll, hårdvara, mjukvara och kryptering och autentisering. Analysen visar bland annat på att det finns problem inom VPN-tekniken, speciellt inom området protokoll. Enkätstudien undersökte svenska studenters vanor kring VPN användande och hur de tror att det påverkar deras säkerhet online. Enkätstudien hade 83 deltagare, vilket gjorde att urvalet inte var representativt för den valda populationen. Enkätstudien visade att deltagarna använde sig av VPN-tjänster för att få tillgång till institutionellt innehåll, platslåst media, skydda sin personliga integritet och öka sin säkerhet online. Majoriteten av deltagarna svarade att en VPN-tjänst garanterar maskering av IP-adress och många trodde även att det skyddar mot spårning. Resultaten från de två metoderna visar att det finns ett behov av att öka användarnas medvetenhet kring VPN-teknologins för- och nackdelar samt de problem som finns. / VPN technology is known for safe guarding users' personal privacy and security online. By establishing an encrypted tunnel between users and the VPN service's server, several functions are enabled. These functions can include anonymous browsing by masking the user's IP address and geographical location, as well as providing a secure connection over a public network. The systematic literature review examines the problem domain within VPN solutions and aims to compile relevant research. Two databases were used in order to find articles using a search term, resulting in the acceptance of 31 articles after the review process. Thematic coding was applied, identifying four main areas: protocol vulnerabilities, hardware, software, and encryption and authentication. The analysis indicates the presence of issues within VPN technology, particularly in the area of protocols.The survey study investigated Swedish students' habits regarding VPN usage and their perception of its impact on their online security. The survey study had 83 participants, which means the sample was not representative of the chosen population. The survey study revealed that participants used VPN services to access institutional content, geographically restricted media, protect their personal privacy, and enhance their online security. The majority of participants responded that a VPN service guarantees IP address masking, and many believed it provides protection against tracking. The results from the two methods indicate a need to enhance users' awareness regarding the advantages and disadvantages of VPN technology, as well as the existing issues.

As more services previously conducted physically are being conducted on mobiles, the security of mobile applications has become a more important part of the development. These mobile applications may handle sensitive information for the user such as payment data, health data, and other information that can have value for malicious actors. Therefore, it is crucial that the applications are secure against a various array of cybersecurity threats. This includes following data protection standards to secure the IT infrastructure surrounding the application from intrusion. This thesis aims to provide a general overview of the security for ten popular Android applications that are aimed at the Swedish Android user base. To evaluate the security of the applications, the process of ”penetration testing” was used to try find and exploit vulnerabilities. The results of the penetration testing process yielded no proper vulnerabilities in terms of being specific for the Android application software. Noticeable findings during the testing were business logic errors, meaning that they do not enable for further hacking and software exploitation. Our analysis of the results concluded that the main causes for the lack of vulnerabilities found likely has to do with rigorous software testing before release and the security practices in place when development applications of the scale tested. / I takt med att allt fler tjänster som tidigare genomförts fysiskt nu genomförs via mobilapplikationer har säkerheten i utvecklingsprocessen fått en allt viktigare roll. Dessa mobilapplikationer kan hantera känslig information för användaren som till exempel betalningsinformation, hälsoinformation och annan information som kan vara av intresse för illvilliga aktörer. På grund av detta är det avgörande att applikationerna är säkra från en mängd olika cyberhot. Samt att följa dataskyddsstandarder för skydda IT-infrastrukturen kring applikationerna från intrång. Denna uppsats har som avsikt att ge en generell bild av säkerheten för tio populära Androidapplikationer som är riktade mot svenska användare. För att utvärdera säkerheten av en applikationerna användes en process kallad penetrationstestning, som användes för att försöka hitta och utnyttja sårbarheter. Resultatet av penetrationstesten var att inga riktiga sårbarheter kunde hittas som var specifika för Androidapplikationernas mjukvara. Noterbara fynd under penetrationstestningen var svagheter i företagslogik, vilket i detta sammanhang är svagheter som inte möjliggör för vidare intrång. Vår slutsats efter att analyserat vårt resultat är att de huvudsakliga anledningarna till frånvaron av svagheter troligtvis har med den rigorösa testningen som sker före publicering och de säkerhetsrutiner som åtföljs under utvecklingen av applikationer av denna storlek.

Open-source software is often chosen with the expectation of increased security [1]. The transparency and peer review process of open development offer advantages in terms of more secure code. However, developing secure code remains a challenging task that requires more than just expertise. Even with adequate knowledge, human errors can occur, leading to mistakes and overlooked issues that may result in exploitable vulnerabilities. It is reasonable to assume that not all developers introduce bugs or vulnerabilities randomly since each developer brings unique experience and knowledge to the development process. The objective of this thesis is to investigate a method for identifying high-risk developers who are more likely to introduce vulnerabilities or bugs, which can be used to predict potential locations of bugs or vulnerabilities in the source code based on the developer who wrote the code. Metrics related to developers’ code churn, code complexity, bug association, and experience were collected during a case study of the open-source project Kibana. The findings provide empirical evidence suggesting that developers that write code with higher complexity and have a greater project activity pose a higher risk of introducing vulnerabilities and bugs. Developers who have introduced vulnerabilities also tend to exhibit higher code churn, code complexity, and bug association compared to those who have not introduced a vulnerability. However, the metrics employed in this study were not sufficiently discriminative for identifying developers with a higher risk of introducing vulnerabilities or bugs per commit. Nevertheless, the results of this study serve as a foundation for further research in this area exploring the topic further. / Programvara med öppen källkod väljs ofta med förväntningar om ökad säkerhet [1]. Transparensen och peer review-processen erbjuder fördelar i form av säkrare kod. Men att utveckla säker kod är fortfarande en utmanande uppgift som kräver mer än bara expertis. Även med tillräcklig kunskap kan mänskliga fel uppstå, vilket leder till misstag och förbisedda problem som kan resultera i exploaterbara sårbarheter. Det är rimligt att anta att inte alla utvecklare introducerar buggar eller sårbarheter slumpmässigt, eftersom varje utvecklare tar med sig unik erfarenhet och kunskap till utvecklingsprocessen. Syftet med detta examensarbete är att identifiera en metod att identifiera högriskutvecklare som är mer benägna att introducera sårbarheter eller buggar, vilket kan användas för att förutsäga potentiella platser för buggar eller sårbarheter i källkoden baserat på utvecklaren som skrev koden. Mätvärden relaterade till utvecklarnas omsättning av kod, kodkomplexitet, buggassociation och erfarenhet samlades in under en fallstudie av det öppna källkodsprojektet Kibana. Fynden ger empiriska bevis som tyder på att utvecklare med högre kodkomplexitetsmått och större projektaktivitet utgör en högre risk för att introducera sårbarheter och buggar. Utvecklare som har introducerat sårbarheter tenderar också att uppvisa högre omsättning av kod, kodkomplexitet och buggassociation jämfört med de som inte har introducerat en sårbarhet. De mätvärden som användes i denna studie var dock inte tillräckligt diskriminerande för att identifiera utvecklare med en högre risk att introducera sårbarheter eller buggar per commit. Ändå fungerar resultaten av denna studie som en grund för vidare studier inom detta område.