I detta examensarbete görs en analys av säkerheten hos några av de driftundercentraler som används i fastigheter som Riksbyggen förvaltar. Driftundercentralerna används för att kontrollera olika delar i en fastighet, exempelvis belysning och temperatur. I de flesta fall nås respektive driftundercentral via en egen publik IP-adress, medan vissa tillverkare har en molntjänst för sina driftundercentraler. Syftet med examensarbetet har varit att undersöka de olika driftundercentralernas säkerhet, upptäcka brister och ge förbättringsförslag till dessa. Därutöver ges också exempel på hur smarta hem kan byggas upp. Undersökningen har gjorts på flera sätt, dels med hjälp av kontrollerade attacker men även genom att samla information om driftundercentralerna och hur de fungerar. Utifrån de undersökningar som gjorts har ett antal brister kunnat konstateras, bl.a. när det gäller lösenordens styrka och kryptering av dessa. Generella förslag på förbättringar har getts för att minska sårbarheten för eventuella attacker som kan ske i framtiden. / This project presents an analysis of the security regarding some of the controllers which are used in real estates managed by Riksbyggen. The controllers are used to control different parts of a property, such as lighting and temperature. In most cases, the controllers are reached via their own public IP address, while some manufacturers have a cloud service for their controllers. The purpose with this project has been to examine the different controllers’ security, discover weaknesses and provide suggestions for improvements to these. In addition, examples are also given on how smart homes can be built. The study has been made in several ways, partly with the help of controlled attacks but also by gathering information about the controllers and how they operate. Based on the studies that were made, a number of weaknesses have been observed, including passwords’ strength and encryption of these. General suggestions for improvements have been given to reduce the vulnerability for possible attacks that may occur in the future.

The presence of smart wearables has established itself as a norm of the 21 st century, but the state of their trustworthiness from the viewpoint of personal safety remains debatable. The information gathered by such devices has great potential for personal safety risks and must be handled safely. Previous work on the Garmin Venu watch gave room for relevant future work. This thesis aims to perform further evaluation of this smartwatch in unexplored areas. The work took inspiration from the relatively new “PatrIoT” penetration testing methodology, developed in-house at the Network and Systems Engineering lab, customized for penetration testing of Internet of Things devices. This project examined a broad surface on the watch including network traffic, data over USB connection, a few details in the watch’s update mechanism, probed for some memory attack mitigations, fuzz testing of some functions in the Software Development Kit’s Application Programming Interface, and some more. According to these investigations, the watch is perceived as safe. A deeper look into some investigations is left for future work. / Bärbara enheter har blivit en normal del av 21:a århundradet, men deras pålitlighet från ett personligt säkerhetssynvinkel är diskutabelt. Informationen som samlas in av dessa har stort potential för att orsaka personliga säkerhetsrisker och måste hanteras säkert. Tidigare utförda undersökningar av Garmin Venu-smartklockan lämnade utrymme för relevant framtida arbete. Det här examensarbetet siktar på att utföra ytterligare undersökningar av denna smartklocka. Arbetet tog inspiration av det relativt nya “PatrIoT” intrångstestmetodologin, internt utvecklad av personalen i avdelningen för nätverk och systemteknik, skräddarsydd för intrångstestning av Sakernas Internet-enheter. Det här projektet undersökte en bred attackyta på klockan, inkluderande datatrafik, data över USB-anslutning, några detaljer i klockans uppdateringsmekanism, undersökte närvaron av några mekanismer för minnesbaserade attacker, försök till störningsattacker i programvaruutvecklingssatsens applikationsprogrammeringsgränssnitt, med flera. Enligt dessa undersökningar uppfattas klockan vara säker. En djupare undersökning av dessa aspekter lämnas till framtida arbete.

Over the last few years the interest in indoor plants has increased. Whether they are used for decorating, as mood boosters or sometimes as food in cooking, people want to come closer to nature by bringing it into their homes. However removing plants from their natural habitat could have negative implications on their well-being. In order to achieve an optimal environment, the current location for the plants need to emulate their native environment. Taking sunlight and watering  into consideration isn’t always enough: temperature, humidity, soil nutritional level and soil pH level are also factors that needs to be monitored. This thesis covers the creation of a prototype that measures sunlight, temperature and humidity, compares the measurements to a database of plant needs, and then displays the result on a website. The aim is to enable a more effective care of indoor plants. In the end a system was created that can take measurements, are capable of comparing the two sets of data and then visualize the result on a website for the user. / Under de senaste åren har intresset för inomhusväxter ökat. Oavsett om de används för att dekorera, som humörförstärkare eller ibland i matlagning vill människor komma närmare naturen genom att föra den in i sina hem. Att ta bort växter från deras naturliga livsmiljö kan dock ha negativa konsekvenser för deras välbefinnande. För att uppnå en optimal miljö måste den nuvarande platsen för växterna emulera deras ursprungliga miljö. Att tänka på solljus och vattning är inte alltid tillräckligt utan temperatur, luftfuktighet, jordens näringsnivå och jordens pH-nivå är andra faktorer som också behöver ses över. Det här examensarbetet omfattar skapandet av en prototyp som mäter solljus, temperatur och luftfuktighet, jämför mätningarna med en databas över växtbehov och sedan visar resultatet på en webbplats. Syftet är att göra det möjligt för användaren att effektivisera skötseln av inomhusväxter för växternas välbefinnande såväl som för sitt egna. I slutändan skapades ett system som kan utföra mätningarna och är kapabelt att jämföra dessa två samlingar data som sedan visar resultatet på en webbplats för användaren.

Low Power Wide Area Networks (LPWAN) are able to combine long range communication with a low energy consumption sacrificing performance in terms of bit rate and message frequency. This thesis presents a general evaluation of the LPWAN characteristics and a description of the LPWAN protocols LoRaWAN, SigFox and NB-IoT. It also covers a method to evaluate if a LPWAN technology would be a suitable choice of communication technology for a certain use case. Lastly, it covers the implementation of LoRaWAN on a connected electromechanical lock and investigates in the real life performance of the lock by using eight nodes in two case studies involving four locations each. The lock was evaluated from how often it was able to send a heartbeat (a status message), how reliable the communication was, what latency a user could expect and how much energy a data transmission required. Two of the eight nodes were placed in a deep indoor environment. One of them, located 0.794 km from a gateway was able transmit every 150th second. The other one located 1.85 km from a gateway was not able to successfully deliver any packets at all. Five nodes were able to transmit most heartbeats within 10 seconds. The Packet Delivery Ratio (PDR) was below 90% for all locations except for one. In this location, the node was placed close to a large window and managed to communicate with a gateway 3.22 km away with a PDR of 97% and almost exclusively with less than 10 seconds between transmission. The results in this thesis show the potential in LoRaWAN but highlights how dependent the performance will be of the placement of the lock. / Genom att kombinera låg dataöverföringshastighet och låg meddelandefrekvens kan LPWAN uppnå en kommunikation med lång räckvidd och låg energiförbrukning. Denna uppsats går igenom vad som karaktäriserar LPWAN i stort samt presenterar LPWAN-protokollen LoRaWAN, SigFox och NB-IoT. Den visar även en metod vilken kan användas för att utvärdera hur väl ett use case lämpar sig för LPWAN-tekniken. Slutligen görs en implementering av LoRaWAN i ett uppkopplat lås från ASSA ABLOY för att undersöka vilken prestanda som är möjlig att uppnå för åtta olika noder i två olika fallstudier. Låset utvärderades utfirån hur ofta det kunde skicka statusmeddelanden, hur tillförlitlig kommunikationen var samt hur mycket energi som förbrukades. Två av åtta noder placera-des långt in i sina respektive byggnader, den ena kunde endast skicka statusuppdateringar i intervaller om 150 sekunder och den andra lyckades inte leverera några datapaket alls. Fem noder lyckades skicka de flesta statusuppdateringerna i intervall under tio sekunder. Resultatet visade på en packet delivery ratio under 90% i samtliga fall förutom ett. Där placerades noden nära ett stort fönster och lyckades kommunicera med en gateway 3.22 km bort med en PDR på 97% och mindre än 10 sekunder mellan sändningarna. Detta resultat visar potentialen för LoRaWAN men belyser även hur beroende prestandan kommer att vara av hur låset placeras.

As if today’s society, globalization, digitalization and labor mobility is daily increasing, and individuals are, in one way or another, constantly surrounded by Internet. Technical change, in general, is one of the fundamental engines of economic growth and structural transformation in modern societies. Internet has long been seen as the most disruptive technology of our time, but now new technologies are entering the market, including the concept around Internet of Things (IOT). New dynamics is being put on the market, and companies are forced to re-think their way of working with innovation. The market for IOT is developing, rapidly, which creates a huge pressure on companies to maintain innovative and relevant in the market. Companies are willing to invest, but due to challenges and questions marks, they end up doing nothing. The overall purpose of this thesis was to investigate how IT consulting companies can implement and apply the concept of Internet of Things (IOT), and what type of challenges they were facing. In order to achieve this purpose, this study was empirically grounded in a case study at the Finnish-Swedish IT Consultancy Company, Tieto, at division Telecom and Media located in Stockholm, Sweden. The division is partly responsible the internal research on the topic of IOT, and has as a goal of increasing profitability regarding the use of this disruptive technology. The results indicate that Tieto, as well as other companies, are investigating in the ecosystems of IOT. Companies are also starting to realize the use of partnerships, and that they might be required to join under one, if they want to provide an end-to-end IOT solution. However, the results also indicate that there are several challenges in the progress when adapting and implementing IOT. Some of these challenges were found to be: maturity in the market is slowing down the process; complexities in the partnerships; complexities in the IOT service; the demand of forming new operational models; and the realization of that one cannot be everywhere. Nevertheless, the IOT solutions generate enormous complexitivities, both in the technical aspects and the partner related aspect. The findings of this study have implication on that even though the market is facing many challenges, the future for IOT is looking promising, and IOT is predicted to contribute with tremendous growth within all industry segments. / I dagen samhälle, sker ökning inom globalisering, digitaliseringen och rörlighet i det dagliga arbetet. Individer är, på ett eller annat sätt, ständigt omgivna av Internet. Teknisk förändring, i allmänhet, är en av de grundläggande drivkrafterna för ekonomisk tillväxt och strukturomvandling i det moderna samhället. Internet har länge setts som den mest revolutionerande teknik i vår tid, men nu etablerar sig nya tekniker på marknaden, bland annat konceptet kring Sakernas Internet. Ny dynamik läggs ut på marknaden, och företagen tvingas ompröva sitt sätt att arbeta med innovation. Marknaden för Sakernas Internet utvecklas snabbt, vilket skapar en enorm press på företag bibehålla innovation, för relevans på marknaden. Företag vill investera, men på grund av aspekter och frågetecken, slutar med att de gör ingenting. Det övergripande syftet med denna studie var att undersöka hur IT-konsultbolag anpassade och tillämpade sig till konceptet kring Sakernas Internet (IOT), och vilken typ av utmaningar de stod inför. För att uppnå detta syfte, var denna studie empiriskt grundad på i en fallstudie vid den finsk-svenska IT-konsultföretaget Tieto, vid division Telecom och Media i Stockholm, Sverige. Divisionen är delvis ansvariga interna forskning i ämnet av IOT, och har som mål att öka lönsamheten när det gäller användningen av denna revolutionerande teknik. Resultaten tyder på att Tieto, liksom andra företag, undersöker i ekosystemen kring i IOT. Företagen börjar också inse användningen av partnerskap, och att de skulle kunna verkställas för att det ska kunna erbjuda en end-to-end IOT tjänst. Men resultatet tyder också på att det finns flera utmaningar i utvecklingen när anpassning och genomförande av IOT. Några av dessa utmaningar befanns vara: mognad på marknaden saktar ner processen; komplexiteten i partnerskap; komplexiteten i IOT lösningar; efterfrågan att bilda nya organisationsmodeller; och förverkligandet av att man inte kan vara överallt. Sammanfattningsvis kan man säga att IOT lösningar genererar enorma komplexitiviteter, både i de tekniska aspekterna samt i dem partner relaterade aspekterna. Resultaten från denna studie har återverkningar på att även om marknaden står inför många utmaningar, så ser framtiden för IOT ser lovande ut, och IOT förväntas bidra med en enorm tillväxt inom alla industrisegment

Cybersecurity within Internet of Things (IoT) is as relevant as ever, with the increase of digitalization and the connection of increasing numbers of intelligent devices. The devices within an electronic access control system, ranging from credential readers to management applications, are responsible for protecting various assets and users while still allowing for rich functionality. Regardless of its setting and context, the purpose of such a system is to ensure security. This thesis investigates the cybersecurity of an electronic access control system in an apartment building using penetration testing. The system was evaluated in a black-box setting, meaning no inside information about the system was known. This method consisted of an information gathering and enumeration phase, building a threat model that scored the identified threats based on their impact and consequences. Four devices and two software applications were investigated within the electronic access control system. Further, thirteen threats were identified on six attack surfaces: the physical interfaces, the firmware, the network services, web interfaces, a desktop application, and an embedded application. Twelve threats were tested to see if they are exploitable in practice. Results show that ten threats were exploitable, impacting residents and administrative users of the electronic access control system. The impact of the exploits consists of various degrees of sensitive data disclosure, authentication bypass, weak authentication, denial-of-service (DOS), and tampering, spread across the devices and software within the system. Exploits were successfully executed on every attack surface apart from the firmware. Additionally, the found exploits are reported to the affected manufacturer with suggestions to prevent the found vulnerabilities. / Med tanke på den ökande graden av digitalisering och intelligenta enheter i samhället är cybersäkerhet inom sakernas internet mer relevant än någonsin. Enheterna inom ett elektronisk passersystem har som uppgift att skydda både användare och objekt, oavsett miljö eller sammanhang. Detta, samtidigt som de ska erbjuda rik funktionalitet. Den här studien undersöker cybersäkerheten av ett passersystem installerat i ett lägenhetshus med hjälp av penetrationstestning. Systemet evaluerades genom black box testing, vilket betyder att ingen intern information om vare sig systemet eller enheterna var känd. Metoden inleddes av en informationsinsamlingsfas, som sedan ledde till en konstruktion av en hotmodell bestående av potentiella sårbarheter inom systemet. Sårbarheterna funna blev sedan betygsatta baserat på deras påverkan samt konsekvens ifall de skulle lyckas genomföras. Fyra enheter och två mjukvaruapplikationer inom passersystemet undersöktes. Tretton sårbarheter identifierades på de följande sex attackytorna: fysiska gränssnitt, firmware, nätverkstjänster, webbgränssnitt, datorprogram, samt inbäddade applikationer. Tolv sårbarheter testades för att se de kunde genomföras på systemet. Resultat visar att tio sårbarheter kunde genomföras, vilket påverkade både boende och administrativa användare i passersystemet. Detta resulterade i olika grader av utlämnande av känsliga uppgifter, förbikoppling av autentisering, denial-of-service (DOS), och manipulering, spritt över de olika enheterna och applikationerna i passersystemet. Förutom via firmware så hade samtliga attackytorna någon form av sårbarhet som gick att genomföras. De funna sårbarheterna blev rapporterade till passersystemets tillverkare med förslag på hur de kan åtgärdas.

The Internet of Things (IoT) is becoming related to more and more people's daily life. It is a network that consists of resource-constrained devices. Nowadays, the application of IoT like smart wearable devices is very common. Due to the wide and important application of IoT, its security also attracts research attention without any doubt. IoT networks are exposed to various attacks, so detecting attacks is necessary to enhance IoT security, which is achieved by Intrusion Detection Systems (IDS). To build an IDS, machine learning can be used as an efficient tool to train intrusion detection models. However, machine-learning methods often consume a lot of memory and computation resources, which inspires research on implementing machine-learning-based IDS on resource-constrained devices for IoT networks. This thesis aims to design and implement a machine-learning-based IDS for IoT networks. The target IoT devices are installed with an embedded operating system called Contiki. A large dataset of IoT networks is first created, which covers numerous network topologies. Then an intrusion detection classifier is trained using the Random Forests algorithm. The IDS is implemented by integrating the trained classifier with devices with the Contiki system. We perform experiments both in simulation and on real devices to evaluate the proposed IDS. The results show that our IDS works well on Contiki nodes in IoT networks. In experiments based on simulation, the detection accuracy always achieves over 92% under different setups. In the experiments on real resource-constrained devices, the IDS gets a detection accuracy of 100% in 15 different network topologies. / Sakernas Internet (från engelskans Internet of Things, IoT) blir en del av allt fler människors vardag. Det är ett nätverk som består av resursbegränsade enheter. Numera är det mycket vanligt med tillämpningar av sakernas internet, t.ex. smarta bärbara enheter. På grund av den breda och viktiga tillämpningen av sakernas internet drar säkerheten i sakernas internet också till sig forskningens uppmärksamhet utan tvekan. IoT-nätverk utsätts för olika attacker, så det är nödvändigt att upptäcka attacker för att förbättra IoT-säkerheten, vilket uppnås med hjälp av intrångsdetekteringssystem (IDS). För att bygga ett IDS kan maskininlärning användas som ett effektivt verktyg för att träna intrångsdetekteringsmodeller. Maskininlärningsmetoder förbrukar dock ofta mycket minne och beräkningsresurser, vilket inspirerar till forskning om att genomföra maskininlärningsbaserade IDS på resursbegränsade enheter för IoT-nätverk. Syftet med denna avhandling är att utforma och genomföra en maskininlärningsbaserad IDS för IoT-nätverk. IoT-enheterna är installerade med ett inbäddat operativsystem som heter Contiki. Först skapas ett stort dataset av IoT-nätverk, som täcker många nätverkstopologier. Därefter tränas en klassificerare för intrångsdetektering med hjälp av Random Forests-algoritmen. IDS genomförs genom att integrera den tränade klassificeraren med enheter med Contiki-systemet. Vi utför experiment både i simulering och på riktiga enheter för att utvärdera den föreslagna IDS. Resultaten visar att vårt IDS fungerar bra på Contiki-noder i IoT-nätverk. I experiment baserade på simulering uppnår detektionsnoggrannheten alltid över 92% under olika inställningar. I experimenten på riktiga resursbegränsade enheter uppnår IDS en detektionsnoggrannhet på 100% i 15 olika nätverkstopologier.

IoT cameras can allow users to monitor their space remotely, but consumers are worried about the security implications. Their worries are neither unfounded as vulnerabilities repeatedly have been found in internet connected cameras. Have modern cameras learned from the mistakes of their predecessors? This thesis has performed a case study of a consumer smart camera popular on the Swedish market. The camera was evaluated through a pentest. The evaluation found that the camera’s cloud centric design allowed it to side step issues present in earlier models. However, it was demonstrated that it is possible to detect potentially sensitive events, e.g. when the camera notice motion, by just inspecting the amount of traffic it sends. Other tests were not able to demonstrate vulnerabilities though. Based on these findings it was concluded that the camera were more secure than it’s predecessors, which supports that the market has improved. / Konsumenter kan med IoT kameror på distans överse sin egendom. De är dock oroliga över hur säkra kamerorna är. Denna oro existerar inte utan god anledning. Sårbarheter har upprepade gånger påvisat finnas i internetuppkopplade kameror. Har dagens kameror lärt sig av deras föregångares misstag? Detta examensarbete har testat en smart kamera som är populär på den svenska marknaden. För att fastställa hur säker kameran är genomfördes ett penetrationstest. Undersökning fann att kameran lyckats kringgå tidigare vanliga sårbarheter genom att förlita sig på molnet. Undersökning kunde dock konstatera att en motståndare kan läcka potentiellt känslig information, t.ex. när kameran upptäcker rörelse, bara genom att mäta hur mycket nätverkstrafik kameran sänder. Undersökningen kunde dock inte påvisa andra sårbarheter. Baserat på dessa resultat fann studien att denna kamera är säkrare än sina föregångare, och att detta stödjer tesen att marknaden som helhet förbättrats.

Our world is becoming more and more connected every day. Recently a new trend has taken off: smart homes. As people are investing in making their house connected this usually also includes some type of surveillance, more precisely a camera. A camera inside your home does however raise a question: how secure is it?In this bachelor thesis an investigation of how secure the Google Nest Indoor Camera is was conducted. This camera was chosen because it is relatively cheap compared to other Nest cameras making it more attractive to your average person. In addition, being a camera developed by Google one would expect hefty security. Previous penetration tests did to the contrary however discover several vulnerabilities resulting in media attention across the globe. These factors combined gave us enough reason to conduct our research around this device.A study around how secure the camera is was done. It began with an initial research phase to identify the current most crucial threats. Together with a threat model of the system and earlier research the threats were then summarised in a threat matrix. These were then ranked with DREAD as to delimit the amount of threats further so only the most potentially harmful ones could be investigated further. Penetration tests were then performed.From our study we did not find any evidence of there existing vulnerabilities that could allow an adversary to view the camera feed or access other parts of ones home network through it. Even so, other, perhaps dangerous, vulnerabilities and exploits where found. This includes the ability to learn in which mode the camera is in or prohibit a user from connecting to the camera through Bluetooth. / Vår värld blir mer och mer uppkopplad varje dag. Nyligen har en trend tagit fart: smarta hem. När människor investerar i att göra sitt hus anslutet inkluderar det vanligtvis också någon typ av övervakning, mer exakt en kamera. En kamera i ditt hem lyfter emellertid frågan: hur säker är den? I denna kandidatuppsats genomfördes en undersökning av hur säker Google Nest Indoor Camera är. Denna kamera valdes eftersom den är relativt billig jämfört med andra Nest kameror vilket gör den mer attraktiv för gemene man. Då kameran är utvecklad av Google skulle en dessutom kunna förvänta sig rejäl säkerhet. Tidigare penetrationstest upptäckte tvärtemot flera sårbarheter vilket resulterade i medieuppmärksamhet över hela världen. Dessa faktorer kombinerade gav oss tillräckligt med anledning att genomföra vår kandidatexamen kring denna enhet.En studie kring hur säker kameran är genomfördes. Den inleddes med en forskningsfas för att identifiera de mest avgörande hoten. Tillsammans med en hotmodell av systemet och tidigare forskning summerades hoten i en hotmatris. Dessa rankades sedan med DREAD för att ytterligare begränsa mängden hot så att endast de mest potentiellt skadliga skulle kunna undersökas vidare. Penetrationstest utfördes därefter.Från vår studie hittade vi inga bevis på befintliga sårbarheter som kan göra det möjligt för en tuff motståndare att se kameraflödet eller komma åt andra delar av ens hemnätverk genom den. Trots det hittades andra, kanske farliga, sårbarheter och utnyttjanden. Detta inkluderar möjligheten att lära sig i vilket läge kameran är i eller hindra en användare från att ansluta till kameran via Bluetooth.

Consumer Internet of Things (IoT) has become increasingly popular over the past years and continues to grow with virtual assistants, wearable devices and smart home appliances. Within the consumer IoT market, smart locks have gained popularity. Smart locks offer the consumers a convenient way of handling keys and access to their home. Enabling your front door to be controlled over the internet however, introduces new possibilities for an adversary to brake in. Therefore, the integrity and authenticity of the product must be ensured. This thesis covers a security assessment of a smart lock, focusing on the firmware of the embedded devices as the main assets. Potential threats against obtaining and abusing the firmware are identified by threat modeling. Based on the identified threats, penetration tests are conducted to demonstrate the security of the firmware. The results show that the firmware could not be obtained and that the product constitutes a good example within consumer IoT for how to manage the firmware of embedded devices. / Sakernas internet (IoT) har blivit allt mer populärart under de senaste åren och fortsätter att växa med produkter som virtuella assistenter, bärbara enheter och smarta hushållsapparater. Inom marknaden för IoT-produkter riktat mot konsumenter har smarta lås blivit vanligare. Smarta lås erbjuder konsumenter ett bekvämt sätt att hantera nycklar och tillgång till sina hem. Genom att göra det möjligt att styra ytterdörren via internet introduceras dock nya möjligheter för en attackerare att bryta sig in. Därför måste intergriteten och autenticiteten av produkten säkerställas. Den här examensarbetet omfattar en säkerhetsbedömning av ett smart lås, med fokus på firmware för de inbyggda systemen som huvudtillgångar. Potentiella hot mot att få tag på och missbruka firmware identifieras genom hotmodellering. Baserat på de identifierade hoten genomförs penetrationstester för att utvärdera säkerheten för firmware. Resultaten visar att firmware inte kunde erhållas och att produkten utgör ett bra exempel inom IoT-produkter riktat mot konsumenter för hur man hanterar firmware för inbyggda system.