This thesis presents a comprehensive security analysis of the Server-Server API of the Matrix protocol, providing a detailed examination of its vulnerabilities and contributing a significant body of knowledge to the cybersecurity field. The research focused exclusively on the Server-Server API of the Matrix protocol. Despite the testing of 2 vulnerabilities that did not succeed, the primary contribution of this work lies in the in-depth threat analysis and the identification of 16 critical, yet untested, vulnerabilities that may be probed in future research. The findings reveal that the Matrix protocol’s Server-Server API currently maintains a competent level of security. However, the uncovered vulnerabilities highlight the necessity for continuous and proactive security measures within its ongoing development. The practical implications of the identified vulnerabilities are substantial, with relevance extending to similar APIs in the broader digital communication landscape. The rigorous penetration testing methodology following rigorous standards, coupled with systematic documentation, ensures a trustworthy basis for the study’s conclusions. In essence, this thesis does not only answer the research question by identifying and documenting current security weaknesses within the Server-Server API but also establishes a methodological foundation for future security enhancement initiatives. By doing so, it adds valuable insights to the cybersecurity community, with implications for developers, researchers, and users alike, emphasizing the need for a persistent and vigilant approach to API security in the evolving digital era / Denna avhandling presenterar en omfattande säkerhetsanalys av Server-Server API:et för Matrix-protokollet, och bidrar med en utvärdering av dess sårbarheter och betydande kunskap till cybersäkerhetsområdet. Forskningen fokuserade uteslutande på Server-Server API:et för Matrix-protokollet. Trots penetrationstestningen av två sårbarheter som inte lyckades, ligger det primära bidraget från detta arbete i den djupgående hotanalysen och identifieringen av 16 kritiska, ännu otestade, sårbarheter som kan utforskas i framtida forskning. Resultaten visar att Matrix-protokollets Server-Server API för närvarande upprätthåller en bra säkerhetsnivå. De upptäckta sårbarheterna betonar dock nödvändigheten av kontinuerliga säkerhetsåtgärder inom dess pågående utveckling. De praktiska konsekvenserna av de identifierade sårbarheterna är betydande, med relevans som sträcker sig till liknande API:er i det bredare digitala kommunikationslandskapet. Den noggranna metodiken för penetrationstestning enligt strikta standarder, tillsammans med systematisk dokumentation, säkerställer en tillförlitlig grund för studiens slutsatser. I grund och botten svarar denna avhandling inte bara på forskningsfrågan genom att identifiera och dokumentera nuvarande säkerhetsbrister inom Server-Server API:et utan etablerar också en metodologisk grund för framtida säkerhetsförstärkningsinitiativ. Genom att göra detta tillför den värdefulla insikter till cybersäkerhetsgemenskapen, med implikationer för utvecklare, forskare och användare lika, vilket betonar behovet av en ihärdig och vaksam inställning till API-säkerhet i den utvecklande digitala eran.

In this thesis, we explored the possibility of introducing a few vulnerabilities to a separation kernel to increase its performance. We made modifications to S3K, an open-source separation kernel that is in the final stages of being designed. To test the viability of our modifications we benchmarked both the unmodified and the modified versions and compared the results. We changed the scheduler and the inter-process communication used for time sharing: we introduced side-channel vulnerabilities to allow the modified functionalities to complete their work faster. The changes to the scheduler increased performance notably when having a high scheduling overhead, but not so much with low overhead. The changes to the inter-process communication proved to have limited usefulness, as the default version was already rather quick, and the new version had the drawback of increasing the time needed for scheduling. We also tested our scheduler modifications in the inter-process communication benchmarks. This greatly improved performance in all scenarios, and it made our modifications to the inter-process communication slightly more viable. To see how our results held up in a scenario closer to a real use case we also implemented a simple cryptographic application and designed tests based on it. When we ran the tests with different combinations of including or excluding our modifications we got similar results to our previous benchmarks. Overall, our modifications to the scheduler seem like a promising change to the separation kernel, given that one is willing to introduce the side-channels that come with the changes. The modifications to the inter-process communication on the other hand are more questionable and are likely only useful in specific scenarios. / I detta arbete utforskade vi möjligheten att introducera några sårbarheter till en separationskärna för att öka dess prestanda. Vi modifierade S3K, en separationskärna med öppen källkod som är i slutstadiet av att designas. För att testa hur praktiskt användbara våra modifikationer var så körde vi benchmarks på både den ursprungliga versionen och den modifierade versionen och jämförde resultaten. Vi ändrade schemaläggaren och interprocesskommunikationen som används för att dela tid: sidokanalssårbarheter introducerades för att tillåta de ändrade funktionerna att göra färdigt sina arbeten snabbare. Ändringarna till schemaläggaren visade sig öka prestandan noterbart när man hade en hög schemaläggnings-overhead, men skillnaden var inte så stor med låg overhead. Ändringarna till interprocesskommunikationen visade sig ha begränsad användbarhet, då standardversionen redan var ganska snabb och den nya versionen hade nackdelen att den ökade schemaläggningstiden. Vi testade också våra schemaläggningsmodifikationer i våra benchmarks för interprocesskommunikationen. Detta ökade prestandan mycket i alla scenarion, och gjorde våra modifikationer till interprocesskommunikationen något mer praktiskt användbara. För att se hur våra resultat stod sig i ett mer verkligt scenario så implementerade vi också en simpel kryptografisk applikation, och utformade test runt den. När vi testade olika kombinationer av att inkludera eller exkludera våra modifikationer fick vi liknande resultat som vi fick i tidigare benchmarks. Överlag så verkar våra modifikationer till schemaläggaren lovande, givet att man är villig att introducera de sidokanalssårbarheter som kommer med ändringarna. Modifikationerna till interprocesskommunikationen är dock mer tveksamma, och är sannolikt bara användbara i specifika scenarion.

The use of Open Source Software is becoming more and more popular, but it comes with the risk of importing vulnerabilities in private codebases. Security patches, providing fixes to detected vulnerabilities, are vital in protecting against cyber attacks, therefore being able to apply all the security patches as soon as they are released is key. Even though there is a public database for vulnerability fixes the majority of them remain undisclosed to the public, therefore we propose a Machine Learning algorithm using NLP to detect security patches in Java Open Source Software. To train the model we preprocessed and extract patches from the commits present in two databases provided by Debricked and a public one released by Ponta et al. [57]. Two experiments were conducted, one performing binary classification and the other trying to have higher granularity classifying the macro-type of vulnerability. The proposed models leverage the structure of the input to have a better patch representation and they are based on RNNs, Transformers and CodeBERT [22], with the best performing model being the Transformer that surprisingly outperformed CodeBERT. The results show that it is possible to classify security patches but using more relevant pre-training techniques or tree-based representation of the code might improve the performance. / Användningen av programvara med öppen källkod blir alltmer populär, men det innebär en risk för att sårbarheter importeras från privata kodbaser. Säkerhetspatchar, som åtgärdar upptäckta sårbarheter, är viktiga för att skydda sig mot cyberattacker, och därför är det viktigt att kunna tillämpa alla säkerhetspatchar så snart de släpps. Även om det finns en offentlig databas för korrigeringar av sårbarheter förblir de flesta hemliga för allmänheten. Vi föreslår därför en maskininlärningsalgoritm som med hjälp av NLP upptäcker säkerhetspatchar i Java Open Source Software. För att träna modellen har vi förbehandlat och extraherat patchar från de commits som finns i två databaser, ena som tillhandahålls av Debricked och en annan offentlig databas som släppts av Ponta et al. [57]. Två experiment genomfördes, varav ett utförde binär klassificering och det andra försökte få en högre granularitet genom att klassificera makro-typen av sårbarheten. De föreslagna modellerna utnyttjar strukturen i indatat för att få en bättre representation av patcharna och de är baserade på RNNs, Transformers och CodeBERT [22], där den bäst presterande modellen var Transformer som överraskande nog överträffade CodeBERT. Resultaten visar att det är möjligt att klassificera säkerhetspatchar, men genom att använda mer relevanta förträningstekniker eller trädbaserade representationer av koden kan prestandan förbättras.

Recent supply chain attacks on a larger scale in combination with a growing adoption of the set of automated software development and deployment practices commonly referred to as ’DevOps’, made us interested in the security of the underlying infrastructure supporting these practices. If a malicious commit in a piece of software can expose internal systems and networks of all users of said software to vulnerabilities, questions regarding trust and repudiation becomes central, in the platforms themselves as much as in each digitally signed software update version. GitLab is a DevOps platform that offer an open-source (Community Edition, (CE)) of their application, for anyone to use and even modify to better suit their own needs. Anyone who chooses to use GitLab will as a result thereof also choose to put the trust others put in them in the hands of the open-source community around GitLab. Since any vulnerability in GitLab could affect users or organizations that use software developed and shipped with the help of GitLab, we wanted to try finding one for ourselves. We employed well-known techniques from the ethical hacker playbook (threat modeling, risk assessment) in order to identify candidates for attack vectors, and found GitLab’s GraphQL Application Programming Interface (API) to be a great starting point since it not only was but still is under development, but that the body of previous work seemed to suggest inconsistencies in the business logic layer underneath. Our main findings are: at least two instances where we were able to gain unauthorized access to data within our self-hosted GitLab instance. We also found that a new feature could be used for privilege escalation under certain conditions. We were then able to conclude that open source software and a prolific bug bounty program does not guarantee the security of GitLab, in and of themselves. All findings have been reported to GitLab through their bug bounty program. / Under det senaste decenniet har mjukvaruutvecklande organisationer visat ett tilltagande intresse för de metoder för automatiserade utvecklings- och distributionstekniker som vanligen brukar samlas under termen DevOps. Den trenden taget i kombination med det senaste årets större försörjningskedjeattacker (SolarWinds, Microsoft Exchange Server) gjorde att vi började intressera oss för säkerheten kring den infrastruktur som möjliggör dessa metoder. Om en utvecklare med ont uppsåt lyckas få in en ändring i en mjukvara innan den digitalt signeras och distribueras till mjukvarans användare, kan denne lyckas utnyttja svagheten för att få tillgång till eller modifiera de system och nätverk mjukvaran körs på. Frågor om tillit och avsändarintegritet kring vem som står bakom ett kodavsnitt blir i förlängningen därav oerhört viktiga. GitLab är en DevOps-plattform som erbjuds i en version med öppen källkod, vilken alla kan använda och rent av anpassa för sina egna behov. Att använda GitLab innebär dock att man lämpar över den tillit och säkerhet ens användare lagt i ens händer på de som utvecklar plattformen. Eftersom en enskild sårbarhet i GitLab potentiellt kan påverka ett stort antal aktörer som aldrig själva använt GitLab gjorde att vi ville se efter om även vi kunde hitta en sådan sårbarhet. Vi använde oss av välbekanta metoderi etisk hackning-kretsar (hotmodellering) genom vilka vi identifierade GitLabs GraphQL-Application Programming Interface (API) som en potentiellt gynnsam attackvektor. Detta både eftersom API:t fortsatt är under utveckling och att tidigare forskning antytt logiska brister i applikations-lagret. Arbetet ledde fram till ett par fynd. Vi fick åtkomst till otillåten data vid två tillfällen. Med hjälp av en ny funktionalitet kunde vi under vissa omständigheter utöka en användares behörighet. Vi kunde därmed dra slutsatsen att öppen källkod och ett väletablerat bug bounty-program inte i sig är några garantier för säker mjukvara. Samtliga fynd har rapporterats till GitLab via deras bug bounty-program på plattformen HackerOne.

<p>The web has evolved much through the years. From being a place where author and reader were clearly distinguished, it now invites everyone to take part in the development of both content and technology. Social services are central in what is called Web 2.0. Wikis, blogs and folksonomies are all examples of how the users and their communities are key to the development of services. Collaborative writing, tags and API:s are central. Social services are given an extra dimension through integration. The purpose of this study was to investigate whether it was possible to integrate an encyclopedia with a photosharing service. The issue was whether it was possible to find relevant images to the article they were connected to. The method for examining the issue was to create a service which functions was investigated through user tests. Wickrpedia was created, which is an integration of Wikipedia and Flickr. Wikipedia is an encyclopedia in the shape of a wiki, while Flickr is used to store, organize and share photos. The result shows that the images added someting to the encyclopedia; it became more entertaining and pleasant and the users’ knowledge was increased. The relevance of the images was good. The service can and should be improved. The conclusion is still that the service worked well and was seen as an improvement by the users.</p> / <p>Webben har förändrats mycket de senaste åren. Från att tidigare haft en tydlig uppdelning mellan läsare och författare inbjuds nu alla att delta i utvecklingen av både innehåll och teknik. Sociala tjänster är det centrala i det som benämns Web 2.0. Wikis, bloggar och folksonomies är alla exempel på hur användarna och deras gemenskap är nyckeln till utveckling av tjänster. Kollaborativt skrivande, taggar och API:er är centrala. Sociala tjänster får en ytterligare dimension genom integrering. Denna studies syfte var att utreda hur det gick att integrera ett uppslagsverk med en fotodelningstjänst. Frågan är om det gick att göra på ett sådant sätt att bilderna hade relevans för de artiklar de kopplades till. Metoden för att utreda frågan var att skapa en tjänst vars funktion undersöktes med hjälp av användartester. Wickrpedia skapades, vilket är en intregrering av Wikipedia och Flickr. Wikipedia är en encyklopedi i form av en wiki, medan Flickr används för att förvara, organisera och dela med sig av bilder. Resultatet visar att bilderna tillförde något till uppslagsverket; det blev roligare och trevligare och användarna fick en ökad kunskap. Relevansen hos bilderna var god. Tjänsten har brister, och den går att vidareutveckla. Slutsatsen var ändå att tjänsten fungerade och var en förbättring för användarna.</p>

Ett icke trivialt IP-nätverk består av många noder som är förbundna med varandra genom olika typer av transmissionsmedier. Man kan föreställa sig nätverket som ett moln av noder och förbindelser. Nätverksvisualisering handlar om att kika in i molnet och snabbt få en övergripande bild över de komplexa relationer som finns i det. Genom att skapa nätverkskartor som grafiskt beskriver ett IP-nätverk kan arbetet med att övervaka och felsöka det underlättas. Telenors svenska nätverksövervakning har utvecklat ett system för att automatiskt generera nätverkskartor i formatet SVG. De har ställt frågan om det går att göra dessa interaktiva och koppla ihop dem med befintliga verktygsprogram. Denna rapport visar exempel på tekniker, baserade på öppen källkod och öppna standarder, som kan användas för att utveckla ett system som gör nätverkskartor i dokumentformatet SVG interaktiva i en webbläsare. Problemet att göra nätverkskartorna interaktiva analyseras och olika lösningsalternativ tas fram och jämförs med varandra. Ett system baserat på öppen mjukvara och öppna standarder utvecklas för att visa hur de redovisade teknikerna kan användas i praktiken. Systemets arkitektur beskrivs i tre systemvyer. Nätverkskartorna berikas med bindningar mellan händelser i webbläsaren och JavaScript-funktioner genom att transformera dem med XSLT. Användargränssnittet utgörs av SVG-objekt och JavaScript varifrån det går att asynkront anropa program på en webbserver. Systemet saknar kopplingar till Telenors verktygsprogram. Flera CGI-skript skapas som visar att det från webbservern går att anropa externa program. Det finns inga funktionella begränsningar som hindrar systemet från att kopplas ihop med verktygsprogrammen. Det implementerade systemet kan användas som en grund för att vidareutveckla ett mer komplett system för interaktiv visualisering av IP-nätverk. Systemets funktionalitet avgränsades och har enabart utvecklats för att fungera väl i webbläsaren Firefox. Om systemet ska användas i skarp miljö måste det impementeras stöd för de populäraste webbläsarna. Systemet innehåller inga funktioner rörande säkerhet, till exempel saknas krypterad förbindelse mellan klient och server. Rapporten avslutas med test och utvärdering av systemet och förslag ges på hur det kan förbättras.

För att upptäcka defekta luftmunstycken har Ecco Finishing AB i Skara tagit fram en ny provutrustning som ska ersätta en otillförlitlig och osäker befintlig provmaskin. Ecco Fi-nishing AB vill hitta en tillförlitlig och säker mätmetod som ska mäta mängd vatten i 50 provrör. Examensarbetets övergripande mål är att hitta en noggrann och repeterbar mätmetod för nivåmätning av vätska i provrören. Två mätmetoder utvärderades som är mest lämpliga för nivåmätningen, visionsystem och mätning genom vägning. Anledningen till att valet ham-nade på dessa två mätmetoder är provutrustningens provrör, dels att det är många mätpunkter och för att det är små provrör. Det gjordes tjugo experiment för visionsystem och tjugo ex-periment för vägningsmetod för att utvärdera och beskriva för - och nackdelar. Experimenten av visionsystem och vägning gjordes först i laborationsfas för att sedan testas på företagets befintliga provutrustning. Resultaten av mätningar sparades i ett Excel-ark som användes för att utvärdera insamlade data. Utvärderingarna jämfördes mot uppsatta mål, tillförlitlighet, noggrannhet, repeterbarhet, automatisk rapportering av resultat och tid för mätningen. Vis-ionsystem rekommenderas för fortsatt arbete och implementation på den befintliga provut-rustningen. / To detect defective air nozzles, Ecco Finishing AB in Skara has developed a new test equip-ment to replace an unreliable and uncertain existing test machine. Ecco Finishing AB wants to find a reliable and safe measurement method that will measure the amount of water in 50 test tubes. The overall goal of the thesis is to find a precise and repeatable measurement method for level measurement of fluid in the test tubes. Two measurement methods were evaluated that are most suitable for level measurement, vision systems and measurement by weighing. The reason for the choice of these two measurement methods is the test tubes of the test equipment, and that there are many measuring points and because of the small test tubes. Twenty experiments for vision systems and twenty experiments for weighing method were made to evaluate and describe pros and cons. The experiments of vision systems and weighing were first made in the laboratory phase and then tested on the company's existing test equipment. The results of measurements were saved in an Excel sheet used to evaluate collected data. The evaluations were compared to set goals, reliability, accuracy, repeatabil-ity, automatic reporting of results and time of measurement. Vision systems are recom-mended for continued work and implementation on the existing test equipment.

As cloud-native applications become more distributed, complex, and unpredictable with the adoption of microservices and other new architectural components, traditional monitoring solutions are inadequate in providing end-to-end visibility and proactively identifying deviations from expected behaviour before they become disruptive to services. In response to these challenges, observability-driven development (ODD) is proposed as a new methodology that leverages tools and practices to observe the state and detect the behaviour of systems. Unlike the leading IT giants developing their proprietary tools and platforms, some non-IT companies and smaller organizations still have difficulty adopting observability-driven development. Proprietary development demands extensive resources and manpower, while connecting to third-party platforms may compromise data security. This thesis proposed an end-to-end observability pipeline that is composed of merely open-source components. The pipeline collects and correlates metrics, logs, and traces to facilitate software development and help troubleshoot in production. The pipeline is designed to be adaptive and extensible so that companies can adopt it as the first step towards observability-driven development, and customize it to meet their specific requirements. / Molnbaserade applikationer blir alltmer distribuerade, komplexa och oförutsägbara med införandet av mikrotjänster och andra nya arkitektoniska komponenter. Detta resulterar i att traditionella övervakningslösningar blir alltmer inadekvata. De traditionella lösningarna tillhandahåller inte tillräcklig överskådlighet över dessa applikationer (end-to-end) för proaktiv identifiering av avvikelser från förväntat beteende innan de börjar påverka tjänsterna negativt. Som svar på dessa utmaningar föreslås observerbarhetsdriven utveckling (ODD) som en ny metod som utnyttjar verktyg och praxis för att observera tillståndet och upptäcka systemens beteende. Till skillnad från de ledande IT-jättarna som utvecklar sina egna verktyg och plattformar, har vissa icke-IT-företag och mindre organisationer fortfarande svårt att ta till sig observerbarhetsdriven utveckling. Egenutvecklad mjukvara kräver omfattande resurser och arbetskraft, medan anslutning till tredjepartsplattformar kan äventyra datasäkerheten. Den här avhandlingen bidrar med en end-to-end lösning som enbart baserats på öppen källkod. Pipelinen samlar in data från loggar och korrelerar dessa mätvärden för att underlätta mjukvaruutveckling och hjälpa till att felsöka i produktionen. Pipelinen är designad för att vara anpassningsbar och utvidgningsbar så att företag kan använda den som ett första steg mot observerbarhetsdriven utveckling och anpassa den för att möta deras specifika krav.

With a constant increase of the datasphere so does the need for proper management of this data in order to minimise potential inefficiencies when it comes to the usage of this data. Geodata is no exception to the need of management.  The purpose of this thesis was to investigate the current challenges of geodata management in Swedish companies and public authorities through qualitative analysis by interviews. Geodata- and GIS-users from the public and private sector made up the pool of interviewees and a total of 20 interviews were conducted. Despite a large diversity of daily tasks at hand, from data transfer for a customer in a system change process to updating attributes in NIS tools, all of the interviewees had some degree of challenges with respect to management of geodata. The results showed that the main challenges regarded inadequate or lack of quality geodata and its metadata as well as clarity of the location of these datasets. Scarcity of common understanding of geodata and GIS-systems among colleagues of geodata- and GIS-users causes these colleagues to often deliver incorrect, poorly formatted or low quality geodata and metadata. A large number of geodata file formats also contributes to confusion amongst geodata- and GIS-users and non-users which directly and indirectly causes some inefficiency. It was determined that the challenges of geodata management are highly abundant in the Swedish public and private sector. Furthermore, it was evaluated that the possible solutions would be to simplify geodata with less file formats as well as better and more clear coordination at organisational levels. Educating non-geodata and GIS-users in the workforce as well as in higher educational institutions that have majors related to geodata was also suggested as a possible solution to minimise challenges.

The IT sector is in constant change and new IT emerges constantly. This enables organizations to adopt new IT at a correspondingly rapid pace. Nonetheless, it is not certain that the adoption of new IT contributes positively to the organization’s existing application portfolio. Hence, the purpose of this study is to provide insights to how organizations adopt IT and the factors that are important to ensure positive effects from adopting new IT. A case study, consisting of semi-structured interviews, was conducted on a Norwegian governmental organization. The majority of current literature on the field are describing IT adoption for commercial for-profit organizations. Since the case-organization is a governmental organization, this study will also aspire to investigate how that influence IT adoption. The empirical findings of this study show that there is a purpose of having a strategy for adopting new IT to an existing application portfolio. A framework describing the adoption process and factors of importance for successfully adopting new IT is provided. Also, the empirical findings show that being a governmental organization does not influence the adoption of IT significantly. However, the findings show that other aspects of each individual organization can have more significant influence on the adoption process. / IT-sektorn är i ständig förändring och ny IT blir ständigt tillgänglig. Detta gör det möjligt för organisationer att ta sig an ny IT i motsvarande snabba takt. Det är dock inte säkert att implementering av ny IT bidrar positivt till organisationens befintliga applikationsportfölj. Därför är syftet med denna studie att ge insikt om hur organisationer tar sig an IT och de faktorer som är viktiga för att säkerställa positiva effekter från adoption av ny IT. En fallstudie, bestående av semi-strukturerade intervjuer genomfördes på en norsk statlig organisation. Majoriteten av befintlig litteratur inom fältet beskriver IT-adoption för kommersiella vinstdrivande organisationer. Eftersom fallstudieorganisationen är en statlig organisation kommer denna studie också att undersöka hur det påverkar IT-adoption i organisationen. De empiriska resultaten från denna studie visar att det finns ett syfte med en strategi för att adoptera ny IT till en befintlig applikationsportfölj. Ett ramverk som beskriver adoptionsprocessen och faktorer som är viktiga för en framgångsrik adoptionsprocess av ny IT finns framtaget. De empiriska resultaten visar också att det att vara en statlig organisation inte påverkar adoption av IT i särskilt hög grad. Resultaten visar dock att andra aspekter av varje enskild organisation kan ha mer inflytande på adoptionsprocessen.