I dagens samhälle där tillgången till information är nästintill obegränsad och nätverkfinns överallt ökar kraven på IT-säkerhet. Gratis programvaror och information omhur man använder dessa finns enkelt tillgängliga för vem som helst på Internet idag.Då många av dessa programsviter har full support och de är mycket användarvänligainnebär det också att fler kan utföra intrång och attacker mot olika IT-miljöer utanatt behöva inneha expertis inom området. Ett hjälpmedel mot dessa hot ärpenetrationstesting, där man kan identifiera eventuella brister och sårbarheter i ettgivet IT-system.Den här rapportens mål har varit att utreda om Örkelljunga Utbildningscentrums ITsäkerhetstår i proportion till känsligheten på informationen som de innehar ochbehandlar.Detta har gjorts genom ett penetrationstest, där man på plats har skannat skolansnätverk efter sårbarheter och möjliga intrångsvägar.Därefter har sårbarheterna utvärderats och rankats efter hur kritiska de anses varaoch utifrån detta teoretiskt bevisat hur man som attackerare hade kunnat gå till vägaför att komma åt eller förstöra känslig information.Resultaten visade på ett flertal kritiska brister som vid närmare analys hade kunnatutnyttjas för att ta sig in i systemet och eventuellt komma åt känslig information.Slutsats blev därför att Örkelljunga Utbildningscentrums IT-miljö för närvarande intehar tillräcklig säkerhet i proportion till känsligheten på information som de innehar.

Consumer Internet of Things (IoT) has become increasingly popular over the past years and continues to grow with virtual assistants, wearable devices and smart home appliances. Within the consumer IoT market, smart locks have gained popularity. Smart locks offer the consumers a convenient way of handling keys and access to their home. Enabling your front door to be controlled over the internet however, introduces new possibilities for an adversary to brake in. Therefore, the integrity and authenticity of the product must be ensured. This thesis covers a security assessment of a smart lock, focusing on the firmware of the embedded devices as the main assets. Potential threats against obtaining and abusing the firmware are identified by threat modeling. Based on the identified threats, penetration tests are conducted to demonstrate the security of the firmware. The results show that the firmware could not be obtained and that the product constitutes a good example within consumer IoT for how to manage the firmware of embedded devices. / Sakernas internet (IoT) har blivit allt mer populärart under de senaste åren och fortsätter att växa med produkter som virtuella assistenter, bärbara enheter och smarta hushållsapparater. Inom marknaden för IoT-produkter riktat mot konsumenter har smarta lås blivit vanligare. Smarta lås erbjuder konsumenter ett bekvämt sätt att hantera nycklar och tillgång till sina hem. Genom att göra det möjligt att styra ytterdörren via internet introduceras dock nya möjligheter för en attackerare att bryta sig in. Därför måste intergriteten och autenticiteten av produkten säkerställas. Den här examensarbetet omfattar en säkerhetsbedömning av ett smart lås, med fokus på firmware för de inbyggda systemen som huvudtillgångar. Potentiella hot mot att få tag på och missbruka firmware identifieras genom hotmodellering. Baserat på de identifierade hoten genomförs penetrationstester för att utvärdera säkerheten för firmware. Resultaten visar att firmware inte kunde erhållas och att produkten utgör ett bra exempel inom IoT-produkter riktat mot konsumenter för hur man hanterar firmware för inbyggda system.

Idag blir det vanligare och vanligare att system såsom kameror eller kylskåp är eller har kapabiliteten att vara anslutna till internet och kommunicera över nätet av sig själva, så kallade IoT-system. Att ett system är anslutet till internet innebär att risken för angrepp på systemet ökar, och att systemet, om infekterat, har potentialen att kommunicera med omvärlden för att exempelvis utföra denial-of-service-attacker. Detta examensarbete undersöker säkerheten hos en internetansluten kamera (IP-kamera). Målet är att identifiera sårbarheter, och om möjligt, utveckla angrepp som utnyttjar sårbarheter hos kameran, för att testa säkerheten hos systemet. Resultatet visar att systemet är sårbart för ett antal olika angrepp, främst man-in-the-middle och cross-site-request-forgery. / Today systems such as cameras or fridges with the capability of being connected to the internet and communicating without human intervention are becoming increasingly common, so called IoT-systems. A system being connected to the internet means that the system’s attack surface is increased, and the system can, if infected, be used by the attacker to communicate with the outside world to perform denial-of-service- or other types of attacks. This thesis examines the security of an internet connected security camera, (IP-camera). The aim is to identify vulnerabilities in the system, and if possible to develop attacks that exploit these vulnerabilities in the goal of evaluating the security of the system. The results show that the system is vulnerable to some attacks, mainly including man-in-the-middle aswell as cross-site-request-forgery based attacks.

This thesis presents a comprehensive security analysis of the Server-Server API of the Matrix protocol, providing a detailed examination of its vulnerabilities and contributing a significant body of knowledge to the cybersecurity field. The research focused exclusively on the Server-Server API of the Matrix protocol. Despite the testing of 2 vulnerabilities that did not succeed, the primary contribution of this work lies in the in-depth threat analysis and the identification of 16 critical, yet untested, vulnerabilities that may be probed in future research. The findings reveal that the Matrix protocol’s Server-Server API currently maintains a competent level of security. However, the uncovered vulnerabilities highlight the necessity for continuous and proactive security measures within its ongoing development. The practical implications of the identified vulnerabilities are substantial, with relevance extending to similar APIs in the broader digital communication landscape. The rigorous penetration testing methodology following rigorous standards, coupled with systematic documentation, ensures a trustworthy basis for the study’s conclusions. In essence, this thesis does not only answer the research question by identifying and documenting current security weaknesses within the Server-Server API but also establishes a methodological foundation for future security enhancement initiatives. By doing so, it adds valuable insights to the cybersecurity community, with implications for developers, researchers, and users alike, emphasizing the need for a persistent and vigilant approach to API security in the evolving digital era / Denna avhandling presenterar en omfattande säkerhetsanalys av Server-Server API:et för Matrix-protokollet, och bidrar med en utvärdering av dess sårbarheter och betydande kunskap till cybersäkerhetsområdet. Forskningen fokuserade uteslutande på Server-Server API:et för Matrix-protokollet. Trots penetrationstestningen av två sårbarheter som inte lyckades, ligger det primära bidraget från detta arbete i den djupgående hotanalysen och identifieringen av 16 kritiska, ännu otestade, sårbarheter som kan utforskas i framtida forskning. Resultaten visar att Matrix-protokollets Server-Server API för närvarande upprätthåller en bra säkerhetsnivå. De upptäckta sårbarheterna betonar dock nödvändigheten av kontinuerliga säkerhetsåtgärder inom dess pågående utveckling. De praktiska konsekvenserna av de identifierade sårbarheterna är betydande, med relevans som sträcker sig till liknande API:er i det bredare digitala kommunikationslandskapet. Den noggranna metodiken för penetrationstestning enligt strikta standarder, tillsammans med systematisk dokumentation, säkerställer en tillförlitlig grund för studiens slutsatser. I grund och botten svarar denna avhandling inte bara på forskningsfrågan genom att identifiera och dokumentera nuvarande säkerhetsbrister inom Server-Server API:et utan etablerar också en metodologisk grund för framtida säkerhetsförstärkningsinitiativ. Genom att göra detta tillför den värdefulla insikter till cybersäkerhetsgemenskapen, med implikationer för utvecklare, forskare och användare lika, vilket betonar behovet av en ihärdig och vaksam inställning till API-säkerhet i den utvecklande digitala eran.