Connected devices have become an integral part of life in modern society. In the industry, several tasks have been automatized and are now performed by robots, a development that is called Industry 4.0. Robotics are breaking new ground, and autonomous underwater vehicles (AUVs) will enable the exploration and exploitation of areas previously inaccessible. The underwater robots are therefore expected to be deployed at scale in our seas for commercial and military purposes. This will make them a target for malicious actors to exploit security issues in the AUVs. It has previously been reported that robot developers often down-prioritize security and that leading robotics frameworks have severe vulnerabilities. This thesis aims to assess the security of a modern AUV, SAM, by the Swedish Maritime Robotics Center. The goal was to determine if it is vulnerable to attacks common in robots and connected vehicles and to find out what cyber threats exist to underwater vehicles. The method in this project was ethical hacking through a penetration test. It included creating a threat model for the robot and vulnerability analysis. Several vulnerabilities were selected for exploitation to determine and demonstrate how an attacker could abuse them. The result showed that several vulnerabilities were exploitable, and SAM was considered insecure. The project's direct impact is that it provides SMaRC with advice on how to improve the security of its vehicle and the security practices in its development team. Underwater robotics is still a novel field, and there needs to be more research published on threats to robots. As a result, the threat model and vulnerability analysis can be a good guideline for another security researcher pentesting an AUV or a developer team looking to improve the security of their robots. / Uppkopplade enheter har blivit en integrerad del av livet i det moderna samhället. Inom industrin har flera uppgifter automatiserats och utförs nu av robotar, en utveckling som kallas Industri 4.0. Robotik bryter ny mark, och autonoma undervattensfordon kommer att möjliggöra utforskning och exploatering av områden som tidigare var otillgängliga. Undervattensrobotar förväntas därför användas i stor skala i våra hav för kommersiella och militära ändamål. Detta kommer att göra dem till ett mål för illasinnade aktörer. Tidigare har det rapporterats att robotutvecklare ofta nedprioriterar säkerheten och att ledande ramverk för robotar har allvarliga sårbarheter. Därför syftar denna avhandling till att bedöma säkerheten hos en modern undervattensrobot, SAM, av Swedish Maritime Robotics Center. Målet var att avgöra om den är sårbar för attacker som är vanliga inom robotar och uppkopplade fordon och att ta reda på vilka säkerhetshot som finns mot undervattensfordon. Metoden i detta projekt var etiskt hackande genom ett penetrationstest. Det innefattade att skapa en hotmodell och sårbarhetsanalys för roboten. Flera sårbarheter valdes för att avgöra om och visa hur en angripare kan utnyttja dem. Resultatet visar att flera sårbarheter var exploaterbara och att SAM betraktades som osäker. Den direkta effekten av projektet är att det ger SMaRC råd om hur de kan öka säkerheten hos sitt fordon och förbättra säkerhetspraxis i sitt utvecklingsteam. Undervattensrobotik är fortfarande ett nytt område, och det behövs mer forskning som undersöker hot mot robotarna. Därför kan hotmodellen och sårbarhetsanalysen vara riktlinjer för en annan säkerhetsforskare som utför penetrationstestning på en AUV eller ett utvecklingsteam som vill förbättra säkerheten hos sina robotar.

In today’s digital landscape, maintaining the integrity of source code is crucial for delivering reliable and trustworthy software solutions. However, the increasing prevalence of attacks targeting source code repositories and version control systems (VCSs) poses significant challenges to source code integrity. Unauthorized access to source code repositories can lead to various security risks, including the introduction of malicious code or unauthorized approvals for pull requests. Security measures implemented on the remote server hosting the repository are typically insufficient to detect these types of attacks, resulting in changes potentially remaining undetected and becoming part of the deployed artifact. To address those issues, this study proposes GitBark, a framework that employs cryptographic methods to verify the integrity of a source code repository. GitBark achieves this by enforcing rules and policies on the commits made to the repository. Specifically, the study demonstrates that by formulating rules that utilize digital signatures, GitBark can effectively identify unauthorized changes and approvals. Moreover, GitBark prioritizes maintaining the local repository in a consistent and trustworthy state, reducing reliance on the remote server. Even if changes violating established rules are introduced to the remote repository, GitBark prevents their integration into the local repository. Consequently, users of GitBark can have confidence that their local repository remains a consistent and trustworthy version of the source code, without needing to place full trust on a remote server. An evaluation of GitBark, along with the devised rules, demonstrates its effectiveness in mitigating the threats identified in this study. Additionally, in terms of performance, GitBark incurs a modest overhead, both in time and storage. / I dagens digital värld, så är det viktigare än någonsin att källkodens integritet upprätthålls. Detta är kritiskt för att kunna leverera tillförlitlig och kvalitativ mjukvara. Den ständigt ökade förekomsten av attacker som riktar sig mot källkodsrepon och versionshanteringssystem gör dock upprätthållandet av källkodens integritet svårt. Obehörig åtkomst till källkodsrepo ger upphov till flera säkerhetsrisker såsom inkluderandet av skadlig kod eller obehöriga godkännanden av nya ändringar. De säkerhetsåtgärder som finns implementerade på värdserven där källkodsrepot lagras kan generellt sätt inte detektera dessa typer av attacker, vilket resulterar i att dessa typer av ändringar oftast förblir oupptäckta. För att adressera dessa problem, så presenterar denna studie GitBark, ett verktyg som utnyttjar kryptografiska medel för att verifiera integriteten av ett källkodsrepo. GitBark gör detta genom att kräva regler för commits som görs till källkodsrepot och validera att de upprätthålls. Mer specifikt, så visar att studien att genom att formulera regler som uttnyttjar digitala signaturer så kan GitBark effektivt identifiera oauktoriserade ändringar och godkännanden. Dessutom, prioriterar GitBark att alltid bibehålla det lokala källkodsrepot i ett konsekvent och trovärdigt tillstånd, för att minska beroendet på en remoteserver. Även ifall ändringar som inte uppfyller reglerna introduceras på remote-källkodsrepot så ser GitBark till att dessa ändringar aldrig integreras i det lokala repot. Följaktligen så kan användare av GitBark känna sig säkra i att det lokala källkodsrepot alltid förblir i ett konsekvent och trovärdigt tillstånd i relation till dem etablerade reglerna, utan att behöva förlita sig på en remoteserver. En evaluering av GitBark, tillsammans med de skapade reglerna påvisar dess effektivitet i att adressera de identifierade hoten i denna studie. Dessutom, vad gäller prestanda så har GitBark en liten påverkan både i tid och utrymme.

Power systems in the industry today are adopting automated substations because of a growing trend of digitization. Substation automation has greatly reduced intervention from human as well as operation and maintenance costs. Although it has brought benefits, new challenges arise regarding security vulnerabilities, which can be opportunities for attackers to damage whole systems and eavesdrop communication. To keep the automated substations secure and free from attackers, threat modeling is one of the alternative methods that can be used to do attack simulation and assess the security of systems. KTH has developed Meta Attack Language, a framework for constructing domain specific languages in which threat models can be produced, based on which attack graphs will be created and attacks can be simulated. It is a framework for developers that eases them to generate attack graphs with new languages. Meta Attack Language has been applied to various of domains by now, such as In-vehicle Network and Amazon Web Services. This thesis is carried out in ABB, extending the previous work of SCLLang and ABB’s existing security assessment tool, and doing threat modeling specifically for substation automation. The final threat model is used to assess the security of products in ABB, which will also serve as a basis for further extension for the company. / Energisystemen i industrin i dag antar automatiserade transformatorstationer på grund av en växande tendens till digitalisering. Automatisering av transformatorstationer har väldigt minskat interventionen från såväl mänskliga som drifts-och underhållskostnader. Även om det har medfört fördelar uppstår nya utmaningar när det gäller säkerhetsmässiga sårbarheter, vilket kan ge möjligheter för angripare att fördärva hela system och tjuvlyssna kommunikation. För att hålla de automatiserade transformatorstationerna säkra och fria från angripare är hotmodell en av de alternativa metoder som kan användas för att utföra attacksimulering och bedöma systemens säkerhet. KTH har utvecklat Meta Attack Language, en ram för att konstruera domänspecifika språk där hotmodeller kan framställas, på grund av vilka attackgraf kommer att skapas och angrepp kan simuleras. Det är en ram för utvecklare som underlättar för dem att skapa attackgraf med nya språk. Meta Attack Language har tillämpats på olika dömäner vid det här laget, såsom fordons-IT och Amazon Web Services. Avhandlingen genomförs hos ABB, som utvidgar SCLLang och ABB:s tidigare arbete med det befintliga säkerhetsbedömningsverktyget, och gör hotmodeller särskilt för automatisering av transformatorstationer. Den sista hotmodellen används för att bedöma säkerheten av produkter hos ABB, som också kommer att tjäna som grund för ytterligare utvidgning av företaget.

Security research is beneficial for companies that want their system protected against threats to their business. The focus of this project is on security considerations. These considerations are with regards to when companies want to evaluate the benefits of extracting microservices from their monolithic system. The problem with this task is that extracting microservices have potential effects on security. Changing a systems design could lead to potential security risks which need to be considered. This type of problem is on a high difficulty level because of the amount of abstraction and research required to analyze the system regarding the security aspect. Since the problem requires abstractions and analysis of the system both pre and post-extraction it also becomes a big task to complete. The problem is solved with threat modeling and also by using the National Institute of Standards and Technology guidelines and by measuring The Common Misuse Scoring System scores and Return Of Security Investment costs. The results show an increase in security by allowing a function to become a microservice. The increase mainly came from how access changes with the extracted service. The result also showcased that movements towards the cloud meant more security regarding access when compared to the system before a microservice was extracted. The reasoning being that cloud services could provide more access control surface for functions. With the results, the host company and companies with similar software architecture can see how a function will affect security if extracted into a microservice. Further research should be conducted upon a larger pool of microservices. These should then be examined if the trend of security increase keeps occurring. The results can be further examined with penetration testing which puts more practical work upon the theoretical work that was done in this thesis. The research also showcases the adaptability of the National Institute of Standards and Technology guides steps and how similar research regarding security comparisons can be made. / Säkerhetsforskning är essentiellt för företag som vill skydda sig emot attacker som kan skada deras affärsverksamhet. Med detta i åtanke så fokuserar detta projektet på att undersöka överväganden gällande säkerhet när det kommer till att extrahera mikrotjänster från en monolitisk struktur. Att ändra i ett företags system kan potentiellt påverka säkerheten vilket är ett scenario vars effekter måste säkerhetsklassas. Detta säkerhetsproblemet är ett svårt problem att tackla på grund av mängden abstraktion som behövs göras och även på grund av perspektivet som behövs appliceras på abstraktionen. Då abstraktioner behövs göras på företagets system innan och efter en extraktion är utförd innebär det också att problemet är tidskrävande. Rapporten tacklar problemen genom att använda sig av hotmodellering, specifikt National Institute of Standards and Technology guide i hur man utför hotmodellering. NIST har också ett system för att ge värden till attacker som kallas The Common Misuse Scoring System vilket används i projektet för att producera jämförbara mätvärden. Projektet jämför också beräkningar gällande avkastning på säkerhetsinvesteringar. Resultaten visade att molntjänster kan erbjuda mer säkerhet. Med hjälp av resultaten kan Indicio Technologies AB och företag med samma struktur se hur extrahering av en funktion kan påverka säkerheten. Liknande forskning rekommenderas att utföras på större företag där det finns flera färdiga mikrotjänster. En större mängd av mikrotjänster kan bli utvärderade med samma princip som i denna rapport för att se ifall man alltid kan se en ökning av säkerhet. Rapportens resultat kan undersökas vidare med hjälp av praktiska metoder såsom penetrationstestning där mera praktiskt arbete blir utfört på den teoretiska grund som var satt i denna rapporten. Rapporten visade också på en anpassningsförmåga för National Institute of Standards and Technology guiden.

Recent supply chain attacks on a larger scale in combination with a growing adoption of the set of automated software development and deployment practices commonly referred to as ’DevOps’, made us interested in the security of the underlying infrastructure supporting these practices. If a malicious commit in a piece of software can expose internal systems and networks of all users of said software to vulnerabilities, questions regarding trust and repudiation becomes central, in the platforms themselves as much as in each digitally signed software update version. GitLab is a DevOps platform that offer an open-source (Community Edition, (CE)) of their application, for anyone to use and even modify to better suit their own needs. Anyone who chooses to use GitLab will as a result thereof also choose to put the trust others put in them in the hands of the open-source community around GitLab. Since any vulnerability in GitLab could affect users or organizations that use software developed and shipped with the help of GitLab, we wanted to try finding one for ourselves. We employed well-known techniques from the ethical hacker playbook (threat modeling, risk assessment) in order to identify candidates for attack vectors, and found GitLab’s GraphQL Application Programming Interface (API) to be a great starting point since it not only was but still is under development, but that the body of previous work seemed to suggest inconsistencies in the business logic layer underneath. Our main findings are: at least two instances where we were able to gain unauthorized access to data within our self-hosted GitLab instance. We also found that a new feature could be used for privilege escalation under certain conditions. We were then able to conclude that open source software and a prolific bug bounty program does not guarantee the security of GitLab, in and of themselves. All findings have been reported to GitLab through their bug bounty program. / Under det senaste decenniet har mjukvaruutvecklande organisationer visat ett tilltagande intresse för de metoder för automatiserade utvecklings- och distributionstekniker som vanligen brukar samlas under termen DevOps. Den trenden taget i kombination med det senaste årets större försörjningskedjeattacker (SolarWinds, Microsoft Exchange Server) gjorde att vi började intressera oss för säkerheten kring den infrastruktur som möjliggör dessa metoder. Om en utvecklare med ont uppsåt lyckas få in en ändring i en mjukvara innan den digitalt signeras och distribueras till mjukvarans användare, kan denne lyckas utnyttja svagheten för att få tillgång till eller modifiera de system och nätverk mjukvaran körs på. Frågor om tillit och avsändarintegritet kring vem som står bakom ett kodavsnitt blir i förlängningen därav oerhört viktiga. GitLab är en DevOps-plattform som erbjuds i en version med öppen källkod, vilken alla kan använda och rent av anpassa för sina egna behov. Att använda GitLab innebär dock att man lämpar över den tillit och säkerhet ens användare lagt i ens händer på de som utvecklar plattformen. Eftersom en enskild sårbarhet i GitLab potentiellt kan påverka ett stort antal aktörer som aldrig själva använt GitLab gjorde att vi ville se efter om även vi kunde hitta en sådan sårbarhet. Vi använde oss av välbekanta metoderi etisk hackning-kretsar (hotmodellering) genom vilka vi identifierade GitLabs GraphQL-Application Programming Interface (API) som en potentiellt gynnsam attackvektor. Detta både eftersom API:t fortsatt är under utveckling och att tidigare forskning antytt logiska brister i applikations-lagret. Arbetet ledde fram till ett par fynd. Vi fick åtkomst till otillåten data vid två tillfällen. Med hjälp av en ny funktionalitet kunde vi under vissa omständigheter utöka en användares behörighet. Vi kunde därmed dra slutsatsen att öppen källkod och ett väletablerat bug bounty-program inte i sig är några garantier för säker mjukvara. Samtliga fynd har rapporterats till GitLab via deras bug bounty-program på plattformen HackerOne.

Obemannade luftfarkoster, även kallade drönare, är del av IoT-revolutionen och har uppmärksammats de senaste åren på grund av integritetsfrågor såväl som flygplats- och militär säkerhet. Då de kan flyga samt har implementerat en ökande mängd teknologi, särskilt kamera och annan övervakning, är de attraktiva måltavlor för hackers och penetrationstestare. Ett antal attacker har genomförts i närtid. I detta examensarbete utforskas och attackeras drönaren Parrot ANAFI genom att använda hotmodellering ur ett black box-perspektiv. Hotmodelleringen inkluderar hotidentifiering med STRIDE samt riskvärdering med DREAD. Inga stora svagheter i systemet hittades. Rapporten visar att tillverkaren har en stor säkerhetsmedvetenhet. Exempel på denna medvetenhet är att tidigare rapporterade svagheter har åtgärdats och programkoden har förvrängts. Metoderna och de funna resultaten kan användas för att vidare utforska svagheter i drönare och liknande IoT-enheter. / Unmanned aerial vehicles, commonly known as drones, are part of the IoT revolution and have gotten some attention in recent years due to privacy violation issues as well as airport and military security. Since they can fly and have an increasing amount of technology implemented, especially camera and other surveillance, they are attractive targets for hackers and penetration testers. A number of attacks have been carried out over the years. In this thesis the Parrot ANAFI drone is explored and attacked using threat modeling from a black box perspective. The threat modeling includes identifying threats with STRIDE and assessing risks with DREAD. Major vulnerabilities in the system were not found. This report shows that the manufacturer has a high security awareness. Examples of this awareness are that previously reported vulnerabilities have been mitigated and firmware code has been obfuscated. The methods used and results found could be used to further explore vulnerabilities in drones and similar IoT devices.

The market of Android applications is huge, and in 2019, Google Play users worldwide downloaded 84.3 billion mobile applications. With such a big user base, any security issues could have big negative impacts. That is why penetration testing of Android applications is important and it is also why Google has a bug bounty program where people can submit vulnerability reports on their most downloaded applications. The aim of the project was to assess the security of Android applications from the Google Play Security Reward Program by performing penetration tests on the applications. A threat model of Android applications was made where potential threats were identified. A choice was made to focus on the Spotify Application for Android where threats were given ratings based on risks associated with them in the context of the Spotify Application. Penetration tests were made where testing depth was determined by the ratings associated with the attacks.The results of the tests showed that the Spotify Application is secure, and no test showed any real possibility of exploiting the application. The perhaps biggest potential exploit found is a Denial of Service attack that can be made through a malicious application interacting with the Spotify application. The result doesn’t guarantee that the application isn’t penetrable and further testing is needed to give the result more reliability. The methods used in the project can however act as a template for further research into both Spotify and other Android applications. / Marknaden för Android applikationer är enorm och 2019 laddade Google Play användare ner 84.3 miljarder mobil-applikationer. Med en så stor användarbas kan potentiella säkerhetsproblem få stora negativa konsekvenser. Det är därför penetrationstest är viktiga och varför Google har ett bug bounty program där folk kan skicka in sårbarhetsrapporter för deras mest nedladdade applikationer. Målet med projektet är att bedöma säkerheten hos Android applikationer från Google Play Security Reward Program genom utförande av penetrationstester på applikationerna. En hotmodell över Android applikationer skapades, där potentiella hot identifierades. Ett val att fokusera på Spotify för Android gjordes, där hot gavs rankingar baserat på riskerna associerade med dem i kontexten av Spotify applikationen. Penetrationstest gjordes med testdjup avgjort av rankingarna associerade med attackerna.Resultatet av testen visade att Spotify applikationen var säker, och inga test visade på några riktiga utnyttjningsmöjligheter av applikationen. Den kanske största utnyttjningsmöjligheten som hittades var en Denial of Service-attack som kunde göras genom en illvillig applikation som interagerar med Spotify applikationen. Resultaten garanterar inte att applikationen inte är penetrerbar och fortsatt testande behövs för att ge resultatet mer trovärdighet. Metoderna som användes i projektet kan i alla fall agera som en mall för fortsatt undersökning av både Spotify såväl som andra Android applikationer.

IT system intrusions are a problem today and the belief that all you need is a strong outer defense has faded. Today continuous monitoring of the IT infrastructure is widespread and alerts are continuously investigated. The clarity of what caused the alert will vary from a clear brute-force attempt to something more sophisticated that could be perceived as normal activity. The investigation of these alerts can bring clarity or in the worst case dismiss a legit intrusion as some system event or user action. The risk should vary depending on how easy or hard an intrusion is to detect, investigate, and for how long the artifacts will remain on a system. By investigating if different attacks carry different risks it should be possible to use this in a tool like threat modeling. The detection risk that different attacks carry can affect where a defender should spend their resources and provides awareness of the types of attack that they are especially vulnerable to. An environment is set up where an attacker targets a victim with chosen attacks and each attack step is forensically investigation with open-source tools. In this forensic investigation logs, files, active tasks, and network connections are investigated. In the end, the results indicate that it is possible to conclude that different attacks carry different risks. Three grading parameters are suggested based on this work, and these parameters could be used in a threat modeling implementation. / Idag är intrång in i IT system ett problem och idén om att det räcker med ett stark yttre försvars är passé. Kontinuerlig övervakning av IT system är nu vanligt och varningar som uppstår är undersökta. Vad som orsakade varningen kan varierar från rätt uppenbara saker så som brute force attacker till mer sofistikerade attacker som kan antas vara normal aktivitet. Att undersöka varningarna kan ge klarhet i vad som hänt eller i värsta fall avvisa ett intrång som någon systemhändelse eller användarhandling. Risken borde variera beroende på hur enkelt det är att upptäcka, undersöka och hur länge som artefakterna finns kvar på systemet. Genom att undersöka om olika attacker kommer med olika risker så borde det vara möjligt att använda denna kunskap inom ett verktyg så som hot modellering. Med denna kunskapen kan försvarare lättare spendera sina resurser där de behövs mest och vara medvetna om vilka attacker de är extra sårbara för. Genom att sätta upp en miljö där en anfallare attackerar ett offer med förbestämda attacker och efter varje attacksteg genomföra en forensisk undersökning med open-source verktyg. Där loggar, filer, aktiva processer och nätverks uppkopplingar undersöks. Resultaten pekar efter detta på att det är går att anta att olika attacker kommer med olika risknivåer. Baserat på detta arbetet så föreslås tre stycken klassificeringspunkter som kan användas inom till exempel hotmodellering.

There are serious security risks with the growing use of IoT devices. Historically, manufacturers prioritized profit over security due to high demand, a perspective that has evolved but remains a challenge. With this, the security of IoT devices has been overlooked, especially regarding smart bulbs, as they tend to be bundled with other IoT devices by the research community, and consequently not receive the attentionthey require. This thesis aims to identify and analyze potential threats regarding smart bulbs, and it does so by exploring proactive strategies in order to mitigate vulnerabilities. To understand the challenges smart bulbs face, some of the current applicable legislation, cyber attacks, defense mechanisms, and vulnerabilities were analyzed. Then, a network topology and a data flow diagram of a home network with smart bulbs was developed. Consequently, layers were assigned to the smart bulb, and threat modeling was performed on a each layer using STRIDE. This procedure was then formalized with a framework that encapsulates the stages of analysing the smart bulb’s landscape through threat modeling. This work contributes to the research community’s body of knowledge by providing valuable insights detailing the smart bulb’s landscape, not only through the framework but also through the conducted threat modeling, the data flow diagrams, and the information gathered regarding the threats to smart bulb security.

Agile principles for software development are now the industry standard for innovative projects. Agile is often hailed for being flexible, but there is also a commonly held 'truth' that agile principles and software security do not work well together. For this reason it is not uncommon to place all security responsibilities with a separate team, which goes against the agile principles of being team-centered and may affect flexibility or timeframe of a project. Additionally, software security is difficult and requires extensive experience and knowledge, something that varies a lot among software developers. This study presents a threat modeling process tailored for the specific needs and capabilities of the agile developer team. The process combines features of attack trees and abuser stories with other supplementary techniques in a pedagogical instruction manual to create an accessible and easy-to-get-started method intended to be driven by the developers themselves. The process has been developed through extensive review of extant threat modeling methods and the circumstances of the agile team, and trialed through user tests at an agile ITorganization in the financial services. / Agila principer för mjukvaruutveckling är nu industristandard för innovativa projekt. Agila metoder hyllas ofta för sin flexibilitet men det finns också en vidspridd uppfattning att agila metoder och mjukvarusäkerhet inte går bra ihop. Av den anledningen är det inte ovanligt att säkerhetsansvar och -uppgifter drivs av en separat säkerhetsgrupp, vilket går emot de agila principerna om fokus på utvecklarteamet. Detta kan få effekter både för projektets flexibilitet och dess tidsram. Dessutom är IT-säkerhet ett svårt ämne som kräver både erfarenhet och avsevärd kunskap, något som funnits variera mycket bland mjukvaruutvecklare. Den här studien presenterar en hotmodelleringsprocess som skräddarsytts för utvecklarteamets specifika behov och styrkor. Processen kombinerar funktioner från attackträd och abuser stories med andra, komplementära tekniker i en pedagogisk instruktionsmanual för att leverera en lättillgänglig och snabbstartad metod menad att drivas av utvecklarna själva. Processen har utvecklats genom omfattande studier av etablerade hotmodelleringsprocesser, samt den agila teammiljön, och testats och vidareutvecklats genom användartester hos en agil IT-organisation inom finansbranschen.