Exjobb VT2027

Vill du göra exjobb inom säker systemutveckling, IT-säkerhet eller kryptologi med handledning av de bästa i branschen? Exjobb på

Subset gör du på vårt kontor på 24:e våningen i Hammarby Sjöstad med en fantastisk utsikt över Stockholm. Hos oss blir du

inkluderad i arbetsteamet, med handledning av kollegor som är vana att läsa akademiska rapporter och lösa kniviga problem.

Självklart har du frihet att planera själv och ta eget ansvar över ditt exjobb hos oss. Vi står för handledning, utrustning,

kontorsplats, semi-professionell espressomaskin och entusiasm. Du fokuserar på att göra ett riktigt intressant exjobb.

Kodgranskning används för att identifiera säkerhetsbrister och höja den generella kvaliteten i producerad kod. I detta exjobb

undersöker du olika metoder för att inkorporera AI i processen för kodgranskning och jämför lämpligheten för dessa. Fokus är open

source-modeller som är lätta att integrera i existerande processer.

Hallucinationer i AI-genererad kod som leder till säkerhetsbrister, prestandaproblem eller kod som inte kompilerar förekommer för

både kommersiella och open source-modeller för kodgenerering. I detta exjobb undersöker du olika metoder för att mitigera dessa

hallucinationer och jämför till vilken grad hallucinationer kan reduceras. Fokus är i första hand på metoder som kan implementeras

relativt enkelt för open source-modeller. En av flera metoder som undersöks kan exempelvis vara användning av existerande verktyg

för statisk kodanalys för att detektera och i vissa fall korrigera syntaktiska hallucinationer. Arbetet kan även utformas

specifikt med fokus på Rust som är ett av många underrepresenterade språk inom denna forskningsdomän.

Teknisk skuld inom systemutveckling kan kort beskrivas som kod och designval som har applicerats i en kodbas p.g.a. snabbare

implementationstid på bekostnad av långsiktig stabilitet och robusthet. En delmängd av teknisk skuld i kodbaser kan kategoriseras

som säkerhetsskuld i form av säkerhetsbrister så som utdaterade beroenden eller riskabla mönster. Dock är definition och

kvantifiering av säkerhetsskuld ett område som ej är väl utforskat. Hur säkerhetsbrister identifieras i kod variera också stort. I

detta exjobb undersöker du hur säkerhetsskuld kan kvantifieras i öppen källkod. Inom ramen för detta exjobb ingår att definiera

vad säkerhetsskuld är och jämföra olika mätvärden eller metoder för att identifiera dess förekomst i kod. Förslagsvis kan mappning

mot CVE:er utgöra en av flera metoder som utvärderas.

Att kunna granska källkoden till ett program innebär inte nödvändigtvis att man kan lita på den färdiga binären. Skillnader i

byggmiljö, beroenden, tidsstämplar och verktyg kan göra att samma källkod producerar olika resultat. Reproducerbara byggen syftar

till att göra byggprocessen deterministisk: samma källkod och samma indata ska resultera i identiska artefakter.

Reproducerbarhet kan därmed användas för att stärka mjukvaruförsörjningskedjan genom att möjliggöra oberoende verifiering av att

en binär faktiskt motsvarar källkoden. I praktiken finns dock ett stort antal hinder och både definitionen av reproducerbarhet

samt hur den verifieras skiljer sig mellan byggsystem, språk och plattformar.

I detta arbete undersöker du vilka faktorer som påverkar reproducerbarheten hos mjukvarubyggen samt hur dessa kan identifieras,

mätas och hanteras. Arbetet bör kombinera en litteraturstudie med praktiska experiment på ett eller flera verkliga byggsystem

eller open source-projekt.

Med framväxten av kvantdatorer hotas säkerheten hos dagens asymmetriska kryptosystem som RSA och elliptiska kurvor. För att möta

detta hot utvecklas så kallade post-kvantkryptografiska (PQC) algoritmer, som bygger på matematiska problem som anses vara svåra

även för kvantdatorer.

Trots deras säkerhetsfördelar innebär PQC-algoritmer praktiska utmaningar vid integration i befintliga IT-system. En av de mest

framträdande skillnaderna mot klassiska algoritmer är de betydligt större nyckel- och signaturstorlekarna, vilket påverkar såväl

prestanda som användbarhet.

Syftet med examensarbetet är att undersöka vilka tekniska och praktiska problem som uppstår vid integration av

post-kvantkryptografi i befintliga system, med särskilt fokus på hur stora PQC-nycklar påverkar lagring, nätverksöverföring och

användargränssnitt.

• Getting Ready for Post-Quantum Cryptography: Exploring Challenges Associated with Adopting and Using Post-Quantum Cryptographic

Algorithms, NIST

All IT-säkerhet idag bygger på kryptografiska algoritmer där privata nycklar hålls hemliga. Vid generering av nycklar är en bra

slump eller entropi nödvändig för att hindra att de röjs eller återskapas. I moderna operativsystem bygger denna slump på hur

hårdvaran används över tid, vilket kan innebära en lägre entropi i begränsade miljöer (inbäddade system, virtuella maskiner etc.)

än vad som är önskvärt.

Med detta examensarbete utreder du slumpgenerering förslagsvis genom att undersöka hårdvarulösningar eller utvärdera entropinivåer

hos slumpkällor.

Icke-persistenta system används bland annat för att ge ett starkt skydd mot fysiska intrång – all känslig data kan omedelbart

raderas med en strömbrytare. De flesta serverapplikationer behöver däremot en persistent databas.

Detta exjobb går ut på att undersöka hur integration mellan ett icke-persistent operativsystem och en persistent databas kan

designas. Exempel på intressanta frågeställningar:

• Vilka garantier kan lämnas för riktighet (till exempel ACID-uppfyllnad) när själva databasmotorn kan stängas av i vilket

ögonblick som helst?

• Vilka utmaningar finns för tillgänglighet av till exempel metadata och statistik efter en omstart? Hur mycket av databasens

infrastruktur behöver lagras persistent (och därmed potentiellt tillgängligt för en hotaktör), och påverkar det valet av

databas?

IoT är spännande, hett och hypat, men produkterna lider ofta av usel säkerhet. I detta exjobb väljer vi en lämplig produkt eller

produktkategori, hittar säkerhetshål, visar vilka problem hålen kan ge, rapporterar problemen som goda medborgare och firar vår

framgång.

Du kommer att hitta, demonstrera och dokumentera riktiga säkerhetsbrister, samarbeta med leverantörer genom ansvarsfull

rapportering, och leverera konkreta förslag som gör produkterna säkrare för alla.

Har du ett eget förslag på ett ämne inom IT-säkerhet, kryptologi eller säker systemutveckling som du vill göra exjobb inom? Du

kanske har ett specialintresse, nån teknik du gillar, eller något du skulle vilja titta närmare inom vår nisch?