Exjobb VT2027

Vill du göra exjobb inom säker systemutveckling, IT-säkerhet eller kryptologi med handledning av de bästa i branschen? Exjobb på Subset gör du på vårt kontor på 24:e våningen i Hammarby Sjöstad med en fantastisk utsikt över Stockholm. Hos oss blir du inkluderad i arbetsteamet, med handledning av kollegor som är vana att läsa akademiska rapporter och lösa kniviga problem. Självklart har du frihet att planera själv och ta eget ansvar över ditt exjobb hos oss. Vi står för handledning, utrustning, kontorsplats, semi-professionell espressomaskin och entusiasm. Du fokuserar på att göra ett riktigt intressant exjobb.

Låter det spännande?Skicka in din intresseanmälan nedan.

Exjobb 2027

Subset erbjuder följande examensarbeten på masternivå under våren 2027, men det går också bra att skicka in ett eget förslag.

AI-assisterad kodgranskning

Nyckelord: AI, maskininlärning, kodgranskning, verifiering, IT-säkerhet

Kodgranskning används för att identifiera säkerhetsbrister och höja den generella kvaliteten i producerad kod. I detta exjobb undersöker du olika metoder för att inkorporera AI i processen för kodgranskning och jämför lämpligheten för dessa. Fokus är open source-modeller som är lätta att integrera i existerande processer.

Relaterade forskningsartiklar:

• AI-powered Code Review with LLMs: Early Results

• Does AI Code Review Lead to Code Changes? A Case Study of GitHub Actions

• Human-AI Synergy in Agentic Code Review

Hallucinering i AI-genererad kod

Nyckelord: AI, maskininlärning, hallucinering, kodgenerering, IT-säkerhet

Hallucinationer i AI-genererad kod som leder till säkerhetsbrister, prestandaproblem eller kod som inte kompilerar förekommer för både kommersiella och open source-modeller för kodgenerering. I detta exjobb undersöker du olika metoder för att mitigera dessa hallucinationer och jämför till vilken grad hallucinationer kan reduceras. Fokus är i första hand på metoder som kan implementeras relativt enkelt för open source-modeller. En av flera metoder som undersöks kan exempelvis vara användning av existerande verktyg för statisk kodanalys för att detektera och i vissa fall korrigera syntaktiska hallucinationer. Arbetet kan även utformas specifikt med fokus på Rust som är ett av många underrepresenterade språk inom denna forskningsdomän.

Relaterad forskningsartikel:Hallucination by Code Generation LLMs: Taxonomy, Benchmarks, Mitigation, and Challenges

Kvantifiering av säkerhetsskuld

Nyckelord: IT-säkerhet, teknisk skuld, säkerhetsskuld, CVE:er

Teknisk skuld inom systemutveckling kan kort beskrivas som kod och designval som har applicerats i en kodbas p.g.a. snabbare implementationstid på bekostnad av långsiktig stabilitet och robusthet. En delmängd av teknisk skuld i kodbaser kan kategoriseras som säkerhetsskuld i form av säkerhetsbrister så som utdaterade beroenden eller riskabla mönster. Dock är definition och kvantifiering av säkerhetsskuld ett område som ej är väl utforskat. Hur säkerhetsbrister identifieras i kod variera också stort. I detta exjobb undersöker du hur säkerhetsskuld kan kvantifieras i öppen källkod. Inom ramen för detta exjobb ingår att definiera vad säkerhetsskuld är och jämföra olika mätvärden eller metoder för att identifiera dess förekomst i kod. Förslagsvis kan mappning mot CVE:er utgöra en av flera metoder som utvärderas.

Relaterade forskningsartiklar:

• Defining Security Debt: A Case Study Based on Practice | SpringerLink

• What Can Self-Admitted Technical Debt Tell Us About Security? A Mixed-Methods Study

• Security Debt: Characteristics, Product Life-Cycle Integration and Items

PQC är på väg, men integrationen är komplex

Nyckelord: Kryptografi, postkvantum

Med framväxten av kvantdatorer hotas säkerheten hos dagens asymmetriska kryptosystem som RSA och elliptiska kurvor. För att möta detta hot utvecklas så kallade post-kvantkryptografiska (PQC) algoritmer, som bygger på matematiska problem som anses vara svåra även för kvantdatorer.

Trots deras säkerhetsfördelar innebär PQC-algoritmer praktiska utmaningar vid integration i befintliga IT-system. En av de mest framträdande skillnaderna mot klassiska algoritmer är de betydligt större nyckel- och signaturstorlekarna, vilket påverkar såväl prestanda som användbarhet.

Syftet med examensarbetet är att undersöka vilka tekniska och praktiska problem som uppstår vid integration av post-kvantkryptografi i befintliga system, med särskilt fokus på hur stora PQC-nycklar påverkar lagring, nätverksöverföring och användargränssnitt.

Relaterade forskningsartiklar:

• Getting Ready for Post-Quantum Cryptography: Exploring Challenges Associated with Adopting and Using Post-Quantum Cryptographic Algorithms, NIST

• The Performance of Post-Quantum TLS 1.3

Entropi in a box

Nyckelord: Kryptografi, entropi, hårdvaruutveckling

All IT-säkerhet idag bygger på kryptografiska algoritmer där privata nycklar hålls hemliga. Vid generering av nycklar är en bra slump eller entropi nödvändig för att hindra att de röjs eller återskapas. I moderna operativsystem bygger denna slump på hur hårdvaran används över tid, vilket kan innebära en lägre entropi i begränsade miljöer (inbäddade system, virtuella maskiner etc.) än vad som är önskvärt.

Med detta examensarbete utreder du slumpgenerering förslagsvis genom att undersöka hårdvarulösningar eller utvärdera entropinivåer hos slumpkällor.

Databaser i icke-persistenta system

Nyckelord: Icke-persistens, databaser

Icke-persistenta system används bland annat för att ge ett starkt skydd mot fysiska intrång – all känslig data kan omedelbart raderas med en strömbrytare. De flesta serverapplikationer behöver däremot en persistent databas.

Detta exjobb går ut på att undersöka hur integration mellan ett icke-persistent operativsystem och en persistent databas kan designas. Exempel på intressanta frågeställningar:

• Vilka garantier kan lämnas för riktighet (till exempel ACID-uppfyllnad) när själva databasmotorn kan stängas av i vilket ögonblick som helst?

• Konfidentialitet är ett naturligt krav. Vilka avvägningar behöver göras för till exempel time-to-recovery efter en omstart?

• Vilka utmaningar finns för tillgänglighet av till exempel metadata och statistik efter en omstart? Hur mycket av databasens infrastruktur behöver lagras persistent (och därmed potentiellt tillgängligt för en hotaktör), och påverkar det valet av databas?

Hack the idIoT

Nyckelord: IT-säkerhet, penetrationstest, IoT

IoT är spännande, hett och hypat, men produkterna lider ofta av usel säkerhet. I detta exjobb väljer vi en lämplig produkt eller produktkategori, hittar säkerhetshål, visar vilka problem hålen kan ge, rapporterar problemen som goda medborgare och firar vår framgång.

Du kommer att hitta, demonstrera och dokumentera riktiga säkerhetsbrister, samarbeta med leverantörer genom ansvarsfull rapportering, och leverera konkreta förslag som gör produkterna säkrare för alla.

Eget förslag

Har du ett eget förslag på ett ämne inom IT-säkerhet, kryptologi eller säker systemutveckling som du vill göra exjobb inom? Du kanske har ett specialintresse, nån teknik du gillar, eller något du skulle vilja titta närmare inom vår nisch?

Vi diskuterar gärna upplägg!