Utforskande studie inom möjligheterna att testa robustheten av CoAP-implementationer med evolutionär fuzzing

Internet of Things (IoT) is a widely used expression to denote the connection of physical objects in the internet. IoT devices are attractive targets for malicious actors as they are often deployed in large numbers with the same software. Such software is important to test in order to prevent malicious abuse. An effective robustness testing technique is called fuzzy testing (fuzzing) and involves automatically exposing software to a multitude of generated inputs to hopefully discover errors in the application before an attacker can exploit them. The Constrained Application Protocol (CoAP) is a relatively new application protocol designed for use in IoT devices whose implementations could contain vulnerabilities. Fuzzing of CoAP applications has been done with success in a previous study but there is room for improvements and further development of CoAP testing techniques.In this report an exploratory study is performed on the possibility of using evolutionary algorithms to strengthen the effectiveness of regular fuzzing on CoAP server implementations. For this, an evolutionary fuzzer was developed that attempts to increase the code coverage of fuzzy input in hopes of unveiling bugs not found with more primitive forms of fuzzing. Three open source CoAP server applications were tested with varying degrees of success. The overall code coverage measurements and number of bugs encountered did not show enough progression to support the technique as an effective tool to use when fuzzing CoAP applications. Further research opportunities exist as this research only tested a subset of available evolutionary algorithms and little investigation had been made on the contributing factors for the technique’s practical ineffectiveness.Sakernas Internet (IoT) är ett begrepp med en bred användning som beskriver när fysiska objekt är uppkopplade till internet. Dessa apparater är ofta attraktiva mål för cyberattacker på grund av den stora mängd apparater som ofta utplaceras med likadan mjukvara. Testningen av sådan mjukvara är av stor vikt i arbetet mot datoriserat missbruk. Fuzzing är en testningsteknik där man utsätter mjukvara för en stor mängd indata för att orsaka en krash i hopp om att hitta sårbarheter innan illvilliga aktörer gör det. Constrained Application Protocol (CoAP) är ett nytt applikationsprotokoll som är specifikt designat för användning inom IoT-apparater vars implementationer kan innehålla sårbarheter. Att använda fuzzing på CoAP-mjukvara har gjorts i tidigare skede med framgång, men det finns utrymme för utveckling. I denna rapport utförs en utforskande studie inom möjligheterna att använda evolutionära algoritmer till att förstärka effektiviteten hos vanliga former av fuzzing på CoAP-mjukvara. För att göra detta utvecklades en så kallad evolutionär fuzzer som har som mål att öka täckningen av koden vid testad indata på CoAP-implementationer. Detta i hopp om att stöta på fler sårbarheter än vid mer primitiva versioner av fuzzing. Tre olika CoAP-applikationer med öppen källkod testades med den skapade fuzzern med olika grader av framgång. Kodtäckningens mätvärden och antalet sårbarheter som upptäcktes visade sig inte vara nog för att stöda effektiviteten av evolutionär fuzzing vid användning på CoAP-applikationer. Möjligheter för vidarestudier öppnades då denna studie endast testade en delmängd av tillgängliga evolutionära algoritmer och endast mindre undersökningar gjordes på anledningarna till teknikens praktiska ineffektivitet