Tietoturvatarkastus web-sovellukselle

Abstract

Tämän opinnäytetyön tarkoitus oli käydä läpi tyypillisen web-sovelluksen tietoturvan tarkastaminen. Työn tavoitteena oli tutkia tyypillisimmät web-sovellusten haavoittuvuudet ja esitellä niihin korjausehdotukset alan parhaiden ratkaisuiden mukaisesti. Lisäksi tavoite oli antaa esimerkit, miten tarkastaa löydetyt haavoittuvuudet sekä havainnollistaa, miten hyökkääjät voivat niitä käytännössä hyväksikäyttää. Lopputuotoksen suhteen tavoitteena oli luoda yrityksille, harrastajille sekä opiskelijoille hyödyllistä materiaalia ja tarjota materiaalia kymmenen suurimman haavoittuvuuden ymmärtämiseen ja torjuntaan. Työn tietoperustassa esitellään tärkeimpiä työkaluja, joilla web-sovellusten tietoturvatestausta voidaan suorittaa. Tietoperustan ovat muodostaneet alan kirjallisuus ja internet-julkaisut sekä kokemuksen myötä kertynyt oma ammattitaito. Keskeisenä lähteenä on ollut OWASP:in Top 10 – 2013 The Ten Most Critical Web Application Security Risks –julkaisu. Työn tuloksena syntyi ohjeistus web-sovellusten tarkastamisen ja auditoinnin suorittamiseen. Ohjemateriaali soveltuu myös itseopiskeluun ja perehdytykseen. Asiakasyritykselle tehtävää web-sovelluksen tarkastusta ei ole liitetty tähän opinnäytetyöhön tulosten osalta. Johtopäätöksinä kootaan yhteen yritysten yleisimmät puutteet web-sovellusten tietoturvallisuudessa ja esitetään näihin korjausehdotukset sekä korjausehdotusten tueksi annetaan esimerkkejä puutteiden hyväksikäytöstä.

The objective of this thesis was to conduct the security assessment of a typical web application. The goal was to inspect the most typical vulnerabilities in web applications and present the plans on how to fix those vulnerabilities according to the best practices in the field. In addition, an aim of this study was to give examples on how to assess the vulnerabilities that were found and to demonstrate how an attacker could exploit these vulnerabilities. The goal of the final product was to offer useful material for companies, hobbyists and students to understand and deflect the ten greatest vulnerabilities. In the theoretical part of this thesis the most important tools for web application assessment are presented. The knowledge base for this thesis consists of literature on cybersecurity, internet publications and the expertise of the writer. A crucial source of information is OWASP’s “Top 10 – 2013 – The Ten Most Critical Web Application Security Risks” –publication. As a result a study material for cybersecurity oriented and especially web application security oriented people is created. The final product is a guide on how to assess the security of web applications. As a conclusion the most common shortcomings in web application security, the proposed correction instructions for these shortcomings and examples how to exploit them are presented.