Verkkosovellusten tietoturva

Abstract

Tämä opinnäytetyö tehtiin perehdytyksenä verkkosovelluksien tietoturvaan ja siinä käy­tettiin lähtökohtana PHP-sovelluskehitystä MySQL-tietokantaratkaisulla. Työn tarkoituksena oli vastata verkkosovellusten tietoturvallista kehittämistä koskevaan tutki­muskysymykseen verkkosovellusten tietoturvan eri osa-alueista kirja- ja verkkolähdekatsauksen pohjalta. Tässä tutkielmassa pyrittiin aiemman, tiukemmin raja­tun tutkimuksen jatkoksi huomioimaan kokonaisuuksia suositeltavissa ratkaisuissa.

Keskeisiä tutkimusalueita olivat muun muassa salausmenetelmät ja niiden käyttö väli­tettävän tiedon luottamuksellisuuden, eheyden ja kiistämättömyyden tukemiseksi. Salatun yhteyden muodostaminen käyttäjän selaimen ja verkkosovelluspalvelimen välil­le osoittautui myös ratkaisevaksi tekijäksi useiden eri tietoturvaratkaisujen suhteen. verkkosovellusten tietoturvan kokonaisuuteen vaikuttavat säilytettävän tiedon määrä ja luotettavuuden aste, tietosyötteiden käsittely hyökkäysten varalta ja sovelluksen käytet­tävyyden turvaaminen suoritustehokkuutta parantamalla. Työssä esiteltiin ratkaisuja evästeiden ja istuntojen vahventamiseen, HTTPS-yhteyden käyttöönottoon ja merkityk­seen, käyttäjäsyötteiden käsittelyyn sekä asiakas- että palvelinpuolen hyökkäystekniikoiden torjumiseksi, luottamukselliseen salasanojen hallintaan ja sekä verkkosovelluksen että PHP-tulkin asetustiedostojen tietoturvaan.

Yksittäiset ongelmat ja ratkaisut tietoturvallisuudessa eivät osoittautuneet teorialtaan tai käytännön ratkaisuiltaan erityisen haastaviksi. Koko tutkimuksen ajan painottuikin se, kuinka verkkosovelluksen eri osa-alueet ja haavoittuvuudet vaikuttavat toisiinsa ja kuin­ka useimpien ratkaisujen tulee heijastaa tätä kokonaistietoturvan näkemystä. Vaikuttaisi hälyttävältä, kuinka yksinkertaisia monet verkkosovelluksia koskevista ongelmista ovat, ja kuinka silti verkkokehityksen perusosaamiseen näyttäisi nykyään kuuluvan vain hy­vin osittainen tuntemus tietoturvan kokonaisosaamisesta.

This thesis work was made as a study into web application data security. PHP and MySQL were chosen as easily understood language and database solutions for the plat­form and subject restrictions of research. Web applications are thriving even well after the initial Web 2.0 boom, but data security in their development is hazy and often lac­king as the subject field keeps changing both technologically and due to the evolution of the internet. This bachelor's thesis made research into the field of data security in web development, attempting to understand it widely and sum up inter-related solutions for specified security threats to counter web application attacks and risks thereof.

The methodology of this thesis was largely related to literature study in related publica­tions and online sources in cases where more concrete, up-to-date and practical discussion was better available. The results pointed to most solutions being simple in nature, and that the data security problematic was in the interconnection of multiple dif­ferent technologies and solutions. A single solution may not be able to provide much needed data security at all unless it's supported by other solutions to invalidate other at­tack methods, errors and vulnerabilities. Determinining the required level of security for the application, securing data by crypting it into unreadable form while in-transmission, better hiding of secret configurations and related data and sanitization of user input were critical to achieving confidentiality, integrity and non-repudiation of message transmis­sion over the web and in storing data securely.

News about online attacks and failures of data security in the past few years make it ob­vious how important a wide knowledge of security in web development is. There is much to do in educating the wide society as well as improving the overall safe compu­ting solutions, but especially the web development society. Related education should teach a more thorough curriculum of data security theory and security techniques.