Tietoturvallinen WWW-ohjelmointi

Abstract

Opinnäytetyö käsittelee tietoturvan perusteita ja tietoturvallista WWW-ohjelmointia. Työn kohderyhmä on aloittelevat WWW-ohjelmoijat, hiukan ohjelmointia osaavat sekä tietoturvasta yleisellä tasolla kiinnostuneet henkilöt. Opinnäytetyössä kerrataan tietoturvan periaatteet lyhyesti ja käydään läpi tavallisimmat verkkouhkat, joista pääpaino on injektiohyökkäyksissä (XSS-hyökkäys, SQL-injektio).

Työn tavoitteena oli kartoittaa keskeiset verkkouhat ja -hyökkäykset ja etsiä ratkaisut niiden torjumiseksi. Lähestymistapa verkkohyökkäyksiin on käytännönläheinen. Siksi työssä selvitetään kokeellisesti hyökkäyksen toteuttaminen. Valtaosa hyökkäyksistä simuloitiin suojaamattomassa testiympäristössä. Suojaamattoman testiympäristön tarkoitus oli osoittaa konkreettisesti hyökkäyksen toteutus ja vaikutus WWW-palveluun. Kokeellisten hyökkäyksien lisäksi raportissa käydään läpi menetelmiä, joilla hyökkäyksiä voidaan ehkäistä. Menetelmiä täydennetään tarkastelemalla hakemistorakenteen suunnittelua, tiedostojen ja hakemistojen oikeuksia ja suojausta sekä PHP:n konfigurointia tietoturvan kannalta kriittisiltä alueilta. Työ sisältää runsaasti esimerkkejä sekä hyökkäyksistä että toimintamalleja niiden torjunnasta.

Opinnäytetyön tuloksena syntyi tietoturvan perusopas. Oppaan keskeinen tarkoitus on auttaa kohderyhmää sekä tiedostamaan verkkohyökkäysten vaarallisuus että oppia yksinkertaiset menetelmät niiden ehkäisyyn. Opas ei ole kaikenkattava, mutta toimii hyvänä perustyökalupakkina, jonka avulla kohderyhmä voi rakentaa turvallisempia WWW-sovelluksia. Lisäksi oppaan tarkoitus on auttaa lukijaa ymmärtämään tietoturvan merkitys WWW-ohjelmoinnissa.

This thesis deals with basic information security and secure web programming. The main target groups for this thesis are web programmers and people who are interested in information security. The thesis summarises information security principles and finds out general network threats (like XSS-attacks and SQL-injection).

The goal of the thesis was to clarify general network threats and find out methods for preventing them. The network attacks are approached from a practical viewpoint. This means that the attacks were simulated in a vulnerable test web service. The main reason using a vulnerable testing environment was to indicate how easily an attacker can make an attack and how the attacks affect web services. In addition, the thesis looks at methods to prevent these attacks. These methods are also complemented by examining the design of the directories and rights for those directories and their protection. The thesis also looks at PHP configuration in critical information security areas. This thesis contains many examples of attacks and effective ways to prevent them.

As a result of this thesis a basic guide to information security was created. The fundamental objective of this thesis is to help its target audience to acknowledge the danger of web attacks and learn a few simple ways for preventing them. The guide does not cover every possible web attack, but it offers good tools for its target audience to build safer web applications. In addition, this guide is meant to give a wider understanding of information security in web programming.