Turvallinen yhdyskäytäväratkaisu

Abstract

Opinnäytetyön tarkoituksena oli tarkastella turvallista yhdyskäytävätoteutusta, jonka toteutukseen opinnäytetyöntekijä osallistui työhön liittyvässä asiakasprojektissa. Yhdyskäytävä toteutettiin osana isompaa ohjelmistokehitysprojektia, joka asetti tarkat vaatimukset toteutuksen tietoturvalle. Turvallisen yhdyskäytävän tarkoituksena oli suodattaa sovelluskokonaisuudessa välitettyä tietoa kahden eri turvaluokitellun ympäristön välillä. Näin yhdyskäytävä pystyy estämään korkeamman turvaluokituksen ympäristön tiedon pääsyn matalamman turvaluokituksen ympäristöön käyttäen alkiotunnistukseen perustuvaa sisällönsuodatusratkaisua.

Sovellus toteutettiin muusta sovelluskokonaisuudesta erillisenä Spring Boot -sovelluksena, jossa välitettyjä viestejä suodatettiin sisällönsuodatussovelluksen lisäksi verkkotason suojauksella muun muassa IP-rajauksella. Toteuttamalla rajausta sekä sovellus- että verkkotasolla ympäristö saavutti projektilta vaaditun turvaluokitustason. Ottaen huomioon useimpien yhdyskäytäväratkaisuiden tunnetut heikkoudet, yhdensuuntaisen liikenteen ratkaisuiden vaatimat sovellusmuutokset ja laiteperusteisten ratkaisuiden rajallisuudet, alkiotunnistukseen perustuva ratkaisu oli oikea valinta kyseiseen tarpeeseen ja vaatimuksiin.

The purpose of this thesis was to examine the implemented secure gateway solution. The gateway was implemented as part of a larger software development project, which set strict requirements for the information security of the application. The purpose of the secure gateway was to filter the transmitted messages within the application environment that covered two different security classification levels to prevent higher level environment information reaching lower-level environment using filtering based on object identification.

Application was implemented separately from the rest of the applications as a standalone Spring Boot application, where transmitted messages were filtered in the content filtering application as well as in the network level using IP restrictions. Using filtering both in application and network levels the environment reached the required security classification. Considering the known weaknesses of most other gateway solutions, application modifications needed for the one-way communication solutions and the limitations of hardware solutions, object identification-based solution was the correct selection in this particular need and requirements.