Web-kehitys ja tietoturva

Abstract

Yhtenä suurimpana ongelmana web-kehityksessä on erilaiset tietoturva-aukot ja haavoittuvuudet. Yleisimpiä syitä web-sovelluksen haavoittuvuuksille on sovelluskehittäjän tekemät virheet tai riittämätön tietämys tietoturvasta. Tämän opinnäytetyön tarkoituksena on tarkastella tietoturvallisen web-sovelluksen kehitystä ja sitä, mihin erilaisiin tietoturvaongelmiin web-kehittäjän on varauduttava kehittäessään sovellusta käytettäväksi verkkoympäristössä. Opinnäytetyö pyrkii etsimään vastausta siihen, millä keinoin ja mitä asioita huomioon ottaen voidaan luoda turvallinen web-sovellus. Opinnäytetyössä esitellään yleisimmät web-sovelluksen haavoittuvuudet ja tietoturva-aukot, jotka voivat syntyä käytettäessä vääränlaisia kehitystekniikoita tai inhimillisten virheiden seurauksena. Läpi käydään muun muassa se, milloin sovellus voi mahdollisesti sisältää haavoittuvuuden ja miten haavoittuvuutta voidaan hyväksikäyttää. Tämän jälkeen tarkastellaan haavoittuvuuden ehkäisemiseen käytettäviä tapoja ja se, miten haavoittuvuudet ehkäistään kooditason ratkaisuilla. Tietoturvallisia ratkaisuja tarkastellessa hyödynnetään kahta yleisesti web-kehityksessä käytettyä tekniikkaa. Nämä tekniikat ovat PHP-ohjelmointikieli sekä MySQL-tietokantasovellus. Opinnäytetyössä ei tarkastella palvelimen tai tietokannan konfiguroimisella saavutettaviin tietoturvaparannuksiin. Tarkastelun ulkopuolelle jää myös julkaisujärjestelmien, ohjelmistokehyksien tai muiden kolmansien osapuolien tekemien sovelluksien käyttämisessä huomioitavat asiat. Opinnäytetyön tuloksena syntyy kokoelma erilaisia tapoja ja käytänteitä, joita hyödyntämällä oikealla tavalla voidaan luoda tietoturvallinen sovellus.

One of the biggest problems in web development is the different kinds of security issues and vulnerabilities. Probably the most common reason for vulnerabilities in web software is the mistakes made by web developers. This thesis will introduce the most common vulnerabilities and security holes which may occur due to wrong kinds of development methods or human errors. It will also introduce the situations where the software may be vulnerable to certain type of attacks. The development techniques used to study this matter were PHP programming language and MySQL database management system. This thesis only studies code level approaches on preventing security issues. Server and database configurations are excluded as is usage of third party applications like frameworks, class libraries and content management systems. The result of this thesis is a collection of methods and techniques which may be used to create secure web application.