1. No category

Mistä verkkopalveluiden
heikkoudet johtuvat?
Suomalainen tietoturvayhtiö Silverskin Information Security tutki
130 verkkosovellusta pankeista keskustelupalstoihin. Lähes jokaisesta
sovelluksesta löytyi tietoturva-aukko.
TUTKIMUS OSOITTI:
Tietoturvapuutteiden yleisin syy on huono suunnittelu ja ohjelmointi
Verkkopalvelu näyttää hyvältä ja sitä on mukava käyttää.
Käytettävyys ei valitettavasti kerro mitään turvallisuudesta.
Palveluntarjoaja ja asiakas käyttävät sovellusta siihen, mihin
se on suunniteltu, esimerkiksi kaupankäyntiin tai asiakastietojen hallintaan.
Mitä tapahtuu, kun hakkeri keksii käyttää sovellusta
johonkin, mihin sitä ei ole suunniteltu? Tietoturvayritys
Silverskin tarkasti 130 verkkopalvelua.Yli puolesta tutkituista sovelluksista löytyi kriittisiä heikkouksia.
Näin tutkimus toteutettiin
Silverskin testasi tietoturvan pitävyyttä yhteistyössä asiakkaidensa kanssa. Koehyökkäyksillä selvitettiin toimivatko
järjestelmät stressitilanteissa oikein. Testeillä tarkastettiin
sovellusten keskeisiä osa-alueita eli syötteenkäsittelyä,
istunnon hallintaa, pääsynhallintaa, järjestelmän suojausta
ja suorituskykyä suojaavat kontrollit. Heikkouksien takana
olevat syyt tilastoitiin.
Tulokset pisteytettiin ja sovelluksille annettiin arvosanat.
Ne tutkimukseen osallistuneet palvelut, joissa tarkastus
tehtiin varhain ja kontrollit otettiin jo sovelluksen määrittelyvaiheessa huomioon, saivat paremman arvosanan.
LEPSU SUUNNITTELU VAARANTAA KOKO SOVELLUKSEN
Vakavien tietoturvaongelmien takaa löytyvät tutkimuksen
perusteella useimmiten inhimilliset erheet.Yleisimmät syyt
isoille tietoturvariskeille ovat huono suunnittelu ja huolimaton ohjelmointi.Vakavimpien heikkouksien syynä 47
prosentissa tutkituista tapauksista oli ohjelmointivirhe ja 38
prosentissa suunnitteluvirhe. Keskisuuria tietoturvariskejä
aiheutetaan sovelluksiin usein konfigurointi- eli asennusvaiheessa.Virheiden taustalta löytyi kolmenlaisia syitä:
2) Ohjelmointivirheet
Vakavat riskit johtuvat usein myös ohjelmointivirheestä.
Tiukassa aikataulussa koodaajan huomio herpaantuu,
puhelin soi ja jokin arvo jää tarkistamatta. Seurauksena
esimerkiksi asiakkaiden henkilötiedot vuotavat ulos. Pieni
huolimaton koodausvirhe on suunnitteluvirhettä helpompi korjata, mutta pahimmillaan se ehtii viedä yrityksen
maineen.
1) Suunnitteluvaiheen virheet
Suunnitteluvaiheen virheet ovat vaikeimpia ja työläimpiä
korjata. Tietoturva-aukko syntyy, kun suunnitteluvaiheessa
ei ajatella väärinkäyttäjien varalle kunnon kontrolleja.
Hälyttävintä tutkimuksessa oli, että useassa tapauksessa
kontrollit oli unohdettu täysin. Käytännössä sovelluksesta
oli suunniteltu talo ilman ovia. Jos esimerkiksi pääsynvalvonnasta löytyi tietoturva-aukko, 90 prosentissa tapauksista
selvisi, että tietoturvakontrolli oli unohtunut suunnittelusta
kokonaan.
3) Konfigurointivirheet
Hyvin suunniteltu ja koodattu sovellus voidaan vielä pilata
konfigurointi- eli asennusvaiheessa. Alusta, johon sovellus
asennetaan, voi tarjota väärinkäyttäjille takaportin muuten
turvalliseen järjestelmään. Konfigurointivirheet aiheuttivat
yli 50 prosenttia tutkimuksessa havaituista keskisuurista
tietoturvaheikkouksista.
9%
8%
8%
TUNNISTAUTUMINEN
TUNNISTAUTUMINEN
39%
39%
SYÖTTEENKÄSITTELY
SYÖTTEENKÄSITTELY
PÄÄSYNHALLINTA
PÄÄSYNHALLINTA
19%
19%
JÄRJESTELMÄN SUOJAUS
JÄRJESTELMÄN SUOJAUS
ERITTÄIN VAKAVAN TIETOTURVARISKIN SYITÄ:
38%
38%
47%
47%
16%
16%
1) SUUNNITTELUVIRHE
2) OHJELMOINTIVIRHE
3) KONFIGURAATIOVIRHE
1) SUUNNITTELUVIRHE
2) OHJELMOINTIVIRHE
3) KONFIGURAATIOVIRHE
KESKISUUREN TIETOTURVARISKIN SYITÄ:
24%
24%
25%
25%
51%
51%
1) SUUNNITTELUVIRHE
2) OHJELMOINTIVIRHE
3) KONFIGURAATIOVIRHE
1) SUUNNITTELUVIRHE
2) OHJELMOINTIVIRHE
3) KONFIGURAATIOVIRHE
16%
16%
KONFIGURAATIOVIRHE
KONFIGURAATIOVIRHE
Tietoturvauhat estetään paremmalla suunnittelulla
Keskitetty tietoturvakontrolli on kuin sähkökaappi eteisessä: kaikki sähkö kulkee sen kautta. Jos valot sammuvat,
jokaista lamppua ei lähdetä näpelöimään erikseen, vaan
sähkökaapista vaihdetaan sulake. Keskitetyillä tietotur-
vakontrolleilla riskien ehkäisemisestä ja vaaratilanteiden
hallinnasta tulee varmempaa.
Kun virhe on tehty suunnitteluvaiheessa, se on kallis
korjata. Siksi sovelluksen kontrollit kannattaisi miettiä
OHJELMOINTIVIRHE
kuntoon jo heti suunnitteluvaiheessa.
47%
47%
OHJELMOINTIVIRHE
Yleinen virheiden syy oli se, että keskitetyt
tietoturvakontrollit puuttuivat kokonaan.
HIGH RISK -HAVAINTOJEN OSUUS OSA-ALUEITTAIN:
28%
ISTUNNON HALLINTA
9%
TUNNISTAUTUMINEN
39%
8%
SYÖTTEENKÄSITTELY
PÄÄSYNHALLINTA
19%
JÄRJESTELMÄN SUOJAUS
38%
47%
16%
1) SUUNNITTELUVIRHE
2) OHJELMOINTIVIRHE
3) KONFIGURAATIOVIRHE
Tietoturva ei synny sattumalta.
Se pitää suunnitella.
24%
1) SUUNNITTELUVIRHE
16%
25%
51%
Suomalainen Silverskin on työntekijöidensä omistama korkean tason tietoturvayhtiö ja
2) OHJELMOINTIVIRHE
3) KONFIGURAATIOVIRHE
riippumaton
tietoturvatarkastaja.Yhtiö on saavuttanut korkeimman
sertifioidun tason
sekä EU:n että Yhdysvaltain puolustusministeriön standardeilla, ja sen kokeneet konsultit
ovat toimineet alalla toistakymmentä vuotta.
KONFIGURAATIOVIRHE