Verkkosovellusten tietoturvatestaus osana verkkohotellipalvelua

Abstract

Verkkohotellipalvelu on yrityksille ja yksityisille asiakkaille tarjottava palvelu, jonka avulla voidaan ylläpitää verkkosivuja ja verkkosovelluksia. Verkkohotellipalvelu tarkoittaa yksinkertaisesti palvelin ja verkkokapasiteetin vuokraamista. Palveluiden suosio on kasvanut nopeasti ja samalla ennen palveluntarjoajiin kohdistuneiden hyökkäyksien painopiste on siirtynyt verkkosovelluksista etsittäviin haavoittuvuuksiin. Hyökkääjien ei ole enää kannattavaa luoda uusia vihamielisiä sivustoja, vaan vihamielisen ohjelmakoodin ujuttaminen jo tunnetuille hyvämaineisille sivuille on todettu tehokkaammaksi ratkaisuksi. Tällainen hyökkäys tarvitsee onnistuakseen verkkosivuilla sijaitsevan haavoittuvuuden ja haavoittuvuuksien etsiminen on yleisesti automatisoitu haavoittuvuusskannereilla. Työn yksi tavoite on tutustua tähän prosessiin ja pohtia miten palveluntarjoaja voi parantaa palveluaan ja asiakkaiden tietoturvaa. Jotta palveluntarjoaja voi toimia tällaisessa ympäristössä, täytyy palveluntarjoajan ja asiakkaan vastuut olla etukäteen määritelty. Vastuiden määrittelyä varten täytyy ymmärtää verkkosovellusten rakenteita ja tietoturvaan liittyviä termejä. Lisäksi työssä tutustutaan yleisimpiin sovelluksia koskeviin uhkiin, kuten XSS-hyökkäyksiin, injektioihin ja tiedon vuotamiseen. Tämän tiedon pohjalta testataan kuusi dHosting-verkkohotellipalvelussa toimivaa verkkosovellusta. Testaus perustuu sovellusten tunnistamiseen ja kahden haavoittuvuusskannerin testausraportteihin. Tulosten pohjalta pohditaan löytyneitä haavoittuvuuksia, palvelun yleistä tietoturvan tilaa ja onko palveluntarjoajalla mahdollisuuksia parantaa omaa toimintaansa.