Verkkosovellusten tietoturvastrategia 20.4.2010

946 views

Published on

Esitykseni tietoturvakonferensissa 20.4.2010

Published in: Technology, News & Politics
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
946
On SlideShare
0
From Embeds
0
Number of Embeds
3
Actions
Shares
0
Downloads
0
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Verkkosovellusten tietoturvastrategia 20.4.2010

  1. 1. Jari Pirhonen Verkkosovellusten tietoturvastrategia Information Security konferenssi 20.4.2010
  2. 2. Sisältö <ul><li>Nykyaikaisten verkkosovellusten tietoturvaaminen on haastavampaa kuin luuletkaan. </li></ul><ul><li>Tietoturva on huomioitava kattavasti sovelluskehityksen kaikissa vaiheissa. </li></ul><ul><li>Käytännön etenemismalli ja havaittuja haasteita </li></ul>20.4.2010 Jari Pirhonen It is not enough to do your best; you must know what to do, and then do your best. -- W. Edwards Deming
  3. 3. Vuosisadan suunnitteluhaasteet 20.4.2010 Jari Pirhonen Lähde: http://www.engineeringchallenges.org/
  4. 4. Vuosisadan suunnitteluhaasteet 20.4.2010 Jari Pirhonen Lähde: http://www.engineeringchallenges.org/ <ul><li>Laitteiden, sovellusten, tiedon ja käyttäjien vahva todentaminen </li></ul><ul><li>Turvallisten sovellusten tuottaminen ja todentaminen </li></ul><ul><li>Tietoliikenteen aitouden ja oikeellisuuden varmistaminen </li></ul><ul><li>Tietoturvaratkaisujen helppokäyttöisyys </li></ul><ul><li>Kokonaisuuksien turvaaminen </li></ul>
  5. 5. <ul><li>Yritetään kovemmin </li></ul><ul><ul><li>Luottamus sovelluskehittäjien henkilökohtaiseen osaamiseen </li></ul></ul><ul><ul><li>” Älkää tehkö virheitä” </li></ul></ul><ul><ul><li>Kaikista ei saa tietoturva-asiantuntijaa </li></ul></ul><ul><li>Korjataan myöhemmin </li></ul><ul><ul><li>Tietoturvasta ei huolehdita sovelluskehityksen aikana </li></ul></ul><ul><ul><li>Rakennetaan parempi ”palomuuri” ja laitetaan salaus päälle  sovelluspalomuuri, IDS/IPS, SSL, … </li></ul></ul><ul><li>Tarkastetaan lopputulos </li></ul><ul><ul><li>Palkataan asiantuntija etsimään valmiin sovelluksen tietoturvavirheet </li></ul></ul><ul><ul><li>Laatua ei saa pelkästään testaamalla/tarkastamalla </li></ul></ul><ul><li>Nämä tavat eivät toimi! </li></ul>Perinteiset lähestymistavat sovellusten turvaamiseen 20.4.2010 Jari Pirhonen Lähde: http://www.secappdev.org/handouts/2010/Matias%20Madou/StaticAnalysis.pdf
  6. 6. Tietoturva on huomioitava kokonaisvaltaisesti 20.4.2010 Jari Pirhonen
  7. 7. Tietoturva on huomioitava kokonaisvaltaisesti 20.4.2010 Jari Pirhonen <ul><li>Käyttäjän tunnistaminen </li></ul><ul><li>Tapahtumien vahvistus </li></ul><ul><li>Helppokäyttöisyys – ei tietoturvapäätöksiä käyttäjälle </li></ul>
  8. 8. Tietoturva on huomioitava kokonaisvaltaisesti 20.4.2010 Jari Pirhonen <ul><li>Palvelun tunnistaminen </li></ul><ul><li>Käyttövaltuudet </li></ul><ul><li>Tietojen oikeellisuuden varmistaminen </li></ul><ul><li>Tapahtumien kiistämättömyys </li></ul><ul><li>Sähköinen allekirjoittaminen </li></ul><ul><li>Häiriöttömyyden varmistaminen </li></ul><ul><li>Tietoturvatapahtumien seuranta </li></ul><ul><li>Käyttäjän tunnistaminen </li></ul><ul><li>Tapahtumien vahvistus </li></ul><ul><li>Helppokäyttöisyys – ei tietoturvapäätöksiä käyttäjälle </li></ul>
  9. 9. Tietoturva on huomioitava kokonaisvaltaisesti 20.4.2010 Jari Pirhonen <ul><li>Osapuolten tunnistaminen </li></ul><ul><li>Käyttäjäidentiteetin ja valtuuksien välitys </li></ul><ul><li>Tietojen välitys käyttötarpeiden ja valtuuksien mukaisesti </li></ul><ul><li>Tietojen säilytys luottamuksellisena ja muuttumattomana </li></ul><ul><li>Palvelun tunnistaminen </li></ul><ul><li>Käyttövaltuudet </li></ul><ul><li>Tietojen oikeellisuuden varmistaminen </li></ul><ul><li>Tapahtumien kiistämättömyys </li></ul><ul><li>Sähköinen allekirjoittaminen </li></ul><ul><li>Häiriöttömyyden varmistaminen </li></ul><ul><li>Tietoturvatapahtumien seuranta </li></ul><ul><li>Käyttäjän tunnistaminen </li></ul><ul><li>Tapahtumien vahvistus </li></ul><ul><li>Helppokäyttöisyys – ei tietoturvapäätöksiä käyttäjälle </li></ul>
  10. 10. Tietoturva on huomioitava kokonaisvaltaisesti 20.4.2010 Jari Pirhonen <ul><li>Osapuolten tunnistaminen </li></ul><ul><li>Käyttäjäidentiteetin ja valtuuksien välitys </li></ul><ul><li>Tietojen välitys käyttötarpeiden ja valtuuksien mukaisesti </li></ul><ul><li>Tietojen säilytys luottamuksellisena ja muuttumattomana </li></ul><ul><li>Palvelun tunnistaminen </li></ul><ul><li>Käyttövaltuudet </li></ul><ul><li>Tietojen oikeellisuuden varmistaminen </li></ul><ul><li>Tapahtumien kiistämättömyys </li></ul><ul><li>Sähköinen allekirjoittaminen </li></ul><ul><li>Häiriöttömyyden varmistaminen </li></ul><ul><li>Tietoturvatapahtumien seuranta </li></ul><ul><li>Käyttäjän tunnistaminen </li></ul><ul><li>Tapahtumien vahvistus </li></ul><ul><li>Helppokäyttöisyys – ei tietoturvapäätöksiä käyttäjälle </li></ul>Tietojen salaus käyttäjältä tietokantaan, tapahtumien aukoton jäljitettävyys koko palveluketjussa, yhteiset tietoturvaperiaatteet, tietoturvallisiksi suunnitellut ja testatut palvelut, tietoturvallisuuden toteutumisen osoittaminen
  11. 11. <ul><li>Standardit ja toimialavaatimukset edellyttävät tietoturvan huomioimista systeemityön kaikissa vaiheissa </li></ul><ul><ul><li>Valmiit mallit/metodologiat keskittyvät toiminnallisuuteen ja kustannustehokkuuteen – tietoturva heikosti huomioitu </li></ul></ul><ul><ul><li>Apua ja ohjeita löytyy jo: BSIMM, SAMM, MS SDL, OWASP,… </li></ul></ul><ul><li>Vältä tietoturvan ”perisynti” – tuotelähtöinen suojausajattelu </li></ul><ul><ul><li>Luo fiksut toimintamallit sen sijaan, että syydät rahaa sovelluksen ”turvakuorrutukseen” </li></ul></ul><ul><ul><li>” Hakkerointi” on helppoa, kovat tyypit koodaavat laadukasta softaa </li></ul></ul><ul><li>Tietoturvahaasteet lisääntyvät entisestään </li></ul><ul><ul><li>Monimutkaisuus, verkottuminen, ketteryys, uudet ohjelmointikielet ja –tekniikat,… </li></ul></ul><ul><li>Tasalaatua keskivertokoodareilla </li></ul><ul><ul><li>Internet-kupla ”pilasi” ohjelmoijasukupolven </li></ul></ul><ul><li>Sovelluksen turvallisuus on osoitettava </li></ul><ul><ul><li>Hyvä menetelmä ja jäljet sen jalkautumisesta </li></ul></ul><ul><ul><li>Riskiarviot, dokumentit, raportit/mittarit </li></ul></ul>Tietoturva on integroitava systeemityöhön 20.4.2010 Jari Pirhonen
  12. 12. <ul><li>Teetä tietoturvatarkastus </li></ul><ul><ul><li>Jos et osaa, hanki apua pahimpien virheiden löytämiseksi </li></ul></ul><ul><ul><li>Optimitilanteessa tarkastuksen tuloksia käytetään oman toiminnan parantamiseen </li></ul></ul><ul><li>Kouluta sovellustietoturvaa </li></ul><ul><ul><li>Siis tekemään hyviä sovelluksia, ei ”hakkerointia” </li></ul></ul><ul><ul><li>Kuinka moni on nähnyt sovelluksesi koodirivit? </li></ul></ul><ul><ul><li>Ongelmista puolet implementointivirheitä, puolet suunnittelu- tai arkkitehtuurivirheitä </li></ul></ul><ul><li>Selvitä tietoturvavaatimukset </li></ul><ul><ul><li>Hyvin suunniteltu on puoliksi tehty </li></ul></ul><ul><ul><li>Tietoturvariskianalyysi avuksi </li></ul></ul><ul><li>Tietoturvakatselmoinnit </li></ul><ul><ul><li>Parantaa tekijöiden asennetta, osaamista ja lopputuloksen laatua </li></ul></ul><ul><li>Sovellustietoturvaryhmän perustaminen </li></ul><ul><ul><li>Yhteinen kieli ja sovelluskehityksen ymmärtäminen </li></ul></ul>Ensimmäiset askeleet 20.4.2010 Jari Pirhonen Lähde: Systeemityö –lehti, http://koti.welho.com/jpirhone/docs/sytyke_2010.pdf
  13. 13. Case 20.4.2010 Jari Pirhonen
  14. 14. <ul><li>Osaamisen ja asenteiden kehittäminen kaikilla tasoilla </li></ul><ul><ul><li>Johto, projektipäälliköt, arkkitehdit, sovelluskehittäjät, testaajat, tietoturva-asiantuntijat,… </li></ul></ul><ul><ul><li>Tietoturvavastuu, riskiajattelu, omien ratkaisujen arviointi </li></ul></ul><ul><li>Systeemityömallin käyttökuri </li></ul><ul><ul><li>Tietoturva täytyy sisällyttää toimintamalleihin ja mallia on noudatettava </li></ul></ul><ul><li>Tietoturva-asiantuntija syndrooma </li></ul><ul><ul><li>Tietoturva ”ulkoistetaan” asiantuntijoille </li></ul></ul><ul><li>Harva sovellus aloitetaan tyhjältä pöydältä </li></ul><ul><ul><li>Tukeudutaan olemassa oleviin ratkaisuihin liian helposti </li></ul></ul><ul><li>Tarkistuslistafetissi </li></ul><ul><ul><li>Halutaan tarkistuslistoja - jääkö tilaa omalle ajattelulle? </li></ul></ul>Käytännössä havaittuja haasteita 20.4.2010 Jari Pirhonen
  15. 15. <ul><li>Nykyaikaisten verkkosovellusten tietoturvaaminen on haastavampaa kuin luuletkaan. </li></ul><ul><ul><li> Tarvitaan kokonaisarkkitehtuurinäkemystä, monipuolista osaamista ja tietoturvaspesifistä osaamista. </li></ul></ul><ul><li>Tietoturva on huomioitava kattavasti sovelluskehityksen kaikissa vaiheissa. </li></ul><ul><ul><li>Tämä vaatii merkittäviä ponnistuksia ja yrityksen sitoutumista. Kulttuurimuutosta. Hyviä käytäntöjä löytyy tueksi, mutta ne on sovitettava omaan yrityksen toimintatapoihin. </li></ul></ul><ul><li>Käytännön etenemismalli ja havaittuja haasteita </li></ul><ul><ul><li> Älä haukkaa liikaa kerralla, hae pikavoitot ja suurimmat hyödyt. Vaadi tietoturvajälkiä. </li></ul></ul>Yhteenveto 20.4.2010 Jari Pirhonen

×