Tulostusversio

1/2014

Tietoturva alkaa ohjelmistosuunnittelusta

Teksti: Antti J. Lagus
Kuvat: Jyrki Vesa

TS_12014_ohjelmistot.jpg

”Uhat pitää voida mallintaa ja arvioida jo suunnitteluvaiheessa”, muistuttaa Miso Korkiakoski ohjelmistoyritys Reaktorista.

Turvallisen ohjelmiston rakentaminen pitäisi aloittaa jo ennen kuin ensimmäistäkään koodiriviä on kirjoitettu.

Viime kesänä ruotsalainen operaattori Telia lähestyi tunnistuspalvelunsa käyttäjiä kirjeellä. Siinä kerrottiin, että palvelussa oli havaittu ohjelmistohaavoittuvuus. Käyttäjiä kehotettiin päivittämään ohjelmistonsa välittömästi uuteen, paikattuun versioon.

Kyseistä ohjelmistoa käyttää Ruotsissa noin miljoona henkilöä Telian tarjoamassa tunnistuspalvelussa. Haavoittuvuus liittyi tilanteisiin, joissa käyttäjä tunnistautuu www-sivuilla. Ruotsin CERT-yksikön mukaan liitännäisohjelman virheen takia www-sivu – ja sen mukana mahdollinen hyökkääjä – keräsi käyttäjän huomaamatta kaikki varmenteen julkiset tiedot, kuten sen haltijan nimen ja henkilötunnuksen.

Laadun merkki

Tunnistuspalvelun yhden osatekijän ohjelmistovirhe on vain yksi esimerkki siitä, millaisia vaikutuksia ohjelmistoilla ja niiden virheillä on tietoturvaan. Ohjelmistokehittäjät ovatkin paljon vartijoina: jos tietoturvaa ei huomioida koodauksessa, myöhemmät toimenpiteet ovat tietyssä mielessä päälle liimattuja laastareita paikkaamassa heikon koodin aiheuttamia riskejä.

Ohjelmistoyritys Reaktorin vanhempi konsultti Miso Korkiakoski painottaa, että tietoturvan pitää olla ohjelmistossa sisäänrakennettuna. Kyse on samanlaisesta laatuvaatimuksesta kuin siinä, että koodin pitäisi olla virheetöntä tai ohjelmiston päivitettävissä. 

Tietoturvallisen ohjelmiston luomiseksi kehittäjän täytyy ymmärtää riskit ja niiltä suojautuminen.

”Uhat pitää voida mallintaa ja arvioida jo suunnitteluvaiheessa: mikä on kriittistä dataa, ja minkälaisilla toimilla siihen pääsee käsiksi?” Korkiakoski sanoo.

”Suojautumisessa auttavat muun muassa teknologiavalinnat ja ohjelmistoarkkitehtuurin perussuunnittelu.”

Kehittäjän pitää hahmottaa ohjelmiston käyttöympäristö ja ymmärtää, mitkä siinä ovat sellaisia reittejä, joita pitkin dataan voi päästä käsiksi. Esimerkiksi www-sivujen lisäksi järjestelmiin voi päästä käsiksi vaikkapa intranetin kautta. Kriittinen tieto voi olla siellä täysin selkokielisessä muodossa.

Sekin on hyvä ymmärtää, minkälaisia työkaluja on hyökkääjien työkalupakissa. Korkiakoski suosittelee niiden käyttöä kehitysvaiheessa samoin kuin osallistumista koulutuksiin, jota Suomessa tarjoavat monet tietoturvayritykset.

Aidattuja puutarhoja ei enää ole

Viestintäviraston kyberturvallisuuskeskuksen NCSA-toiminto auditoi kriittistä tietoa sähköisesti välittävien viranomaisten ja yritysten tietojärjestelmiä. Erityisasiantuntija Juhani Erosen mukaan ohjelmistoihin on usein käytännössä mahdotonta saada hyväksyntää, jos tietoturvaa ei ole suunniteltu mukaan alusta alkaen.

Hän muistuttaa, että tietojärjestelmiä ei enää voi ajatella aidattuina puutarhoina, joita palomuurit suojaavat. Palomuurit voivat olla täynnä haavoittuvuuksia, joiden avulla ulkopuolinen voi päästä sisään. Nykyisin riskejä lisää myös se, että järjestelmien osat eivät välttämättä ole enää omassa konesalissa, vaan ne voivat olla pilvessä tai alihankkijalla.

Toisaalta palvelinohjelmistojen laatu on parantunut, ja Erosen mukaan hyökkääjät ovat huomanneet sen. Siksi he ovat siirtyneet tekemään hyökkäyksiä käyttäjiä vastaan. Käyttäjät toimivat usein kännyköillä ja käyttävät paljon eritasoisia ohjelmistoja.

”Järjestelmän sisäpuoli pitää hoitaa kuntoon, sillä ei voida olettaa, että sisällä on pelkästään luotettuja käyttäjiä. Kun hyökkääjä on päässyt sisälle, hän kolkuttelee siellä kaikkia järjestelmiä”, Eronen sanoo.

Tutkivaa testausta ja automatisointia

Kun ohjelmisto on saatu koodattua, pitää jättää riittävästi aikaa sen toimivuuden varmistamiseen. Siinä auttavat tutkiva testaus ja automaattitestit.

Reaktorin Miso Korkiakoski painottaa tutkivan testauksen merkitystä. Testaaja voi esimerkiksi jotakin parametria muuttamalla päästä suojauksista läpi. Testaus on syytä tehdä viimeistään siinä vaiheessa, kun ohjelmisto menee tuotantoon mutta mielellään jo aikaisemmin.

Jos testaus jätetään loppuvaiheeseen eikä ohjelmistoa ole tehty arkkitehtuurisuunnitelman mukaisesti, voi sen korjaaminen käydä kalliiksi. Järjestelmän pohjan rakentaminen tietoturvalliseksi maksaa siten itsensä takaisin.

Myös se pitää varmistaa, etteivät käyttäjät pääse käsiksi toisten käyttäjien tietoihin. Säännöt pitää kirjoittaa yhteen paikkaan eikä joka puolelle järjestelmää. Näin niiden ylläpito on huomattavasti helpompaa.

Valmista ohjelmaa voidaan kehittää edelleen esimerkiksi lisäämällä siihen toiminnallisuuksia, kuten uusia pääsyreittejä. Tyypillinen lisäys on esimerkiksi selainliittymään tehtävä rajapinta mobiililaitteille.

”Aina, kun datan käyttöön tulee uusia kanavia, pitää muistaa turvata uudet rajapinnat”, Korkiakoski muistuttaa.

Auditointi paljastaa hutiloinnin

Ohjelmien laadukkuus on keskeistä tietojärjestelmien auditoinnissa eli tarkastamisessa. Esimerkiksi Viestintäviraston auditoinnin läpäisseet tietojärjestelmät saavat hyväksynnän, jolla on merkitystä kansainvälisissä tarjouskilpailuissa.

Viestintäviraston Juhani Eronen painottaa, että tarkastusta aloitettaessa on oltava selvillä, miksi järjestelmä pitää suojata. Aluksi pitää myös määritellä, mitä järjestelmään kuuluu. Jos tässä hutiloidaan, voidaan joutua tarkastamaan epäolennaisuuksia.

”On myös tärkeätä tietää, millaista kriteeristöä vasten järjestelmää tarkastellaan”, Eronen sanoo.

”Jos esimerkiksi järjestelmään liittyy EU-tietoa, EU:lta tulee vaatimuksia. Jos järjestelmä on kahden valtion välinen, vaatimukset voivat olla yksityiskohtaisiakin.”

Lue myös

Ohjelmistoturvallisuuden viisi vinkkiä »
Turvallinen järjestelmä ei ole sattumaa »

Bookmark and Share
Anna palautetta

Kommentit (0 kpl)

Ei kommentteja.

 

Kommentoi








Kyllä


* = Pakollinen tieto

Uutiset

•  = artikkeli on luettavissa vain netissä

 

 

tietosuoja_logo_2013.gif

 

 

 

Vastaava toimittaja
Hanna Tamminen


 


 

 

 

 

Julkaisijat
Tietosuojalautakunta
Tietosuojavaltuutetun toimisto
Viestintävirasto
Patentti- ja rekisterihallitus



 

 

 

 

 

 

 

Rekisteriselosteet »

Tietoa evästeistä »

 

 

 

Tietosuoja-verkkojulkaisua julkaistaan Tietosuoja-lehden yhteydessä. Yhdessä lehti ja verkkojulkaisu tutustuttavat tietosuojan normeihin ja käytäntöön, tietoturvaan ja viestinnän luottamuksellisuuteen. Tarkoituksena on ohjata hyvään rekisterinpitoon sekä tietoturvallisuuden ja viestinnän luottamuksellisuuden varmistamiseen.