Verkkosovellusten tietoturva

Insinöörityön tarkoituksena oli tutkia verkkosovellusten tietoturvaa rakentamalla itse sovellus. Työ toteutettiin käyttäen PHP-ohjelmointikieltä ja MySQL-tietokantaa. Verkkosovellukseksi valikoitui strategiapeli omien mieltymysten pohjalta. Palveluiden siirtyessä Internetiin on myös niiden tietoturvaan kiinnitettävä yhä enemmän huomiota. Samalla Internetissä käytettävistä teknologioista löydetään jatkuvasti uusia tietoturvahaavoittuvuuksia. Internet on tämän vuoksi toimintaympäristönä kiinnostava ja haastava. Sovellus rakennettiin suunnittelemalla ensin pelin mekaniikat ja sen jälkeen rakenne. Sovellus toteutettiin hyödyntäen MVC (Model-View-Controller)-malllia, jossa sovelluksen toimintalogiikka on eriytetty näkymien muokkauksen logiikasta. Tietoturvaratkaisuihin perehdyttiin laajasti, ja niistä valittiin mahdollisimman uudenaikaiset ja sovelluksen kokoon nähden sopivimmat toteutukset. Työssä varmistettiin tietokannan turvallinen käyttö valmisteltujen lauseiden avulla, jolla estetään injektiohyökkäykset. Käyttäjien syötteiden oikeanlaatuisuus varmistettiin erikseen ennen niiden käyttöä toimintalogiikassa. Työssä perehdyttiin käyttäjätietojen hallintaan itserakennetulla hallintalogiikalla. Käyttäjätiedot tallennetaan tietokantaan ja salasanoista muodostetaan tiivistemerkkijot scrypt-funktiolla. Samalla opittiin sovelluskehityksessä hyödyllisiä työtapoja ja menetelmiä, kuten versionhallinnan käyttö ja kehitysympäristön eriyttäminen tuotantoympäristöstä. Erinäisten vastoinkäymisten takia projekti viivästyi ja pelilliset ominaisuudet jäivät osin toteuttamtta. Tietoturvapuoli on silti kunnossa. Loppupäätelmä on, että oikein käytettynä PHP-kieli on turvallinen, ja sillä on mahdollista toteuttaa tietoturvallisia verkkosovelluksia.The goal of this project was to study web application security by building an own application from scratch and learning security enhancing solutions by doing so. The main technologies used were the PHP programming language and MySQL database. This thesis describes the use of the MVC architecture, as well as the procedure of storing user accounts using a self-made authentication system. Passwords were hashed in the study using a secure hashing algorithm. User data were validated, and database access was hardened with the use of prepared statements. While the game aspects of the project never fully materialized, the choices made regarding security of the whole application were solid: security considerations of the application are up to 2016 standards. The Internet is an ever changing environment with technologies and methods constantly under testing. As time passes on, new vulnerabilities will be found in the technologies used, and so in the future the security solutions need to be re-evaluated. Thus, it became apparent in the study that no web application can ever be considered as built to last