Turvallinen ohjelmisto

Esittely › Käyttöohjeet › Turvallinen ohjelmisto

Turvallisuusilmapiirin kiristyminen maailmalla on vaikuttanut ohjelmiston tuotekehitykseen positiivisella tavalla. Ohjelmistoon toteutetut turvallisuusratkaisut ylittävät reippaasti nykyvaatimukset. Kerromme tällä sivulla ensin yleisistä turvallisuusriskeistä. Lopuksi paljastamme jotain itse ohjelmiston turvallisuudesta.

Muun muassa Deutsche Telekom näyttää kyberhyökkäykset kartalla.

Turvallisuusriskit

Suurimmat turvallisuusriskit ovat käyttäjälähtöisiä. Ohjelmiston käyttäjät, eli verkkokauppiaat ja heidän avustajansa, saattavat esimerkiksi säilyttää salasanaa Post-it -lapulla näyttöön liimattuna tai tallentaa sähköpostiviestejä yhdysvaltalaiselle pilvipalvelimelle. Salasanoina saatetaan käyttää heipparallaa-tyylisiä salasanoja. Verkkokaupan asiakkaat saattavat käyttää samaa salasanaa eri verkkopalveluissa tai ilmoittaa henkilötunnuksensa, vaikka sitä ei kysytä.

Riskien vähentäminen

Internetiin kytketyn tietojärjestelmän turvallisuusriskejä ei voida koskaan poistaa kokonaan, mutta hyväksyttävä riskitaso on mahdollista saavuttaa. Clover Shoppia käyttävän verkkokauppiaan ei tarvitse huolehtia ohjelmiston turvallisuudesta. Riittää, että hän käyttäytyy Internetissä järkevästi kaiken kiireen keskellä.

Salasanat

• Käytä eri verkkopalveluissa vaikeasti arvattavia salasanoja, kuten esimerkiksi Fn34V###Xi7D
  - Salasanan pituudella ei ole niin suurta merkitystä kuin yleisesti luullaan
• Käytä eri verkkopalveluissa eri salasanoja
• Vaihda salasanasi edes kerran vuodessa
• Vältä salasanan tallentamista minkään ohjelman muistiin
  - Selaimen muistiin voit sen tallentaa

Oma tietokone

• Älä avaa sähköpostin liitetiedostoja, vaikka lähettäjänä olisi tuttu henkilö, ellet odota kyseistä liitettä
• Päivitä käyttöjärjestelmä automaattisesti
• Tarkista käyttöjärjestelmän tietosuoja-asetukset
• Asenna tietoturvaohjelmisto (Bitdefender, Norton tms.)
• Päivitä tietoturvaohjelmisto automaattisesti
• Päivitä selain automaattisesti (Firefox, Chrome jne.)
• Tarkista selaimen tietosuoja-asetukset
• Päivitä selainlaajennukset ja lisäosat riittävän usein (Adobe, Flash, Java jne.)
• Päivitä pdf-lukijasi automaattisesti (Adobe Acrobat)
• Päivitä FTP-ohjelma riittävän usein (Filezilla jne.)

Ohjelmisto

• Asenna ohjelmisto suomalaiseen www-hotelliin
• Asenna ohjelmisto salattuun yhteyteen (https://)
  - Salattu yhteys salaa tietoliikenteen Internetissä, mutta ei tee mitään muuta
• Päivitä ohjelmisto säännöllisesti

Riskien toteutuminen

Turvallisuusriskin toteutuminen edellyttää yleensä, että jokin kolmas toimija rikkoo lakia. Näitä henkilöitä kutsutaan krakkereiksi. Krakkerit asentavat botteja, eli viruksia ja vakoiluohjelmia käyttäjien tietokoneille. Nämä botit suorittavat murtoja itsenäisesti. Botit voivat asentaa myös uusia botteja. Usein näitä botteja onkin ketjutettu ja hajautettu eri tietojärjestelmiin halutun lopputuloksen aikaansaamiseksi.

Ohjelmiston turvallisuus

Tuotekehitystiimillämme on yli kymmenen vuoden kokemus turvallisten verkkosivustojen suunnittelusta. Neljännen ohjelmistosukupolven Clover Shopin turvallisuus perustuu muun muassa asennusten hajauttamiseen, turvallisuuskerroksiin, salattuun lähdekoodiin ja salausalgoritmien hajontaan. Tarkat yksityiskohdat ovat salaisuuksia. Voimme kuitenkin paljastaa muutamia yleisesti tiedossa olevia seikkoja.

• Hyökkäys yhteen verkkokauppaan ei vaikuta muihin verkkokauppoihin, koska ohjelmisto toimii verkkokauppiaan omassa kotisivutilassa ja verkkokauppiaat ovat valinneet hajautetusti eri www-palveluntarjoajia.¹⁾
• Verkkokaupan tietokanta ei vuoda verottajalle verkkokauppapalvelun tarjoajalle tehtävän vertailutietotarkastuksen yhteydessä, koska verkkokauppapalvelun tarjoajaa ei ole olemassa.¹⁾
• Ohjelmisto ei käsittele henkilötunnuksia, korttitietoja, pankkitunnuksia tai maksuja.
• Ohjelmiston lähdekoodi on salattu ja sinetöity (ei ole open source).
• Jokaisen salasanan tiiviste lasketaan erilaisella salausalgoritmilla.
• Ohjelmisto voidaan asentaa salattuun (https://) yhteyteen.
• Sähköpostiviestit voidaan lähettää omilla SMTP-tunnuksilla autentikoidusti ja salatusti.
• Lomakkeissa on sekä esitarkistus (pattern) että vastaanottotarkistus (POST).
• Hallintaliittymän käyttäjillä on rajoitetut toimialueet.