RE:

Web-sovellusten tietoturvapuutteet ja haavoittuvuudet ovat asiantuntijoiden mukaan yhä suurempi riski yritysten liiketoiminnalle. Erilaiset asiakkaille suunnatut Web-sovellukset voivat tarjota helpon väylän tietomurroille, jos riskejä ei ole arvioitu kattavasti eikä näitä ole huomioitu verkkopalveluja toteutettaessa.

Web-tietoturva 2008 -seminaarissa viime perjantaina esiintyneiden asiantuntijoiden viesti yritysten liiketoimintajohdolle oli selvä: Web-sovellusten haavoittuvuudet ovat riski koko yrityksen liiketoiminnalle, ei vain tietohallinnolle.

Seminaarissa esiintyneen, kansainvälisesti tunnetun tietoturvatutkija Petko D Petkovin mukaan informaatiorikollisuus on jo tuottoisampaa kuin huumerikollisuus. Niin sanottujen perinteisten botnet-häiriköintien, kuten palvelinestohyökkäysten ja roskapostitusten, rinnalle on noussut yhä suurempaan rooliin mainoslinkkien pakkosyötöt sekä erilaiset muut tietomurrot. Hyökkäyksen kohteena voi olla esimerkiksi verkkoon kytketty monitoimilaite, jonka työmuistista voidaan varastaa arvokkaita ja arkaluontoisia asiakasdokumentteja.

Haavoittuvuustutkija Henri Lindbergin mukaan Louhi Networksin tietoturva-auditoinneissa ilmenee, että Web-sovellukset sisältävät edelleen paljon haavoittuvuuksia, vaikka tietoturvariskien ei pitäisi enää olla kenellekään uusi asia.

- Puutteellinen auktorisointi ja muut loogisen tason haavoittuvuudet ovat edelleen valitettavan yleisiä. Paljon julkisuutta saaneet ongelmat ovat vain yksi osa haavoittuvuuksien kirjoa, huomauttaa Linberg.

Myös Suomessa viime vuosien yleisimpiä löydöksiä ovat olleet niin sanotut cross site scripting -haavoittuvuudet, joissa haitallista html- tai javascriptia tallennetaan tietoihin verkkopalvelussa tai syötetään verkkopalveluun käyttäjän seuraaman linkin avulla. Haavoittuvuuksien yhdistäminen tekee uhkasta entistä vakavamman, esimerkkinä Kerro kaverille -toiminnon kautta lähetettävät linkit, jotka hyödyntävät tätä ns. XSS-haavoittuvuutta.

Lisätietoja

Henri Lindberg

Haavoittuvuustutkija, Louhi Networks

Puh. 050 500 3042

henri.lindberg@louhi.fi

Louhi Networks on IT-ylläpitopalveluihin ja tietoturvaratkaisuihin keskittynyt palveluyritys. Louhi auttaa yrityksiä keskittymään omaan liiketoimintaansa mahdollistamalla tietoturvalliset ja huolettomat IT-ratkaisut. Louhi on osa voimakkaasti kasvavaa Smilehouse-konsernia, johon kuuluvat myös Smilehouse Oy, Smilehouse Baltic Oü ja Karttago Oy. Konsernin liikevaihtoarvio vuodelle 2008 on 5,5 M€.

Web-tietoturva 2008 on Louhi Networksin asiantuntijaseminaari, jossa käsitellään ajankohtaisia tietoturvariskejä erityisesti Web-sovellusten ja liiketoiminnallisten riskien näkökulmasta.