Vahva tietoturva

Tietoturva keskeinen osa tuotekehitystämme

Tietoturvakysymykset ovat vahvasti läsnä tuotekehityksessämme. Ohjelmistomme myös tarkastetaan, testataan ja auditoidaan toistuvasti. Teemme paljon yhteistyötä tietoturva-asiantuntijoiden ja haavoittuvuustutkijoiden kanssa varmistaaksemme sovellustemme mahdollisimman korkean tietoturvan. Lisäksi tuotekehitystiimissämme on CISSP-sertifioituja osaajia.

Workspacen tuotekehityksessä on kiinnitetty huomiota mm. seuraaviin tietoturvan kannalta merkityksellisiin asioihin:

Istuntojen hallinta (Session management)

Istuntojen tunnisteet (Session identifiers) siirtyvät aina evästeissä (cookies), mikä estää niitä vuotamasta url-viittausten tai kirjanmerkkien välityksellä.

Workspace ei itse generoi istuntojen tunnisteita, vaan ne tuottaa sovelluspalvelin. Sovelluspalvelinten suurten käyttäjämäärien ja useiden tarkistusten takia näin tuotetut tunnisteet ovat vahvempia.

Tunnistus ja oikeutus (Authentication and authorization)

Workspace hyödyntää laajalti käytettyä ja hyväksi havaittua käyttäjä- ja roolipohjaista valtuutusmallia (User and Role based authorization scheme).

Workspacen hallintaliittymään pääsee vain yhtä reittiä (single point of entry), minkä ansiosta käyttäjän tunnistautumisen oikeaksi todentaminen on varmempaa.

Kaikkien käyttäjien on tunnistauduttava antamalla salasana.

Pääsy hallintaliittymään ja verkkokauppaan on mahdollista estää tietyistä ip-osoitteista. Workspace mahdollistaa ip-rajoitusten asettamisen.

Yksityisyydestä huolehtiminen (Privacy considerations)

Tietojen varastointi estetty

Workspacen esittämien sivujen header-tiedot sisältävät selaimille suunnatun kehotuksen olla varastoimatta välimuistiin sivutietoja. Tämä vähentää riskiä, että yksityisesti käytety sivut jäisivät julkisen tai yhteiskäyttöisen tietokoneen web-selaimen välimuistiin.

Vain salasanojen tarkistetiedot tallessa, ei itse salasanat

Workspace ei säilytä käyttäjien salasanoja. Vain salasanojen MD5-tarkisteluvut varastoidaan, jotta voidaan varmistua siitä, että käyttäjä antaa kirjautuessaan saman salasanan kuin aiemminkin. Varastoidut tarkisteluvut eivät paljasta salasanoja eikä lukuja voi niiden selvittämiseen hyödyntää.

Ei luottokorttitietoja

Workspacen maksutapaintegraatiot ovat rakennettu siten, ettei verkkokauppaohjelmisto tarvitse ostajien yksityisiä maksutietoja (luottokorttinumerot yms) missään vaiheessa. Ostosta tekevän henkilön antamat tällaiset tiedote menevät aina suoraan maksutapasovellukseen.

Ohjelmistoalustan tuki turvalliseen verkkokauppaan (Platform security support)

SSL-suojaus

SSL-suojauksen tulisi aina olla kytkettynä hallintaliittymään. Suosittelemme SSL-suojausta myös verkkokauppaan.

Java Sandbox ja Workspace-tietoturvaohjeet

Java Security policy descriptions can be created to externally restrict Workspace's access to the system.

Kaikistä yleisesti tietoturvaan liittyvät asiat tulee huomioida asianmukaisesti, kuten tietoturvapäivitysten asentaminen, käyttäjien auditointi, palomuurien konfigurointi kunnolla, salasanojen turvallisuus, lokitiedostojen tarkistukset jne.

Lisäksi

Cross-site scripting -esto

Cross-site scripting (CSS) on tietoturvauhka, jonka estämiseksi Workspacea on testattu useita kertoja eri tilanteet huomioiden. Esimerkiksi mitään käyttäjien antamoa tietoja ei säilytetä, jotta hallintaliittymän kaappaus voidaan estää.

Buffer overflows

Niin sanotut Buffer overflowt eivät ole Java-alustalla todennäköisiä eikä Workspace sisällä mitään laajennuksia, jotka lisäisivät näiden tilanteiden ilmenemisen todennäköisyyttä.

SQL Injection

SQL Injection on tietoturvauhka, jonka estäminen on systemaattisesti huomioitu kaikilla ohjelmiston osa-alueilla hyödyntämällä pääasiassa nk. PreparedStatements (tai vastaavaa) metodia.