E-közigazgatási rendszerek és alkalmazások sebezhetőségi vizsgálata -Bevezetés- Krasznay Csaba
Absztrakt
A programozási hibák kiszűréséhez körültekintő tesztelésre van szükség. Amíg azonban a funkcionális és terheléses teszteknek kifinomult módszertana van, a biztonsági hibák felderítésére csak az elmúlt években kezdtek eljárásokat kidolgozni.
Jelen tanulmány célja, hogy bemutassa azokat a releváns szabványokat és ajánlásokat, melyek segítségével az e-közigazgatási rendszerek fejlesztői szisztematikus módon tudják a legfontosabb biztonsági hibákat webes alkalmazások esetén kiszűrni.
A sebezhetőség-vizsgálati módszertanok széles skálájának ismertetése és a Common Criteria behatolás-tesztelési követelményei segítenek meghatározni az elvárt ellenőrzési mélységet. A tipikus hibák ismertetése után célunk ezekből kiindulva egy olyan tesztelési követelményrendszer összeállítása, mely tetszőleges internetes alkalmazás esetén személyre szabható, és segít a támadási felületek csökkentésében az elektronikus közigazgatási környezetben.
Bevezetés
Az e-kormányzati rendszerek stabil működésének egyik legfontosabb kihívását a köznyelvben hackerként elterjedt támadók jelentik. Módszereik jellemzően tisztán informatikaiak, melyek a hálózati réteget, az operációs rendszereket, az alapszoftvereket és magát az alkalmazást célozzák meg, melynek eredménye az adatszivárgástól kezdve a szolgáltatás ellehetetlenítéséig terjed.
A magyar központi közigazgatás informatikai rendszerei kielégítőnek mondható hálózati védelemmel rendelkeznek, melyet a Nemzeti Hálózatbiztonsági Központ működése is elősegít, de az alkalmazási réteg felé haladva egyre több kockázattal szembesülhetünk. Különösen igaz ez a böngészőn keresztül elérhető portálokra, melyek sebezhetőségeit szinte észrevétlenül fel lehet deríteni, és ezeket kihasználva akár a védettnek gondolt adatbázisokig vagy belső hálózatokig is el lehet jutni. Egy nem kellő körültekintéssel megírt alkalmazás tehát akár olyan erőforrásokat is veszélybe sodorhat, melyekről az üzemeltető ezt nem is gondolná.
A tesztelési forgatókönyv végrehajtása nem garantálja minden távoli támadás sikeres kivédését, de nagymértékben csökkenti az automatizálható és kevesebb hozzáértést igénylő hibák kihasználásának kockázatát. Mivel magyar nyelven ilyen jellegű módszertan nem érhető el, jelen dokumentum célja hiánypótló módon segíteni a közigazgatási fejlesztők és megrendelők munkáját a behatolás-tesztelés területén.
