Seitsemän vinkkiä Turvallisemmalle Internet-päivälle, käännös

Alkuperäinen artikkeli löytyy osoitteesta community.joomla.org/blogs/community/1801-seven-tips-for-safer-internet-day.html

Seitsemän vinkkiä Turvallisemmalle Internet-päivälle

Yhdettätoista Turvallisempaa Internet-päivää (Safer Inter Day - www.saferinternet.org.uk/I ) vietetään maailmanlaajuisesta tänään, 11.2.2014.

• Päivän teema on ”Luodaan yhdessä parempi internet”
• Se on aivan samanlainen, kuin mikä tahansa muu tiistai kalenterissasi, mutta pitäisikö sen olla?
• Kuinka turvallinen sivustosi oikeasti on?
• Kuinka hyvin suojaat asiakkaidesi ja käyttäjiesi luovuttamia tietoja?

Valitettavasti turvallisuuden ollessa kyseessä ei täysin varmaa ratkaisua ole olemassa, sillä mihin tahansa järjestelmään voidaan murtautua. On kuitenkin lukuisia pikku jippoja, joilla käsiksi pääsy tietoihisi voidaan tehdä paljon vaikeammaksi. Jokainen lisäkerros parantaa mahdollisuutta, että mahdollinen tietomurtoa yrittävä kyllästyy sivustosi tietoturvan tasoon ja siirtyy seuraavan uhrin riesaksi.

Tässä seitsemän vinkkiä turvaamaan sivustoasi!

1. Piilota Ylläpito-kansio!

Miksi jättäisit oven auki vieraille? Oletusarvoisesti Joomla! näyttää vallan mukavan kirjautumismoduulin jos lisäät sivuston osoitteen perään /administrator – näin epätoivotut vieraat tarvitsevat vain käyttäjänimen, kuten ”admin” ja he voivat alkaa arvailemaan salasanaa.

Vaikket /administrator-kansiota voikaan uudelleen nimetä (ilman erikoistuneiden lisäosien, kuten Akeeba Admin Toolsin apua), voit tehdä siihen käsiksi pääsemisen vaikeammaksi. Yksi tapa on käyttää Verkon palomuuri (Web Firewall) –työkalua uudelleen ohjaamaan ylläpito-osoite, jos sivustosi ainutlaatuista salaista sanaa (secret word) ei ole lisätty sen perään.

2. Lisää ylimääräinen munalukko takaoveen!

Käytä salasanasuojaa hakemistot –toimintoa, joka löytyy palveluntarjoajasi kautta.

Voit myös luoda omat .htpasswd- ja .htaccess-tiedostot, jotka estävät suoran sisäänpääsyn Joomla!:n ylläpitopuolen kirjautumismoduuliin.

Yhdessä nämä työkalut ja tiedostot vaativat ylimääräisen salasanan käsiksi päästäkseen Joomlan sisäänkirjautumiseen, mahdollistaen oikeuksien rajoittamisen tietylle, valitulle listalle ip-osoitteita.

Vaikka tämä ei täysin estäkään tietomurtojen mahdollisuutta, lisää se murtautujan vaivaa huomattavasti, saaden heidät ehkä luovuttamaan ja ehkäisemään myöhempiä yrityksiä.


3. Poista käyttäjänimi emailista!

Löydettyäsi Joomlan sisäänkirjautumismoduulin tarvitset kahta tiedonpalasta kirjautuaksesi.

Älä luovuta yhtä niistä ilmaiseksi jättämällä käyttäjänimeä Admin aktiivisten käyttäjien tietokantaan.

Se on kuin jättäisi toisen tallelokeron avaimista suoraan lukkoon, jättäen vain toisen lukon avattavaksi vaikka väkivoimalla.

Uudelleennimeä tai poista admin-käyttötili.

4. Päivitä sovelluksesi

Sekä PHP:n kehittäjäyhteisö, että Joomlan kehittäjäyhteisö työskentelevät hiki hatussa pysyäkseen askelkaupalla edellä hakkereita päivitettyjen tietoturvasovellusten avulla. Noista parannuksista ei ole iloa ellet asenna niitä!

Suurin osa palveluntarjoajista tekee osuutensa pakottamalla sivustoja siirtymään 5.3.x:tä vanhemmilta PHP:n versioilta. Sinun pitäisi myös tehdä osuutesi päivittämällä Joomlasi tietoturva ajan tasalle kuukauden sisään päivitysten julkaisusta, se ei vaadi kuin yhden painalluksen!

Tämä pätee myös lisäosiisi. Jos päivitysten seuraaminen tuntuu kovin työläältä ja aikaa vievältä, voit käyttää joitakin sivustoa tarkkailevia työkaluja, kuten myjoomla.com tai watchful.ii ilmoittamaan sinulle tärkeistä päivityksistä sivustoasi varten.

5. Parannettu turvallisuus

Joomla 3.x-sarjan tuoreimmilla julkaisuilla on paremman tason salasanasuojaus.

Joomlan version 3.2-julkaisun myötä CMS:ään lisättiin uusi ominaisuus nimeltä Vahvat salasanat (Strong Passwords). Tavoitteena oli parantaa salasanatarkisteiden kryptausta ja säilöntää BCryptin kautta, näin lisäten Joomla 3.2:n käyttäjätilien suojausta.

Tämä ei vaikuta niihin, jotka yrittävät sivustollesi murtautua, mutta sillä on huomattava vaikutus sivustollasi säilytettyjen käyttäjä- ja asiakastietojen ja salasanojen turvallisuudessa.

Olet esimerkiksi turvassa ex-työntekijältä tai hakkerilta, joka yrittäisi kopioida käyttäjätietokantasi, murtaen salasanasuojauksen ja yrittäen käyttää samoja käyttäjänimi ja salasanapareja toisilla sivustoilla.

Se on huomattava turvallisuusominaisuus.


6. Älä käytä samoja salasanoja

Yksi yleisimmistä hyväksikäyttötavoista on tallentaa käyttäjänimi ja salasana, joita käytetään jollakin merkityksettömällä sivustolla, ja sen jälkeen käyttää täysin samaa tai vain vähän muokattua yhdistelmää toisella, paljon tärkeämpää tietoa sisältävällä sivustolla.

Tässä tilanteessa salasananlukitus ja kahden muuttujan tunnistaminen tulevat esiin hyödyllisinä, käyttöönoton arvoisina ominaisuuksina. Tämä mahdollistaa monimutkaisten salasanojen käytön, joita ei tarvitse itse muistaa, - ja vaativat ’tiedon’ lisäksi myös ’hallussa olevan’ asian – joka vähentää riskiä, että joku pääsisi sivustolle saatuaan käyttäjänimesi ja salasanasi.

7. Tuplaten turvaa suoria tietoturvahyökkäyksiä vastaan

Jos yksi salasana on hyvä, on kaksi parempi – varsinkin jos jälkimmäinen tuhoaa itsensä!

Versiosta 3.2 lähtien Joomlassa on ollut vahva kahden vaikuttajan turvallisuusasetelma, joka hyväksyy väliaikaisen, kertakäyttöisen salasanan, joka lähetetään käyttäjälle toisen kanavan kautta, tai ainutlaatuisen turvallisuuslaitteen nimeltä Yubikey kautta, jota käyttäjä kantaa mukanaan.

Kahden yhteensopivan salasanan käyttö, joista toinen vaihtuu joka yrityksellä tai tietyin väliajoin on erittäin vahva suoja suoria tietoturvahyökkäyksiä vastaan. CMS:in joukosta ei löydy paljon Joomlaa varmemmin tietoturvamurroilta suojattua yksilöä.

Älä päädy osaksi surullisia tilastoja, jotka joutuvat käyttämään aikaan ja rahaa sivustomurron jälkilaskun siivoamiseen. Juhli Turvallisuuspäivää ottamalla käyttöön ainakin yksi näistä vinkeistä jo tänään!

Nämä ovat jo hyviä vinkkejä ja lisäävät varmasti tietoturvaa, mutta monestikaan sivuston omistajilla ei ole tarpeellista osaamista tietoturvan suhteen, joten kannattaa myös harkita ylläpitopalvelua sivuston tietoturvalle. Näitä tarjoaa monet sivustojen tekijät, osa kiinteällä vuosihinnalla ja osa tuntihinnoittelulla. Yleensä hinnoittelukaan ei ole mitenkään kohtuuton.

Ylläpitosopimuksen voi ottaa myös sivustolle, jonka on tehnyt itse.