Uudistesse jõuab ikka ja jälle teateid massirünnakutest, mida korraldavad ülevõetud arvutid või serverites lahti häkitud kasutajakontod. Veebisaidi omanik ei pruugi seda ise enne tähelegi panna, kui teenusepakkuja pöördub tema poole palvega turvaauk lappida või lekkinud kasutaja-andmed ära muuta.ASd
Kuidas aga enne suure pahanduse sündimist kindlaks teha, et veebiga on kõik korras?
Selleks on mitmeid tööriistu, millega oma kodulehe turvalisust testida.
1. Scan My Server
Lihtne teenus küsib veebiaadressi ja e-posti aadressi. Üks veebisait on testimiseks tasuta, kontrolli võib tasuta läbi viia ka ükskõik millal tulevikus. Selleks, et lehekülg valideerida, peab kuhugi, näiteks jalusesse panema Beyond Security bänneri, sellise:
Tulemuseks on raport, mis saadetakse e-postile või on näha kodulehelt sellelsamal "Secure Site" bänneril klõpsates.
Täit kindlust see test kodulehel kasutatava koodi turvalisuse kohta ei pruugi siiski anda, aga Beyond Security lubab, et üle vaadatakse võimalik failidesse istutatud pahavara, SQL nakatamine ja cross site scripting (XSS). Üle kümne aasta vanuse skriptiga (küll suhteliselt lihtsa programmikoodiga kodulehel) siiski ühtki turvaauku ei leitud.
2. Sucuri
Sucuri veebitestija (ülal) on eelmisest mugavam, kuna oma kodulehele ei pea panema mingit bännerit. Lihtsalt sisestad URL-i ehk veebiaadressi ja kõik kontrollitakse üle. Tulemus ilmub hetke pärast veebi, nii et ka oma e-postiaadressi ei pea loovutama.
Soovitatakse küll lisada testiteenuse pakkuja enda loodud tulemüür, mis veelgi tuvalisust tõstab, kuid muudest ohtudest antakse ka ülevaade: võimalikust pahavarast, kas koduleht on kuskil mustas nimekirjas (näiteks brauser ei luba kodulehele pöörduda), spämmivarast nakatumine, näotustamine.
Kui brauseri andmebaasis on koduleht märgitud ohtlikuks, siis kuvatakse sellist teadet.
3. Quterra
Samuti vaid veebisaidi aadressi vajav turvaskänner on populaarne ja ei anna tulemust kohe, vaid paneb kodulehe skännimisjärjekorda. Oleme oma veebiga ootelistis 16. kohal. Kui testiks läheb, jooksevad ekraanil numbrid, mis näitavad, kui palju faile on kodulehelt alla laaditud kontrollimiseks. Vähemalt kasutajaliides püüab jätta muljet, et tasuta tööd tehakse palju.
Testime lehte ühe üle kümne aasta vana PHP sisuhaldustarkvaraga ning peale umbes 12-minutist ootamist saabuvad tulemused, mis kinnitavad, et vigu pole.
4. Norton
Muidugi ei maksa kõrvale jätta turvatarkvarade raskekahurväge. Symanteci Nortoni tooted on kõigile tuntud, neil on olemas ka onlineskänn. Proovime sedagi 2003. aastast pärit koodiga vanal veebilehel.
Paraku ei anna Norton tulemust kohe teada, vaid lisab oma andmebaasi edasiseks kontrollimiseks. Millal see peaks valmis saama, seda esialgu teada ei anta. Kui oma sait kinnitada omanikuna, siis asub kommuun veebilehte hindama ja võib öelda oma rohkem või vähem subjektiivse arvamuse.
5. Detectify
Nemad ütlevad kohe alguses karmilt: häki kõigepealt iseennast, sest muidu teeb seda keegi teine. Tehakse üle saja turvatesti ja tasuta testiks peab end registreerima. Päris niisama tulemust kätte ei anta. Registreerimisega kaasneb ka turvatarkvara 14-päevane tasuta prooviperiood. Sellega pahalasi vana koodiga veebist samuti leida ei õnnestunud.
6. Web Inspector
Comodo turvatesti lehekülg pakub vaid veebiaadressi sisestamise akent ja viskab hetke pärast ekraanile tulemuse. Hetk kestab paar-kolm minutit.
7. Siteguarding
Küsitakse palju ja vastusega ei kiirustata: tulemuse saab teada 24 tunni jooksul. Kes julgeb võõrale teenusepakkujale paroole sisestada, saab üle anda ka oma FTP-konto, sisuhalduse administraatori parooli, Cpaneli ligipääsu ja nii edasi. Kui tõesti tõsist vajadust pole, siis ei maksaks seda testi teha. Kui aga muu ei tundu enam aitavat, siis võib tõesti vaja olla 24-tunnist tasuta turvaasjatundjate abi.
Lihtsamalt saab hakkama Free Scan sektsioonis, kus vaja vaid veebi aadressi.
8. Acunetix
Tasuta onlinekontroll leiab üle viiesaja turvanõrkuse. Vaja on enda registreerimist ja sellega kaasneb tarkvara 14-päevane tasuta kasutusõigus. Efektsed raportid on eriti huvitavad loomulikult siis, kui on mingi turvaoht. Korraliku veebiga on tulemus igav, aga süda rahul.
9. Tinfoil
Online skänn on taas lihtne: sisestada tuleb vaid veebiaadress. Kuid tulemused on huvitavamad. Kui seni olid kõik testid andnud tulemuseks, et ühtki ohtu pole, siis Tinfoil (hõbepaber, hea nimi paranoiliste testijate jaoks) leiab esimese viie minutiga juba kaks turvaohtu.
Nii tundub, et vana tarkvara võib ikkagi olla auklik. Päris veebis ei maksaks seda katsetada, sest 2003. aastal kirjutatud kood võib praeguseks sisaldada juba päris palju lahtimurtavaid kohti.
Kokku leitakse neli turvaauku. Ükski neist pole küll tõsine, aga võiks kaalumisele minna kui likvideeritav võimalus. Näiteks peetakse pahaks HTTP meetodite GET ja POST lubamine, kaks spämmerite maiuspala leiti e-postiaadresside näol, mida polnud masinate eest peidetud, vaid mis olid kodulehel tekstina kätesaadavad ja neljas ebamugavus oli sisestatavate andmetega kontaktivorm, mis polnud kaitstud CAPTCHA või muude vahenditega.
Samuti pole tegemist suure turvaohuga, kuid see võib veebiadministraatori elu ebamugavaks teha, kui selle veebivormi kaudu hakatakse spämmima.
10. SSL Labs
Kui testida vaja turvalise SSL-ühendusega ehk krüpteeritud andmesidega veebilehte, aitab SSL Labs. Saab teada, kas kodulehe turvasertifikaatidega on ikka kõik korras.
