Verkkosivujen TLS-salauksen taso Helsingin pörssiyhtiöillä - Soivi, Lauri; Kiuru, Niko (2022)
Internetin käyttö on lisääntynyt viime vuosien aikana merkittävästi, mikä on johtanut siihen, että verkossa jaetaan enenevissä määrin arkaluonteista tietoa. Verkkosivun ja verkkoselaimen välillä siirrettävän arkaluonteisen tiedon turvalliseen välittämiseen on kehitetty TLS-salaus, mutta tämän käyttöönottaminen ei yksinään takaa riittävää turvallisuutta. Tämä johtuu siitä, että TLS-salaus koostuu useista eri asetuksista, jotka verkkosivustojen ylläpitäjien pitää huomioida, jotta salaus voidaan toteuttaa riittävän vahvasti. Jos salausta ei toteuteta riittävän hyvin, voi pahantahtoisille tahoille vuotaa arkaluonteista tietoa, kuten käyttäjätunnuksia tai salasanoja. Tämän tutkielman päätavoitteena oli perehtyä Helsingin pörssiyhtiöiden verkkosivujen TLS-salauksen tasoon ja tarkastella, onko kyseiset verkkosivut salattu riittävän vahvalla TLS-salauksella. Tutkimuksen alatavoitteena oli kehittää työkalu, jolla voidaan kerätä tietoa verkkosivujen TLS-salauksesta. Tutkimuksen teoriaosuudessa esitellään oleellisia käsitteitä liittyen verkkosivustojen toimintaan sekä keskitytään TLS-salaukseen ja siihen liittyviin osioihin. Teoriaosuuden lopussa käsitellään vahvan TLS-salauksen tärkeyttä sekä luodaan TLS-salauksen suositeltu vähimmäistaso, jota vasten kerättyjen verkkosivujen TLS-salausta verrattiin. Kehitetyn työkalun avulla kerättiin 4431 kappaletta Helsingin pörssiyhtiöiden julkisia verkkosivuja, joiden TLS-salauksen tasoa arvioitiin. Työkalu julkaistiin julkiseen käyttöön, jotta kuka tahansa pystyy hyödyntämään tai kehittämään työkalua omiin tarpeisiinsa. Tutkimuksessa vain 3,5 prosenttia kerätyistä verkkosivuista täytti kaikki asetetut TLS-salauksen vähimmäistason suositukset. Tulos viittaa siihen, että tutkittujen verkkosivujen TLS-salauksien vahvuudessa olisi parannettavaa. Tutkimuksessa avattiin tarkemmin kaikki kymmenen asetettua suosituskategoriaa, jotta nähtiin yleisimmät syyt sille, miksi verkkosivut eivät läpäisseet asetettuja suosituksia. Nämä yleisimmät puutteet löytyivät salaussarjoista, OCSP staplingista ja HSTS:stä. Tutkimuksessa esitettiin mahdollisia syitä, miksi verkkosivujen TLS-salauksen eri osa-alueet eivät täyttäneet asetettuja suosituksia, mutta todellisten syiden selvittäminen jätettiin jatkotutkimuksiin, koska niiden selvittäminen ei kuulunut tämän tutkimuksen tavoitteisiin.