Publicerad 2015
Denna sida har gjorts allmänt tillgänglig 2018-06-05 (genom en ´redirect´ från "OM ITF")
Datasäkerhet för ITF:s webbserver hos Binero och SQL-Databasen
Vi har begärt ett klarläggande från vår leverantör, Foritec, angående den nivå av datasäkerhet som vi tillämpar.
Våra data och program ligger hos värden "Binero" som alltså står för det grundläggande åtkomstskyddet. Enligt Foritecs bedömning är Bineros säkerhetsnivå lika bra eller bättre än de flesta på den svenska marknaden.
Nästa skyddsnivå ligger i de lösenord som vi och våra användare använder. Där gäller att skyddet mot missbruk bara är så bra som våra användare är på att välja och skydda sina lösenord. Det är bl.a. en balans mellan lösenordens styrka/säkerhet och användarens upplevelse av användarvänlighet. Med hänvisning till att vi bedömt skyddsvärdet som måttligt och användarvänlighet som viktigt så ställer systemet idag måttliga krav på lösenorden. (Notera att ett stulet lösenord endast ger de behörigheter som användaren har fått sig tilldelade.)
Funktionen för att få nytt lösenord, om det gamla har glömts bort, är för grundsystemet idag något svagt på grund av att inloggningsuppgifterna sänds läsbart på nätet. (Men bara till medlemmens egen registrerade mejladress). Dessutom sparas lösenordet i klartext i databasen.
I utställningsmodulen (som är kommersiellt viktigare) har en "Glömt lösenordet"-funktion med ett tidsbegränsat temporärt lösenord införts. Därmed är den funktionen i paritet med de flesta andra på nätet. Lösenorden sparas dessutom i databasen i krypterad form (vilket försvårar, men inte förhindrar, utvinning av lösenord för den som har tillgång till databasens filer). Funktionaliteten bör på sikt även införas för resten av systemet.
1. The server we use for the hosting of the ITF web site and the database has a standard security system as the most of the Internet providers have. The infrastructure is presented in this article: http://www.binero.se/omoss/var-infrastruktur
We believe the Internet provider is as good as the other hosting providers in Sweden. Actually, they provide a feature that makes the communication channel to the server more safe than the standard methods. It is about the SSH network protocol for
secure data communication that allows us to establish a secure channel to the database server, or to the FTP server.
2. The system we use for passwords can be analyzed from two perspectives:
- the method used to save the passwords in the database.
The passwords for the ITF members accounts are saved as plain text in the database. That might be considered as not safe. In the worst case, if one gets access to the SQL table with the login accounts, then the account is irrelevant because all information about the membership is available in the database.
- the system used for sending a 'lost' password. It is clear that the safe method is to send the password only to the registered e-mail address of the user.
The new function for a 'lost' password under the Exhibitions module sends a temporary password to the registered e-mail address, and the temporary password is valid only 30 minutes. One has to login and change the password in this period of time. Thus, the permanent password is never sent by e-mail. Furthermore the permanent password is encoded in the SQL database by an MD5 hash.
If you would like to implement a similar system for the ITF membership system, we have to analyse first the actual system, and calculate the required time for the implementation.
3. The encryption of the communication channel between the users browser and the server can be realised with a standard 128-bit or 256-bit SSL certificate. The Internet provider offers such SSL certificates.
Kind regards,
Cornel
Kommentar: Sedan 2018 har Binero ett bra stöd för införande av SSL och sedan 2018-06-01 är SSL implementerat på itf:s hemsida (syns som att sidans adress börjar med "https://".)