Startseite > Markt > Webanwendungen - Ja aber sicher

Webanwendungen - Ja aber sicher

2. Februar 2006, 0:00 Uhr |

Fortsetzung des Artikels von Teil 1

Webanwendungen - Ja aber sicher (Fortsetzung)

Viele Gefahrenpunkte
Eine Programmiertechnik, für die Sicherheit ebenso viel gilt wie Effizienz, sollte deshalb für Webanwendungen wie auch für die automatisierten Webservices oberstes Gebot sein. Dennoch muss aber aufgrund der schieren Komplexität derartiger Systeme davon ausgegangen werden, dass diese Anwendungen Schwachstellen ausweisen. Gefahrenpunkte sind dabei »Fernaufrufsschnittstellen, die einfach mittels einer einfachen http-Bibliothek mit angeschlossenem Parser realisiert werden, XML-basierte Konfigurationsdateien, die von uralten Parser-Implementierungen bearbeitet werden oder die fehlerhafte Implementierung von XML/Webservice-Anwendungsplattformen«, zählt Patrick Theobald, Geschäftsführer des Langener Systemintegrators usd.de einige Problemstellen auf. Theobald plädiert für einen rigorosen Ansatz der Authentisierung und Rechteprüfung, denn »mit XML und den so genannten service-orientierten Architekturen kommen zu den bisherigen potenziellen http-Schwachstellen weitere Löcher hinzu«.
Tim Eckardt, selbstständiger IT-Berater in Hamburg mit Schwerpunkt Webservice-Sicherheit meint, dass es »eine einzige ideale Sicherheitsmaßnahme zur Abwehr Webservice-typischer Gefahrenpunkte nicht gibt«. Einzelne Maßnahmen wie die »Implementierung von XML-Verschlüsselungs- und Signaturmechanismen sowie von Authentifizierungs- und Zugriffskontrollverfahren« seien zwar unverzichtbar, reichten allein aber nicht aus, denn »die besten Sicherheitsmechanismen werden Makulatur, wenn der Anwendungsserver, auf dem die Sicherheitsfunktionen realisiert wurden, erfolgreich gehackt worden ist«.
Dass man sich nicht allein auf protokollimmanente Sicherheitsmechanismen verlassen sollte, unterstreicht auch Christoph Skornia, Technik-Guru bei Checkpoint Deutschland: »Auch ein sicheres Protokoll schützt nicht davor, dass mit diesem Protokoll destruktive Daten übertragen werden«, mahnt Skornia und plädiert für ein »Konzept aus mehreren Verteidigungslinien«.