Webanwendungen - Ja aber sicher

Webanwendungen - Ja aber sicher (Fortsetzung)

Web Application Firewalls als Zusatzarrieren
Auch Stefan Strobel, Geschäftsführer des Heilbronner Sicherheitsspezialisten Cirosec, betont, dass sicherheitsorientiertes Programmieren eine notwendige Bedingung für die Entwicklung von Anwendungssoftware sei, die aber nicht hinreichend sei, um wirklich wasserdichte Programme zu entwickeln. »Absolut sichere Programmentwicklung ist eine bloße theoretische Möglichkeit«, meint Strobel, »trotz aller Bemühungen werden deshalb weder Virenschutzprogramme noch Netzwerk-Firewalls überflüssig«. Gerade in der http- und XML-Kommunikation seien aber noch weitere Schutzmaßnahmen notwendig, meint Strobel, denn auch wenn natürlich Eingabeformulare im Rahmen von Webgeschäften auf stimmige Inhalte innerhalb der jeweiligen Applikation geprüft werden müssten, sei hundertprozentige Fehlerfreiheit hier nicht machbar. Für Strobel sind deshalb entsprechende Programme, die http- und XML-Parsing-Mechanismen überprüfen und die Client-Eingaben auf ihre Zulässigkeit  kontrollieren, sehr ratsam. Entsprechende »Web Application Firewalls« (siehe Kasten) weisen freilich starke technische Unterschiede auf und die Anwender tun laut Strobel gut daran, sich genau zu überlegen, was sie wirklich benötigen. Meist würden beispielsweise keine großen XML-Parsing-Mechanismen benötigt, sondern leistungsfähige http-Filter, denn »in der Praxis geht  es bei der Sicherheit von Web-Applikationen um die Kommunikation zwischen dem Browser des Anwenders und einem Server. Dabei spielt XML kaum eine Rolle«, meint Strobel. Er schätzt, dass allerhöchstens zehn Prozent des Nachrichtenaustausch sich heute auf XML-Mechanismen stützt. Thomas Veit vom BSI sieht Web Application Firewalls prinzipiell positiv, mahnt aber, entsprechende Produkte nicht ungeprüft einzusetzen. Auf jeden Fall sollte vor dem Einsatz ein Test auf korrekte Funktionsfähigkeit erfolgen.

1. Webanwendungen - Ja aber sicher
2. Webanwendungen - Ja aber sicher (Fortsetzung)
3. Webanwendungen - Ja aber sicher (Fortsetzung)
4. Webanwendungen - Ja aber sicher (Fortsetzung)
5. Webanwendungen - Ja aber sicher (Fortsetzung)
6. Webanwendungen - Ja aber sicher (Fortsetzung)
7. Webanwendungen - Ja aber sicher (Fortsetzung)