Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Security-Zones angewandt. Vordefinierte Security Zones sind z.B.
low_safety, medium_safety und high_safety, wobei Applikationen zur
Administration grundsätzlich high_safety zugeordnet sind. Sind die
Berechtigungen korrekt vergeben, kann die entsprechende Applikation nach
dem Deploy über die eindeutige URL, die zu der Applikation gehört,
aufgerufen werden.
Es kann durchaus vorkkommen, dass die Berechtigungen für den Aufruf der
URL und damit der Applikation gegeben ist, aber nicht für die sogenannten
IViews, aus denen die Applikation für den Benutzer aufgebaut ist. Ist dies
der Fall, kann die Applikation bzw. Teile daraus über die URL aufgerufen
werden, die Applikation ist jedoch nicht bedienbar, da die Rechte auf die
IViews durch das setzen der Security Zones fehlen 9 .
Programmierungsaspekte
Wie in Kapitel 2.3.3 beschrieben wird, ist die sogenannte Eingabeprüfung
ein zentraler Teil der Sicherheitsüberlegungen im Webumfeld um bösartige
oder auch nur unerwartete Eingaben zu verhindern. Es ist hier bei neueren
Versionen ein Fortschritt erkennbar, doch war der zentrale Gedanke bei der
Eingabeprüfung seitens des SAP-Applikationsservers bisher zu verhindern,
dass der Benutzer versehentlich etwas falsches eingibt das z.B. die
Datenkonsistenz gefährden könnte - eine absichtliche Eingabe unerwarteter
Werte war nicht die Motivation 10 .
Die proprietäre Sprache ABAP von SAP ist unter Sicherheitsgesichtspunkten
eine Unbekannte. Expertenmeinungen über die Sicherheit der Sprache
selbst existieren nicht und auch generische Ansatzpunkte um
Schwachstellen im Programmablauf aufzufinden oder auszunutzen sind
nicht bekannt. Auch die Versuche im Rahmen dieser Diplomarbeit einen
generischen Angriffspunkt wie z.B. eine Form des Command-Injection (Vgl.
Kapitel 2.3.4) zu finden blieben ohne Ergebnis. Dass kein Ansatzpunkt
bekannt ist und auch nicht gefunden werden konnte kann als Vorteil
gesehen werden und zeigt auch, daß ABAP eine Resistenz aufweist.
Dennoch kann dies nicht als endgültiges Ergebnis betrachtet werden, da die
Suche im Rahmen dieser Diplomarbeit im Vergleich zu bekannten Sprachen
wie z.B. Perl, in dessen Überprüfung viele Personen über längere Zeit
arbeiten, kein vergleichbarer Aufwand gegenübergestellt werden kann.
9 Enterprise Portal, SAP Security and Authorizations
10 SAP Web Application Server; Frederic Heinemann, Christian Rau
Damian Schlager Seite 15