Midrange MAGAZIN August 2008

0
TECHNIK & INTEGRATION
Wichtiges über Bedeutung von Sicherheit im Umgang mit XML
XML-Sicherheit
Welche Sicherheitsaspekte sind bei XML zu beachten, welche Sicherheitstypen sind
verfügbar und wie kann man Sicherheit mit XML implementieren.
Sicherheit ist seit langem ein wichtiges
Thema, und das ganz besonders
seitdem das Internet aufkam.
Viele Unternehmen machten seither
die schmerzhafte Erfahrung, dass sie
sich nicht ausschließlich auf physische
Sicherheit und Netzwerksicherheit verlassen
durften, um ihre Daten zu schützen.
Ebenso musste der Übertragungsweg
gesichert werden.
Die Integrität von ungeschützten
Transaktionen kann keinesfalls gewährleistet
werden. Unternehmen, die
keine Sicherheitsmaßnahmen ergreifen,
können nicht garantieren, dass ihre
Transaktionen nicht kompromittiert
wurden. Ohne Sicherheitsmaßnahmen
ist es z. B. denkbar, dass während der
Übertragung Transaktionsdaten gesammelt
oder geändert werden. Ebenso
kann böswillig oder versehentlich der
Zugriff auf unzulässige Befehle erfolgen.
Transaktionsintegrität bietet Sicherheit
in Bezug auf die Identität des
Senders und Empfängers. Ohne diese
können Transaktionen durch unautorisierte
Dritte gesendet oder empfangen
werden. XML ist heutzutage eine weithin
akzeptierte Technik; XML-Daten
müssen daher sicher sein. Wie Ihnen
die vielen Beispiele im ITP-Fachbuch
„XML für eServer i5 und iSeries“ zeigen,
besteht XML aus Klartext. Wenn
Sie diesen Typ Informationen über einen
ungesicherten HTTP-Kanal senden,
setzen Sie sich einem hohen Sicherheitsrisiko
aus, besonders wenn es um
sensible Daten geht.
Man unternahm daher in der Vergangenheit
den Versuch, eine einzige
MIDRANGE MAgAZIN · 08/2006
Lösung für alle Sicherheitsaspekte zu
entwickeln. Das Unterfangen erwies
sich jedoch als schwierig, da jedes Unternehmen
einzigartige Anforderungen
und ein typisches Umfeld aufweist.
Sprachen für die Entwicklung, Programme,
Betriebssysteme, Hardware-
oder allgemeine Netzwerk-Infrastruktur
– all diese Elemente können mit einer
einzelnen Sicherheitsempfehlung nicht
berücksichtigt werden. Es waren Standards
notwendig, die an die ständigen
technischen Veränderungen angepasst
werden konnten und so zusammenspielten,
dass eine vollständige Suite
von Sicherheitsfunktionen entstand.
Um die Sicherheitsbedenken beim
Aufkommen von XML zu zerstreuen,
schuf man daher eine Reihe von XML-
Sicherheitsstandards, damit die Sicherheit
der XML-Dokumente gewährleistet
wird und die Daten vor Kompromittierung
geschützt werden.
Schwachstellen der XML-Techniken
„Wenn Sie es entwickeln, werden sie
es hacken…“ Es war nur eine Frage der
Zeit, bis die Hacker herausfanden, wo
die Schwachstelle der XML-Techniken
liegt, nämlich beim Parser, der Zugang
zu vielen Sicherheitslücken ermöglicht.
Eine Anwendung kann damit z. B. veranlasst
werden, willkürlich Dateien zu
öffnen oder Dateien auszuführen, die
TCP-Verbindungen herstellen können.
Pufferüberlauf-Angriffe sind ein weiteres
Problem in Verbindung mit dem
Parser. Bei diesen überschreitet die gesendete
Datenmenge die erwartete Datenmenge
und führt so zu unerwarteten
Ergebnissen. Pufferüberlauf-Angriffe
können für Systemausfälle ebenso wie
für die Ausführung unautorisierter Anwendungen
verantwortlich sein.
Zu derartigen Problemen kommt
es, wenn eine Anwendung, die im Internet
zugänglich ist, XML-Eingaben
aus unsicheren Quellen akzeptiert. Ein
weiterer Schwachpunkt von XML ist
die Tatsache, dass XML-Dokumente ein
Klartextformat aufweisen. Dieses Format
bringt folgende Probleme mit sich:
die Sichtbarkeit der Daten während der
Übertragung und der Zugriff auf das
Dokument über das Dateisystem oder
über eine andere Anwendung. Lassen
Sie bei der Arbeit mit XML Sorgfalt walten,
damit diese Schwachpunkte nicht
zu Sicherheitsproblemen führen.
Die Bedeutung der Sicherheit
In Bezug auf Technik ist der Spruch
„Nichts ist perfekt!“ ein wahres Wort.
Und da Computer im Internet, Intranet
oder auch in sicheren Kanälen größeren
Risiken ausgesetzt sind als je zuvor,
werden auch ihre Schwachstellen
mehr und mehr zum Risiko. Zur Risikobegrenzung
sind also Sicherheitsstandards
erforderlich. Einige grundlegenden
Sicherheitsgrundsätze sind
zum Beispiel:
ó Integrität sicherstellen
ó Daten schützen
ó Key-Management
ó Benutzervalidierung und Regeln
Tatsache ist leider, dass Bedrohungen
erst dann verstanden werden
können, nachdem sie identifiziert wurden.
Wurden sie erst einmal begriffen,