10 Tips für Webservice SOAP Security

Der Anstieg der Netzwerkarbeit wurde durch die Nutzung von Sicherheitstechnologien auf Netzwerkstufe, wie zum Beispiel SSL, IPSec und Firewall Filter zur Erschaffung eines Sicherheitsbereiches in einem Firmennetzwerk noch weiter erhöht. Heutzutage ist dieser Sicherheitsbereich durchlässig geworden, da Unternehmen Kosten einsparen und Erträge steigern, indem sie mit internen Unternehmensbereichen, externen Geschäftspartnern und Kunden auf sichere Weise Anwendungen
gemeinsam nutzen wollen. Dieser, für die gemeinsame Nutzung von Anwendungen notwendige, Wechsel hin zu Server-to-Server Zugriff, wird durch neue XML Web ServicesTechnologien ermöglicht. Jedoch kann das Versprechen der nahtlosen Kommunikation nicht ohne die Einführung von neuen Sicherheitspraktiken erfolgen. Genauso wie die IP-Netzwerkarbeit gleichzeitig neue Sicherheitsanforderungen notwendig machte, so ist dies auch bei XML Web Services erforderlich. Die hier angeführten Punkte, zwar nicht allumfassend, aber basierend auf bewährten Praktiken von führenden Fortune 500-Unternehmen - stellen eine solide Basis für den weitergehenden Schutz von Unternehmensressourcen durch XML Web Services dar.

1. Sicherung der Transportschicht
XML Web Services stützen sich auf IP und HTTP als Transportschicht, um die Anwendungen und zum System dazugehörenden Ressourcen miteinander zu verbinden. Verlässliche XML Web ServicesSicherheit ist auf der starken Basis einer sicheren Transportschicht aufgebaut, damit sensible Informationen nicht abgefangen oder während des Transport gelesen werden können. SSL VPNs sind einfach anzuwenden und bieten ein flexibles Sicherheitsmodell um Extranets abzuschirmen. Ausserdem sollten während der Authentifizierung Server-Zertifikate und Client-Zertifikate benutzt werden. Auf Hardware basierende Programmzeitverkürzer sind die bevorzugte Methode um die Transportschicht abzusichern, wobei gleichzeitig eine hohe Leistung der Transaktionen beibehalten wird.

2. Einsatz von XML Filtern
XML erfordert ausgefeilte Bearbeitung um sicherzustellen, dass Transaktionen geprüftermassen in Ordnung sind, bevor sie tief in das Unternehmenssystem eindringen. XML Filtern bietet Managern eine ganze Reihe von Funktionalitäten, da komplexe Regelwerke auf dem Level der Netzwerkinformation, Nachrichtengrösse, Nachrichteninhalte oder anderen Variablen, aufgebaut werden können. Da Filter XML-basiert sind, können sie - falls neuartige Bedrohungen entdeckt werden - ganz einfach aktualisiert werden. Das Erstellen von einfachen Filtern, die auf Nachrichtengrösse XML oder digitalen Signaturen beruhen, ist für den Anfang leicht durchzuführen. Da die Nutzung von Anwendungen ansteigt, ermöglicht das Filtern auf Grundlage von Inhalts- oder anderen Parametern dem Team für Sicherheit, ausgefeilte und detaillierte Unternehmensregeln aufzustellen.

3. Interne Ressourcen verbergen
Eine zuverlässige, gegenwärtig oft verwendete Sicherheitspraxis ist die Nutzung von Network Address Translation (NAT), um interne IP-Adressen zu verbergen. Zusätzlich zu NAT ist es auch sehr effektiv, zum Schutz und zur Tarnung interner Ressourcen vor externem Zugriff direkte TCP-Verbindungen zwischen Anwendungsservern und externen Stellen nicht zuzulassen. Indem Unternehmen XML Proxy nutzen, um URLs oder andere Daten, die ansonsten durch Web Services offen gelegt werden, umzuformen, können sie schnell und einfach einen beträchtlichen Teil ihrer internen Konfiguration verdecken.

4. Schutz gegen XML Denial-of-Service-Angriffe
XML Denial of service (XDoS) Angriffe kommen wahrscheinlich nicht so häufig vor wie die syn-flood Angriffe der dotcom-Ära, aber sie werden einfacher in Gang gesetzt und sind in der Lage noch grösseren Schaden anzurichten. Um sich gegen XDoS zu schützen, sollte man vernünftige Einschränkungsregeln für alle eingehenden Nachrichten aufstellen. Durch die Nutzung von XML Sicherheit Gateway als Proxy, können Netzwerkmanager einfache Einstellungen zu Nachrichtengrösse, Häufigkeit und Verbindungsdauer konfigurieren. Ziel ist es, Zugriff zu den Ressourcen zu erlauben und gleichzeitig XML Filterregeln zu benutzen und so die winzigen "Eintrittsschleusen" in das Unternehmensnetzwerk zu reduzieren.

5. Validierung aller Nachrichten
Da XML auf Text basiert und oftmals von Menschen erstellt wird, ergeben sich viele Fehlermöglichkeiten bei der Erstellung von Nachrichten. Ein simpler Schritt um dieses Problem zu vermeiden ist die Nutzung von XML Schema Definitions (XSD), wodurch ein- und ausgehende Daten validiert werden. XSDs sind die Nachfolger von Document Type Definitions (DTDs), da sie sinnvoller und besser zu erweitern sind. Diese bewährte Praktik reduziert das Risiko von Sicherheitslöchern durch unbekannte/nicht dokumentierte Felder oder Protokolleigenschaften, die möglicherweise andernfalls Ressourcen beschädigen könnten. Zusätzlich zum Einsatz von Schema Validation sollten Manager Nachrichten auch auf XML richtige Ausformung (im Parsing-Prozess), falsche Identität oder Fehlen von Referenz zur Ressource, Protokollvalidität (z. B. SOAP) überprüfen, und weitere Validitätschecks für Nachrichten durchführen.

6. Transformieren aller Nachrichten
Durch das Abändern aller ausgehenden XML Nachrichten, machen Netzwerkmanager "XML Address Translation" unmöglich, dass heisst die Zuordnung von privatem, internen Daten-Layout zu externe Daten. Diese Art des Schutzes der Anwendungsschicht wird heutzutage ganz einfach durch XSLT aufgebaut, eine der ausgereiftesten XML Technologien. Mit XSLT können Firmen ihre internen Schemata und Objekt-Layouts verbergen und vor Zugriff von aussen schützen. Da die Anzahl von XML Dialekten und Wortverzeichnissen ansteigt, wird Translation der Nachrichten zu einem sehr wichtigen Anfangsschritt bei der Bearbeitung jedweder Anwendungsanforderung. Standards stehen kurz vor der Verwirklichung und somit ist XSLT ein Schlüsselfaktor, denn er ermöglicht es einem Unternehmen, gleichzeitig verschiedene Nachrichtenformate und -standards zu unterstützen.

7. Unterzeichnung aller Nachrichten
Indem jede ausgehende Nachricht unterzeichnet wird, kann der Sender einen sicheren Prüfpfad erschaffen. Dies geschieht dadurch, dass jede Nachricht durch eine Signatur protokolliert wird, was nach der Transaktion verifiziert werden kann. Da jeder Protokolleintrag unterzeichnet ist, kann dessen Inhalt nicht geändert werden und der Sender erzielt damit Nachvollziehbarkeit und Sicherheit bei der Authentizität. Jede ein- und ausgehende Nachricht zu unterzeichnen und zu verifizieren scheint auf den ersten Blick rechnerintensiv zu sein, aber die Nutzung einer Hardware-Appliance vermeidet die Leistungsengpässe, die bei Software-Lösungen für dieses Problems auftreten.


8. Zeitstempel für alle Nachrichten
Unternehmen können die Möglichkeiten der Authentizität noch erweitern, indem sie auf Network Time Protocol (NTP) zurückgreifen, um alle Netzwerkknoten auf eine einzige massgebende Referenzzeitquelle zu synchronisieren. Diese einfache Massnahme fügt Zeitstempel zu allen ein- und ausgehenden Nachrichten hinzu. Wird dies zusammen mit XML Digital Signatures benutzt, so erhalten Netzwerkmanager dadurch kryptografisch sichere Zeitstempel, die die Möglichkeiten der Authentifizierung verbessern. Hiermit haben die Mitarbeiter einen definitiven Beweis in der Hand, zu welcher Zeit eine bestimmte Transaktion ausgeführt worden ist.

9. Nachrichtenfelder verschlüsseln
Bei XML Verschlüsselung ist es erforderlich, die XML Transaktion zu zerlegen und dann die einzelnen Abschnitte zu ver- bzw. zu entschlüsseln. Zuletzt wird eine Reihe von rechenintensiven XML und kryptografischen Operationen durchgeführt. Da sowohl Verschlüsselung als auch XML Berechnungen sehr ressourcenintensiv sind, kann dies bei gleichzeitiger Durchführung XML von Verschlüsselung, Berechnung, XML und digitaler Signatur eine spürbare Leistungsbeeinträchtigung für Anwendungen mit hohen Transaktionsraten bedeuten. Die Zusammenlegung einiger Funktionen auf ein einfach zu bedienendes, sicheres Netzwerkgerät, welches ver- bzw. entschlüsseln oder Transaktionen auf ihrem Weg durch das Netzwerk unterzeichnen/verifizieren XML kann, erleichtert die zentrale Kontrolle und reduziert administrative SSL Aufgaben.


10. Durchführung von sicheren Überprüfungsmassnahmen
Die Bedeutung von Überprüfungsmassnahmen darf nicht unterschätzt werden. Obwohl sich viele Netzwerkmanager nur auf syslog zur Erstellung von Prüfpfaden verlassen, muss man doch feststellen, dass diese Massnahme allein nicht ganz sicher ist. Mit einer Kombination aus XML Digital Signature und Zeitstempel kann ein Manager ganz einfach und schnell sichere e-business Protokolle schaffen, die zur Authentifizierung und Nachvollziehbarkeit dienen. In vielen Fällen verlangen gesetzliche Bestimmungen die Sicherheit und Verifizierbarkeit der benutzten Protokolltechnologie.


Zusammenfassung
Es besteht möglicherweise die irrtümliche Auffassung, dass XML Web Services Sicherheit ein Alles-oder-Nichts Verfahren ist und die Installation von erweiterten und komplexen Anwendungen oder die Einhaltung von vielfältigen Standards verlangt. Da der Einsatz von XML Web service weiterhin ansteigt, werden viele Organisationen diese bewährten Sicherheitspraktiken erweitern und den individuellen Bedürfnissen anpassen müssen. Jedoch existieren mittlerweile pragmatische und erprobte Praktiken der XML Sicherheit, die es den Unternehmen ermöglichen, die kostensparenden und umsatzsteigernden Vorteile zu nutzen, die XML Web services verspricht.