Verwalten von Webservices › Sicherheit von Webservices

Sicherheit von Webservices

Wenn Sie Webservices bereitstellen, sollten Sie sich mit den wichtigen Sicherheitsüberlegungen vertraut machen. Die Standardkonfiguration bei der Verwendung von HTTP ist unsicher, da sie für alle Daten in Webservice-Aufrufen verwendet wird, die zwischen Client und Server im Nur-Text-Format mit dem HTTP-Protokoll über ein Netzwerk übertragen werden. Eingeschlossen sind nicht nur Anwendungsdaten wie Ticket-Beschreibungen und Kontaktnamen, sondern auch Sitzungs-IDs für Web Services (SID). Je nach den verwendeten Anmeldemethoden für Web Service-Anwendungen können auch Kennwörter dazugehören.

Wir empfehlen, dass Administratoren, die Webservices bereitstellen, diesen Abschnitt gründlich lesen und zusätzliche Konfigurationsschritte auf der Anwendungs- und der Netzwerkebene ausführen, um die Sicherheit der Webservice-Umgebung zu gewährleisten.

Wichtig! Die Standardkonfiguration für Webservices mit HTTP ist unsicher und anfällig für Sicherheitsbedrohungen wie Kennwortermittlung, Session Fixation und Datenspionage.

Beim Bereitstellen von Webservices sind drei wichtige Sicherheitsüberlegungen zu berücksichtigen, die in einer Wechselbeziehung stehen:

• Welche Arten der Zugriffsauthentifizierung (Anwendungsebene) soll diese Bereitstellung unterstützen?
• Welche zusätzlichen Sicherheitsfunktionen auf Netzwerkebene erfordert diese Bereitstellung?
• Wie werden diese Erfordernisse durch die Web Services-Konfigurationsoptionen durchgesetzt?

Im Folgenden werden die einzelnen Sicherheitsfunktionen beschrieben:

• Webservice-Authentifizierungsschemata auf Anwendungsebene - Für den Zugriff auf Webservices muss eine Webservice-Clientanwendung mit der Webservice-Anwendung authentifiziert werden. Die Webservices bieten zwei Arten der Zugriffsauthentifizierung. Die erste erfordert die Angabe von Anwendername und Kennwort, während die zweite die PKI-Technologie (Public Key Infrastructure) nutzt. Für beide Arten wird die Zugriffssteuerungs- und -verwaltungskomponente in den Webservices unter Verwendung von Zugriffsrichtlinien herangezogen. Zugriffsauthentifizierung und Zugriffsverwaltung sind die wichtigsten Sicherheitsfunktionen von Webservices.

  Die Authentifizierung über Anwendernamen/Kennwort kann mithilfe des folgenden Sicherheitskonfigurationbefehls deaktiviert werden:

  disable_user_logon 
  

  Vor dem Aktivieren dieser Option muss der Administrator bestimmen, ob jeder Web Service-Client, für den ein Unternehmen den Zugriff auf Web Services anfordert, die alternative Authentifizierungsmethode (die PKI-basierte Anmeldemethode) tatsächlich unterstützt. Der Hauptvorteil der PKI-Technologie besteht darin, dass Webservices-Clientanwendungen keine verwalteten Systemanwenderkonten erfordern, d. h. ohne Verwaltung, Speicherung und Übertragung ihrer Kennwörter auskommen.

• Sicherheitskonfiguration auf Netzwerkebene - In beiden Authentifizierungsschemata - Anwendername/Kennwort und Public Key Infrastructure (PKI) - wird die von der jeweiligen Anmeldemethode zurückgegebene Sitzungskennung (sowie alle folgenden Informationen) bei Verwendung von HTTP im Nur-Text-Format übertragen. Des Weiteren wird bei Verwendung des Authentifizierungsschemas Anwendername/Kennwort das Kennwort ungeschützt (im Nur-Text-Format) von der Web Service-Client-Anwendung an die Web Services gesendet. Während der Produktentwicklung lagen keine Empfehlungen des W3C zu Standards für die Webservices-Sicherheit vor. Daher wird WS-Security von diesen Webservices-Implementierungen nicht zur Schaffung eines Sicherheitskontexts verwendet. Stattdessen werden Point-to-Point-Protokolle wie SSL/TLS (Secure Sockets Layer/Transport Layer Security) und andere Sicherheitsmechanismen auf Netzwerkebene (zum Beispiel IPSec) empfohlen, um den Austausch von Authentifizierungsdaten auf Anwendungsebene und nachfolgend von Sitzungs-IDs und Daten, der andernfalls im Nur-Text-Format stattfinden würde, zu schützen.

  Wichtig! Beim Bereitstellen von Webservices wird SSL (oder HTTPS) empfohlen, um den Austausch von Authentifizierungsdaten auf Anwendungsebene und die nachfolgende Übertragung von Sitzungskennungen und Daten zu schützen.

• Webservices- Konfiguration - Um Administratoren zu ermöglichen, die Sicherheit der Kommunikationsprotokollebene auf der Ebene der Webservices-Anwendung zu erzwingen, werden die beiden folgenden Befehle zur Sicherheitskonfiguration unterstützt:

  require_secure_logon
  

  Diese Sicherheitsfunktion macht SSL (oder HTTPS) für den Aufruf der Methoden „login()“ und „loginService()“ erforderlich. Diese Funktion bietet außerdem eine einfache Methode zum Schutz des Anwendernamens und des Kennworts, während der zusätzliche Aufwand einer Verwendung von SSL für alle anderen Webservices vermieden wird.

  Wichtig! Wenn Sie den Befehl "require_secure_logon" verwenden, bestätigt die Webservices-Anwendung nicht, dass die Sicherheit der Kommunikationsprotokollebene für andere Methoden als "Login()" und "LoginService()" durchgesetzt wird. Falls keine anderen Vorsichtsmaßnahmen getroffen werden, ist es möglich, dass die anderen Webservices-Methoden auf unsichere Weise aufgerufen werden, woraus sich eine größere Anfälligkeit gegenüber Sicherheitsbedrohungen ergibt.

  require_secure_connection
  

  Diese Sicherheitsfunktion macht die Verwendung von SLL für den Zugriff auf jeden beliebigen Teil der Web Services erforderlich. Sofern HTTPS erforderlich ist, aber nicht verwendet wird, wird ein SOAP-Fault mit dem Code „UDS_SECURE_CHANNEL_REQUIRED“ zurückgegeben.

  Hinweis: Weitere Informationen über die Konfiguration von SSL finden Sie in der Dokumentation zu J2EE-Servlet-Containern.

Weitere Informationen:

Externe Spezifikationen