ISSN 1436-3011

02.09.2010

Security Management
Sicherheitsprobleme bei E-Commerce- / E-Business Lösungen
Stefan Strobel

Zusammenfassung

Die Angebote im Internet entwickeln sich kontinuierlich weiter. Während es noch vor wenigen Jahren als fortschrittlich galt, überhaupt eine Firmenpräsentation im Internet zu haben, sind heute statische WWW-Seiten ohne weitere Funktionen veraltet und gelten als uninteressant.

Viele Unternehmen gehen daher dazu über, echte Anwendungen über das Internet anzubieten. Vom schon wieder klassischen Online-Bestellsystem über Online-Banking bis zum interaktiven Zusammenstellen von Autos mit Sonderausstattungen ist die Bandbreite der Möglichkeiten noch lange nicht ausgeschöpft.

Nahezu alle diese Anwendungen haben jedoch ein Merkmal gemeinsam. Sie greifen auf echte Daten von internen EDV-Systemen zu. Dabei werden diese Systeme, die man bisher hinter Firewalls vor externen Zugriffen geschützt hat, zumindest auf Applikationsebene von außen erreichbar. Diese Tatsache birgt meist viele neue Angriffsmöglichkeiten für Hacker aus dem Internet, die man mit herkömmlichen Firewalls nicht mehr verhindern kann.

Der folgende Beitrag beschreibt zunächst die prinzipiell vorhandenen Probleme bei Web-Servern und konzentriert sich dann vor allem auf die Angriffsarten auf Applikationsebene. Danach wird diskutiert, welche Auswirkungen diese Probleme auf die Sicherheit des internen Netzes haben können.

Inhaltsübersicht

1. Typische Sicherheitsprobleme bei E-Commerce
   1. Einteilung der Probleme
   2. Angriffe auf das zugrunde liegende Betriebssystem
   3. Angriffe auf den WWW-Server-Dienst
   4. Angriffe auf der Applikationsebene (Skripte / Servlets)
   5. Folgen von Angriffen auf WWW-Server
2. WWW-Server und interne Systeme
   1. Direkter Durchgriff per SQL auf eine relationale Datenbank
   2. Kommunikation über Message Queuing
   3. Datenaustausch über Push-/Poll-Mechanismen
   4. Datenaustausch über Prozesskommunikation (RPCs, RMI, IIOP, CORBA etc.)
3. Gefahren durch die Kommunikation mit dem internen Netz
4. Schutzmaßnahmen
   1. Proxies mit inhaltlicher Filterung
   2. Mehrstufige Applikationsmodelle
5. Weniger effiziente Lösungsansätze
   1. Reverse-Proxy vor dem WWW-Server
   2. Trennung von WWW-Server und Servlet-Backend
6. Zusammenfassung

Dieses Heft ist vergriffen, d.h. nicht mehr lieferbar. Eine Neuauflage ist nicht geplant. Die Beiträge aus diesem Heft sind jedoch noch separat und kostenpflichtig unter www.genios.de erhältlich.

HMD, Heft 216, Dezember 2000