UC-Integration und -Sicherheit – die Quadratur des Kreises?, Teil 1

Anbieter zum Thema

Simple Object Access Protocol (SOAP)

In jüngster Zeit wird für die Anbindung an IT-Server zunehmend das SOAP-Protokoll eingesetzt. SOAP stand ursprünglich für Simple Object Access Protocol, jedoch wird der Begriff SOAP inzwischen als Eigenname verwendet und steht nicht mehr für eine Abkürzung.

SOAP ist ein Protokoll zum Austausch XML-basierter Nachrichten über das insbesondere auch die Funktion eines Remote Procedure Call (RPC) realisiert werden kann (siehe: Abbildung 2). Die Extensible Markup Language (XML) ist eine vom World Wide Web Consortium (W3C) spezifizierte Auszeichnungssprache, die zur formalen textuellen Beschreibung und Darstellung hierarchisch strukturierter Daten dient.

Es sollte beachtet werden, dass ein spezifisches CTI-System noch eine Reihe weiterer Schnittstellen bieten kann, die hier nicht aufgeführt wurden (beispielsweise Administrations-Schnittstellen). Es ist daher im Einzelfall mit dem Hersteller eines Systems zu klären, welche Schnittstellen vorhanden sind, welche für den Betrieb unter den gegebenen Anforderungen benötigt werden und welche gegebenenfalls deaktiviert werden können.

Interactive Voice Response

Interactive Voice Response (IVR) bietet die Möglichkeit, teil- oder vollautomatisierte Sprachdialoge zu führen. Dies umfasst sowohl einfache Sprachmenüs, durch die per Tastendruck navigiert wird: „Für den Vertrieb drücken Sie bitte die ‚1‘, für Service die ‚2‘, ...“, als auch Systeme, die einen natürlichsprachlichen Dialog zur Abfrage von Informationen erlauben, zum Beispiel bei Fahrplanauskünften.

Bei frühen IVR-Systemen wurde nicht klar zwischen Applikationen, also den konkreten Dialogabläufen, und der ausführenden Plattform getrennt. Die möglichen Dialoge waren bei solchen Systemen praktisch vorgegeben und nur schwer zu ändern. Im Laufe der Zeit entwickelten die Hersteller von IVR-Systemen verschiedene proprietäre Dialogbeschreibungssprachen, die es den Administratoren und Anwendern erlauben eigene Sprachapplikationen zu entwickeln und anzupassen.

Inzwischen existiert eine Reihe von Standards für Sprachen zur Beschreibung von Dialogabläufen. Einer der bekanntesten Standards ist die XML-basierte Empfehlung des World Wide Web Consortium (W3C) namens VoiceXML. Mithilfe von VoiceXML können Sprachapplikationen in ähnlicher Weise entwickelt und bereit-gestellt werden wie visuelle Applikationen mittels HTML.

Gefährdungen durch IVR-Systeme

Aus dieser Ähnlichkeit ergeben sich Gefährdungen analog zu Web-Applikationen. Zum einen kann ein Sprachdialogsystem Zugriff auf schützenswerte Daten geben. Zu solchen Applikationen zählen beispielsweise das Telefon-Banking, der Anrufbeantworter im Netz oder die Abfrage des E-Mail-Postfachs per Telefon.

Somit muss der Zugriff auf die gesamte Applikation, respektive auf schützenswerte Punkte,gesichert sein. Bei Web-Applikationen erfolgt die Authentisierung in der Regel durch Benutzername und Passwort, während bei IVR-Systemen meist eine Personal Identification Number (PIN) verwendet wird. Vereinzelt werden auch Verfahren zur Sprechererkennung eingesetzt, jedoch sind diese zurzeit selbst unter optimalen Bedingungen – ohne Hintergrundgeräusche und mit hochwertigem Sprachcodec – nicht zuverlässig.

(ABB4) Neben der Kopplung mit der TK-Anlage über einen Sprachkanal, ist ein IVR-System häufig auch mit anderen IT-Komponenten, etwa mit Datenbanken, verbunden. Die spezifische IT-Komponente, und damit letztlich auch die spezifische Schnittstelle, hängt dabei von der implementierten IVR-Applikation ab.

In der Regel werden für die Anbindung solcher externer Systeme jedoch die vorgestellten Schnittstellen, wie LDAP, ODBC und SOAP sowie weitere RPC-Mechanismen, verwendet. Es gelten die dort beschriebenen Gefährdungen.

Schließlich verfügen IVR-Systeme auch über Administrations- und Konfigurationsschnittstellen. Das Spektrum reicht von dedizierten Applikationen zur Erzeugung neuer Applikationen, die über proprietäre Protokolle oder Dateiformate mit dem IVR-System kommunizieren bis hin zu gewöhnlichen web-basierten Management-Schnittstellen. Es gilt auch hier, dass mit dem Hersteller eines Produkts die konkrete Zahl und Ausprägungen von Schnittstellen eines IVR-Systems geklärt werden sollte, um diese entsprechend abzusichern bzw. deaktivieren zu können.