UC-Integration und -Sicherheit: Die Quadratur des Kreises?, Teil 3

Absicherung der Kommunikation zwischen TK-Applikation und IT-System

Mit der zunehmenden Verbreitung von serviceorientierten Architekturen (SOA) und Web Services halten weitere Protokolle Einzug in die IT-Systeme. Als Beispiele seien hier die XML-basierten Mechanismen zum Prozedur-Fernaufruf SOAP sowie XML Remote Procedure Call (XML-RPC) genannt. Darüber hinaus bieten weit verbreitete, herstellerabhängige Programmierschnittstellen wie Microsofts Component Object Model (COM und Distributed COM, DCOM) mit ihren intern verwendeten RPC-Protokollen weitere Angriffsflächen. Hier muss im Einzelnen geprüft werden, wie in der konkreten Implementierung mit den für die Protokolle spezifizierten Sicherheitsmechanismen umgegangen worden ist.

Eine pauschale Antwort, wie die Kommunikation zwischen TK- und Business-Applikationen abzusichern ist, kann also nicht gegeben werden. Erste Maßnahme sollte es daher sein, die verwendeten Protokolle durch Nachfrage bei den Herstellern und durch eigene Analysen zu ermitteln und sie auf verfügbare Sicherheitsmechanismen zu prüfen.

Da Sicherheitsmechanismen bei weitem nicht für alle Protokolle zur Verfügung stehen, ist bei erhöhtem Schutzbedarf ein Tunnel etwa auf Basis von IPsec die einfachste und umfassendste Lösung. Bei erhöhtem Schutzbedarf sollte jedoch im Zweifel auch in Betracht gezogen werden, von einer Integration von TK- und IT-Anwendungen Abstand zu nehmen.

Absicherung der Kommunikation zwischen TK-Applikation und Datenbank

Oftmals ist der Zugriff von TK-Applikationen auf Datenbanken notwendig, sei es um Abfragen und Manipulationen am Unternehmensverzeichnis durchzuführen, zum Beispiel mittels Lightweight Directory Access Protocol, LDAP, oder um Datenbestände wie Kundendaten oder die Lagerhaltung in die TK-Applikation einzubeziehen.

Wichtig ist die umsichtige Vergabe von Zugriffsrechten auf Datenbanken und Verzeichnissen. Der TK-Applikation sollten nur solche Zugriffsrechte erteilt werden, wie sie für eine sinnvolle Nutzung notwendig sind. Darüber hinaus sollte der entstehende Datenverkehr bei einem erhöhten Schutzbedarf durch Verschlüsselung gesichert werden.

LDAP sieht zunächst keinerlei Verschlüsselungsmechanismen vor und überträgt sogar Authentisierungsdaten im Klartext. Die Verwendung von IPsec oder TLS zur Verschlüsselung der gesamten Kommunikation ist allerdings im aktuellen Standard LDAPv3 spezifiziert. Der Einsatz einer dieser Methoden ist in jedem Fall beim Einsatz von LDAP anzuraten.

Datenbankzugriffe unterliegen ähnlichen Gefährdungen wie Verzeichniszugriffe mittels LDAP. Die Kommunikation zwischen einem ODBC-Treiber beispielsweise und der Datenbank über ein Netzwerk findet oft anhand proprietärer Protokolle oder im Klartext statt. Bei erhöhtem Schutzbedarf sollte die Verbindung mittels IPsec oder TLS absichert werden.

Personenbezogene Daten und allgemein Daten mit erhöhtem Schutzbedarf sollten in der Datenbank verschlüsselt gespeichert werden.

Absicherung der Kommunikation eines Präsenzsystems

Präsenzinformationen sind, auch wenn Privatanwender oft sorglos mit ihnen umgehen, gerade im Geschäftsumfeld sensible Informationen. Neben der Verfügbarkeit eines Anwenders geben sie eventuell Informationen über aktuellen Aufenthaltsort und Betätigung preis.

Daher ist es unumgänglich, auch Präsenz- und Instant Messaging-Systeme durch Verschlüsselung und Authentisierung zu sichern. Ein probates Mittel ist hier der Einsatz von TLS zwischen Client und Präsenz-Server. Dieses Verfahren wird zumindest auch von den beiden wichtigsten Protokollstandards für diesen Zweck XMPP und SIP/SIMPLE vorgesehen.

weiter mit: Einschränkung der Sichtbarkeit von Präsenzinformationen

(ID:2014769)