Grundlagen der Websicherung

Webanwendungssicherheit und "Websicherung" kann in wesentliche Bestandteile eingeteilt werden, wovon jeder Bestandteil seinen bestimmten Teil zur Webanwendungssicherheit beiträgt:

• Authentifizierung
  Bei der Authentifizierung geht es um die Frage: Wer sind Sie? Es kommt darauf an, die Clients Ihrer Anwendungen und Dienste eindeutig zu identifizieren. Dabei kann es sich um Endbenutzer, andere Dienste, Prozesse oder um Computer handeln. Im Sicherheitsjargon werden authentifizierte Clients als Prinzipale bezeichnet.
• Autorisierung
  Bei der Autorisierung geht es um die Frage: Was können Sie tun? Durch diesen Prozess wird festgelegt, auf welche Ressourcen und Operationen der authentifizierte Client zugreifen darf. Zu den Ressourcen zählen Dateien, Datenbanken, Tabellen, Zeilen sowie Ressourcen auf Systemebene wie Registrierungsschlüssel und Konfigurationsdaten. Zu den Operationen gehören Transaktionen wie der Kauf eines Produkts, die Überweisung von Geld von einem Konto auf ein anderes, oder die Verbesserung der Bonitätseinstufung eines Kunden.
• Überwachung
  Eine wirksame Überwachung und Protokollierung ist der Schlüssel zur Nachweisbarkeit. Dadurch wird sichergestellt, dass ein Benutzer die Durchführung eines Vorgangs oder die Auslösung einer Transaktion nicht verweigern kann. So sind Nachweisbarkeitsmechanismen beispielsweise in einem E-Commerce-System erforderlich, um sicherzustellen, dass ein Kunde nicht abstreiten kann, hundert Exemplare eines bestimmten Buches bestellt zu haben.
• Vertraulichkeit
  Vertraulichkeit, auch als Datenschutz bezeichnet, ist der Prozess, der dafür sorgt, dass Daten geheim und vertraulich bleiben und dass unautorisierte Benutzer oder Lauscher, die den Datenverkehr im Netzwerk überwachen, nicht auf die Daten zugreifen können. Vertraulichkeit wird häufig durch Verschlüsselung sichergestellt. Zugriffssteuerungslisten (ACLs) sind ein weiteres Mittel, um Vertraulichkeit zu gewährleisten.
• Integrität
  Integrität bedeutet, dass Daten vor versehentlichen oder absichtlichen (böswilligen) Änderungen geschützt sind. Wie dem Datenschutz kommt auch der Integrität eine Schlüsselrolle zu, besonders wenn Daten über Netzwerke weitergegeben werden. Die Integrität übermittelter Daten wird in der Regel mithilfe von Hashingverfahren und Nachrichten-Authentifizierungscodes sichergestellt.
• Verfügbarkeit
  Unter Sicherheitsaspekten bedeutet Verfügbarkeit, dass Systeme für legitime Benutzer verfügbar bleiben. Viele Angreifer verfolgen mit Dienstverweigerungsangriffen das Ziel, eine Anwendung zum Absturz zu bringen oder dafür zu sorgen, dass die Anwendung so beschäftigt ist, dass andere Benutzer keinen Zugriff darauf erhalten.