Secure Network Communications

"Secure Network Communications" (SNC) ist eine von SAP entwickelte Softwareschicht, die Datenkommunikationswege zwischen Komponenten eines SAP-Systems durchgängig schützt, die SAP-Protokolle wie RFC oder DIAG verwenden. Sie stellt eine zusätzliche Sicherheitsschicht dar für die Kommunikation zwischen:

• SAP GUI und SAP-Systemen,

• zwei SAP-System-Servern (ABAP und Java),

• externen RFC-Servern und SAP-System-Servern,

• SAProutern,

• SAP-Systemen und SAP-Drucker-Servern.

Die SNC selbst enthält keinen Sicherheitsmechanismus, sondern stellt mit der "GSS-API V2" (Generic Security Services Application Programming Interface Version 2) eine Schnittstelle für externe Sicherheitsprodukte wie zum Beispiel Smartcards bereit. Der Security-Layer bietet drei Schutzstufen:

1. Authentifizierung - geringer Schutz: Es werden nur die Identitäten der Kommunikationspartner überprüft. Die Daten werden unverschlüsselt gesendet.

2. Integrität - mittlerer Schutz: Es lassen sich sämtliche unerwünschte Datenänderungen während der Übermittlung erkennen. Die Daten werden unverschlüsselt gesendet.

3. Privatsphäre - hoher Schutz: Die Daten werden zwischen den Partnern über Kabel verschlüsselt übermittelt.

SAP stellt als standardmäßiges SNC-Sicherheitsprodukt die "SAP Cryptographic Library" bereit. Allerdings lässt sich die SAP Cryptographic Library nur zur Implementierung von SNC zwischen Server-Komponenten verwenden, das heißt, um Verbindungen auf RFC-Basis zu schützen. Wenn gleichzeitig die Kundenkommunikation geschützt werden soll, zum Beispiel Verbindungen zwischen SAP GUI und dem SAP-System, benötigen Anwender ein zusätzliches Produkt, entweder von SAP (SAP Netweaver Single-Sign-on) oder einem Partner von SAP.

Transport Layer Security

Das eigene Netz lässt sich so weit absichern, wie sich die entsprechenden Ressourcen kontrollieren lassen. Sobald diese Kontrolle nicht mehr gegeben ist, gilt es, auf Verschlüsselungstechniken zurückzugreifen, um Vertraulichkeit und Integrität der Daten zu sichern.

Secure Sockets Layer

Secure Sockets Layer (SSL) ist ein weit verbreitetes Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet und darüber hinaus ein Mittel, um Abhörversuche und unbefugte Eingriffe zu verhindern. Der Begriff SSL wird auch für den Nachfolger, das Verschlüsselungsprotokoll Transport Layer Security (TLS), verwendet:

• Sie authentifizieren den Client, den Server oder beide über ein asymmetrisches Verschlüsselungssystem. Digitale Zertifikate spielen eine wichtige Rolle.

• Sie sorgen mit Hilfe eines symmetrischen Verschlüsselungssystems dafür, dass Daten vertraulich bleiben.

• Nachrichtenauthentifizierungscodes (Message Authentication Codes = MACs) gewährleisten zudem die Datenintegrität.

TLS und SSL sind heute fester Bestandteil der meistgenutzten Browser (Internet Explorer, Firefox, Chrome, Opera usw.) und werden von fast allen Web-Servern, einschließlich SAP-Systemen, unterstützt. Bei neuen Systemen mit SAP Netweaver 7.3x können Anwender SSL durch die richtige Konfiguration des ICM für ABAP- und Java-Stacks in SAP implementieren. Bei Java-Systemen, die mit früheren Versionen von SAP Netweaver arbeiten, muss stattdessen der SSL Service Provider eingerichtet werden. Unabhängig von der Version müssen folgende Anforderungen erfüllt sein:

• Auf dem SAP-Server muss die SAP Cryptographic Library installiert sein.

• Der Zugriff auf ein PKI-Untersystem, damit sich das digitale Zertifikat des SSL-Servers von Zertifizierungsstellen erzeugen und registrieren lässt.

• Es wird ein Container für alle Zertifikate von SSL-Verbindungen benötigt. Dieser Container lässt sich in Form der Datei "SSL Server Personal Security Environment" (SSL Server PSE) implementieren. In der ABAP-Umgebung hat sich in Bezug auf ältere Versionen nichts geändert. Bei Java nutzen Vorgängerversionen von NW 7.3x einen speziellen Service, den "Key Storage", um die Sicherheit der SSL-Zertifikate zu gewährleisten.

Virtual Private Networks

Virtual Private Network (VPN) steht für verschiedene Techniken, um private Netze über öffentliche Netze wie das Internet so zu verbinden, dass ein Host-Computer, der sich in einem dieser privaten Netze befindet, Daten an andere so weiterleiten kann, als gäbe es nur ein logisches privates Netz. VPN stellt also einen Kanal zwischen zwei Punkten dar, in dem man nicht sehen kann, was sich darin befindet. Dieser Kanaleffekt wird durch Tunnelprotokolle erreicht, die Undurchsichtigkeit durch Verschlüsselungstechniken. Das VPN bietet ebenso wie SNC und SSL:

Vertraulichkeit, da Daten verschlüsselt versandt werden,

Absender-Authentifizierung, um den Zugriff nicht berechtigter Benutzer auf das VPN zu verhindern,

Nachrichtenintegrität, um zu erkennen, ob Nachrichten manipuliert wurden.

Es gibt allerdings verschiedene Tunnelprotokolle (zum Beispiel IPSec, TLS/SSL, PPTP). Normalerweise erfordert jedes dieser Protokolle eine spezielle VPN-Client-Software, was Kompatibilitätsprobleme zwischen den VPNs zur Folge hat. Trotzdem sind VPNs zur Verbindung entfernter Standorte heute weit verbreitet.

Fazit

Da Business-Software-Systeme heute über Unternehmensgrenzen hinweg via Internet zusammenarbeiten, ist die Sicherheit bezüglich Authentifizierung, Vertraulichkeit und Integrität entscheidend. Sicherheitskenntnisse entwickeln sich jedoch relativ schnell weiter. Insofern ist zu empfehlen, bezüglich neuer Probleme mit SAP-Produkten und deren Abhilfemaßnahmen stets auf dem Laufenden zu bleiben. SAP bietet dafür verschiedene Möglichkeiten:

• Sicherheitshinweise finden sich auf https://service.sap.com/securitynotes.

• SAP hat den "SAP Security Patch Day" eingeführt (jeder zweite Dienstag im Monat), um sicherzustellen, dass sämtliche Sicherheitsreparaturen für alle unterstützten SAP-Produkte auf dem SAP Marketplace zum Download bereitstehen.

• Im SCN-Sicherheitszentrum - http://scn.sap.com/community/security - finden Anwender Blogs und weitere Informationen. (ba)

  QoS IT Consulting

  QoS IT Consulting ist ein europäisches Beratungsunternehmen, das sich auf komplexe IT-Projekte, die Optimierung technischer Umgebungen und effiziente Wertschöpfung spezialisiert hat. Mit Präsenz auf europäischen Märkten und in den USA hat sich QoS IT Consulting auf die zentralen Technologien von Microsoft und SAP konzentriert (www.qosit.eu)