Sicherheit für Application Service Providing (ASP)

Christian Reiser

Im Zuge der Entwicklung der Computernetze und vor allem des Internet hat man immer mehr auf verteilte Rechnerleistung gesetzt. Die großen, dicken, schweren und teuren Zentralrechner wurden durch PCs abgelöst, die Rechnerleistung quasi auf alle Schreibtische verteilt. Nur noch ein paar wenige Aufgaben waren zentral zu erledigen, wie zum Beispiel das Speichern von Files oder strukturierten Daten (Fileserver oder Datenbanken).

Application Service Providing (ASP) kehrt diesen Trend wieder um. Die Applikation wird erneut zentral gehalten und gewartet, die Berechnungen zentral durchgeführt. Im Gegensatz zu den alten Rechenzentren erfolgt jedoch der Zugriff auf diese Rechner nicht mehr über dedizierte Kabel und Telefonleitungen sondern über das Netz der Netze, das Internet. Darüber hinaus waren die früheren Rechenzentren meist nur für ein Unternehmen oder eine Organisation bestimmt. Ein ASP-Service wird typischer Weise auch verschiedenen Firmen und Organisationen angeboten, die unter Umständen auch als Mitbewerber in einem ASP-Zentrum betreut werden.

Die Player

Beim Einsatz des ASP-Konzepts sind mehrere verschiedene Parteien involviert. Der ASP(-Anbieter) stellt üblicher Weise eine ASP-geeignete Applikation zur Verfügung. Diese Applikation muss nicht einmal auf seinen eigenen Computern laufen. Diese werden vielleicht von einem unabhängigen Application Infrastructure Provider (AIP) gestellt, der gemeinsam mit der Hardware und vielleicht der Netzwerk-Infrastruktur auch Teile der Dienstleistung zur Verfügung stellt oder unterstützt, wie zum Beispiel die Abrechnung an die Kunden.

Die Application Services laufen auf der Application Infrastructure, die mit dem Internet verbunden ist. Diese Anbindung kann über einen oder mehrere Internet-Service-Provider (ISP) erfolgen - weitere Players im Gesamtgefüge. Auf die Struktur des Internets zwischen dem ASP und dessen Kunden wollen wir hier nicht näher eingehen.

Auf der "anderen Seite" des Internets stehen die ASP-Kunden. Hier gibt es zwei Kategorien: Der Einzelplatz-Internet-Benutzer ist mit seinem Rechner über Einwahl- aber auch ADSL- oder Kabel-Verbindung am Internet angeschlossen. Die Benutzung des ASP-Angebots kann hier auf privater Basis sein, aber auch als Mitarbeiter eines Unternehmens in der Rolle eines Teleworkers oder Außendienstmitarbeiters.

Die zweite Kategorie sind die ASP-Benutzer, die sich über ein Firmennetzwerk der ASP-Angebote bedienen. Hier werden im Prinzip Aufgaben oder Ressourcen einer unternehmenseigenen EDV-Abteilung ausgelagert bzw. extern gehalten - wegen Überlastung der eigenen IT, um laufend die modernsten Hard-/Software-Lösungen auf Mietbasis einsetzen zu können, und ganz allgemein aus Kosten-/Effizienz-Gründen .

Die Sicherheits-Risiken

Grundsätzlich sollte man zwei Aspekte der Sicherheit unterscheiden: Die Sicherheit gegenüber Zufällen (im Englischen "Safety") und die Sicherheit gegenüber "intelligenten" Gegnern (im Englischen "Security"). In diesem Artikel werden die Risiken nach Verantwortungsbereichen betrachtet, und es wird auf die Internet-allgemeine Unterscheidung nach Safety/Security verzichtet.

Der ASP

Zum Themenkreis ASP fassen wir Aufgaben zusammen, die das Bereitstellen der Applikation betreffen. ASP, AIP und der zugehörige ISP gehören in dieses Kapitel.

Grundsätzlich muss das ASP-Angebot betreffend physikalische Sicherheit zumindest den Anforderungen eines vergleichbaren Rechenzentrums Stand halten. Das heißt, dass all jene Vorkehrungen getroffen sein sollten, die meist als so selbstverständlich angesehen werden, dass sie nicht gesondert bedacht werden.

Hierunter fallen Klima- und Feuerlöschanlage ebenso wie unterbrechungsfreie, redundante Stromversorgung und Generator sowie der standardmäßige Zutrittsschutz. Vereinzelungsschleusen, Zutrittskarten, Fingerabdruckerkennung oder ähnliche Einrichtungen wird man in diesem Bereich bevorzugen.

Über den physikalischen Schutz hinaus gilt es aber insbesondere die Anbindung zum Internet netzwerktechnisch bestmöglich abzuschotten. ASPs sind besonders interessante Angriffsziele für Hacker, Cracker und andere "Bad Boys" des Internets. Derzeit kann man mit einem Angriff typischer Weise genau einer Firma schaden. Ein erfolgreicher Hack auf einen ASP trifft jedoch alle Kunden dieses ASPs - also oft eine Vielzahl von Unternehmen.

Die Absicherung der Server eines ASPs ist jedoch nicht so einfach wie die Absicherung eines "üblichen" Firmennetzwerks. Anders als bei einer Firmenanbindung, wo man keine Zugriffe aus dem Internet in das interne Netz erlaubt, außer es handelt sich beweisbar um eigene Mitarbeiter, muss der ASP auch andere Zugriffe auf seine Server erlauben - nämlich die aller Kunden.

Mit Hilfe der bekannten und bewährten Sicherheits-Mechanismen auf Netzwerkebene, wie Firewalls und Intrusion Detection Systeme (IDS) ist man in der Lage, zwischen berechtigten und unberechtigten Zugriffen aus dem Internet zu unterscheiden. Ein IDS versucht, Abnormalitäten im Netz zu erkennen, die in der Regel erfolgreiche Einbrüche darstellen. Weiters werden virtuelle private Netzwerke (VPNs) und verschiedene Authentifizierungsmethoden wie Kryptographie (Verschlüsselung) und Identitäts-Tokens, zusätzliche kleine Geräte, die die Identität einer Person klarstellen, eingesetzt.

Diese Systeme können auch Verbindungen von bestimmten Personen nur in bestimmte Netzwerkbereiche erlauben oder verbieten. Sie können aber dann nicht mehr helfen, wenn verschiedene Benutzergruppen zwar auf den selben Server zugreifen dürfen, dort aber nur für definierte Anwendungen oder Daten Berechtigungen besitzen. Dafür müssen Vorkehrungen vom Betriebssystem oder aus der Applikation eingesetzt werden. Die Sicherheitsanforderungen in diesem Bereich sind komplexer und die Schutzmethoden dafür noch nicht so weit entwickelt. Sie werden typischer Weise maßgeschneidert.

Die Ausfallsicherheit auf Seiten eines ASPs hingegen kann mit am Markt verfügbaren Standardkomponenten erreicht werden. Gespiegelte Festplatten, redundante Computer, Router und auch redundante Internet-Anbindungen (Dual Homing) sind Standardtechnologien, die State-of-the-Art sind und von Experten gut beherrscht werden.

Der Netzwerkanwender

Wird das ASP-Angebot aus einem Firmennetzwerk verwendet, so sind zunächst die üblichen Sicherheitsvorkehrungen für die Anbindung eines lokalen Netzes an das Internet zu beachten. Firewalls, aktuelle Anti-Viren-Software und unter Umständen Intrusion Detection-Systeme sollten selbstverständlich sein. Darüber hinaus muss es auch alle nötigen organisatorischen Sicherheitsvorkehrungen geben. Dazu gehören zumindest die Benutzerrichtlinien, Notfallpläne, schriftlich niedergelegte Security-Policy und die firmeninternen Kommunikationsrichtlinien. Bevor diese "Hausaufgaben" nicht erledigt sind, muss über die Sicherheit des ASP-Angebots nicht näher nachgedacht werden.

Durch die Verwendung von ASP werden besonders die Verfügbarkeitsanforderungen erweitert. Wenn die Arbeit nur dann erledigt werden kann, wenn man Zugriff zum Internet hat, wird diese Anbindung besonders kritisch. Mehrere, redundante Internet-Anbindungen werden nötig.

Zur Vorsorge für die Abhörsicherheit der Anbindung zum ASP und zur Authentifizierung des Kunden gegenüber dem ASP kann auch eine VPN-Verbindung eingesetzt werden. Dabei ist zu klären, inwieweit die Produkte beim ASP mit der Firewall des Firmennetzwerks kompatibel sind.

Der Einzelplatzanwender

Für den Kunden eines ASPs, der von einem Einzelanschluss am Internet aus das Angebot nutzen will, stellen sich etwas andere Fragen. Zunächst ist hier zu klären, ob es sich um einen ausgelagerten Firmenarbeitsplatz handelt. In diesem Fall ist mit der Sicherheit dieses Arbeitsplatzes ebenso umzugehen wie mit der Sicherheit jedes anderen Teleworkers einer Firma. Das heißt, man wird VPN, Viren-Scanner und unter Umständen auch von der Firma aus konfigurierte Personal Firewalls einsetzen.

Sollte es sich jedoch um einen unabhängigen einzelnen Arbeitsplatz handeln, wobei die bearbeiteten Informationen aber sicherheitskritisch sind, wird der Schutz dieses Anschlusses etwas schwieriger. Es steht kein Sicherheitsexperte zur Verfügung. Personal Firewalls benötigen relativ hohes Sicherheitswissen, das dem durchschnittlichen Benutzer nicht zumutbar ist.

Hochkritische Anwendungen sind für derartige Arbeitsplätze daher in der Regel nicht empfehlenswert. Für weniger kritische Daten ist das ASP-Modell jedoch durchaus anwendbar.

Die Sicht des ASP-Anwenders

Der Anwender eines ASP-Angebots muss sich zunächst im Klaren darüber sein, wie sicherheitskritisch die Anwendung für ihn ist. Ausfallzeiten sind hier ebenso zu beachten wie auch Verlust, Veränderung oder Ausspähen der im Rahmen des Angebotes gespeicherten Daten. Kommt der Anwender zur Erkenntnis, dass diese Risiken für ihn gering sind, so ist es auch nicht nötig, sich über die Sicherheit den Kopf zu zerbrechen.

Sollte jedoch die Anwendung von Signifikanz sein, so gilt es, gemeinsam mit dem Anbieter mehrere Punkte zu klären:

• Welches Ausfallskonzept besteht?
• Wie werden die Anwendungen und deren Daten vor Hackern aus dem Internet geschützt?
• Wie werden die Daten vor anderen Kunden des ASP geschützt?
• Wie werden die Anwendungen und Daten vor den Mitarbeitern des ASP geschützt?
• Wie sind die Notfallsvorkehrungen für die oben beschriebenen Szenarien?

Dem Anwender eines ASP-Angebotes ist es sicher nicht zumutbar, all diese Aspekte zu überprüfen. Derzeit stellt sich aber nur in seltenen Fällen die Frage, welchen ASP man verwendet, da die spezialisierteren Lösungen meist nur von einem Anbieter angeboten werden. Man kann oft lediglich zwischen der Verwendung von ASP-Technologie und der Realisierung der Anwendung durch eigene Ressourcen in der eigenen EDV entscheiden. Dabei spielt der Kostenfaktor eine große Rolle.

Das Mindeste, was der Kunde jedoch von seinem ASP verlangen kann, sind die entsprechenden zum Service gehörenden Dokumente. Außerdem sollte er Vorkehrungen treffen, die die Verfügbarkeit der Daten auch sicher stellen, wenn der ASP - aus welchen Gründen auch immer - seine Dienste einstellen müsste.

Zusammenfassung

Bei der Verwendung eines ASP-Angebotes sind technisch eine große Anzahl von Komponenten eingebunden, die typischer Weise in der Verantwortung verschiedener Organisationen oder Personen liegen. Das reicht vom ASP selbst über den AIP und dessen ISP bis hin zu den ISPs am Internet zwischen ASP und Kunde. Der ISP des Kunden und die EDV-Abteilung des Kunden, wenn es sich um ein Firmennetzwerk handelt, sind ebenso im Systemkreislauf des ASP.

Der Anwender eines ASP-Angebotes hat dabei zur Zeit relativ wenig Auswahl an Anbietern der selben oder ähnlicher Applikationen. Daher wird der Einsatz eines ASPs zur Vertrauensfrage. Durch die ausgesprochen komplexe Technik wird es auch schwer sein, eine fundierte sachliche Entscheidung zu treffen. Die Wahl eines ASPs wird daher - ähnlich wie die Wahl eines Rechenzentrums oder einer Wartungsfirma - zu Gunsten erfahrener, bewährter und spezialisierter Partner ausgehen. Ist der ASP jedoch zunächst einmal in der Lage, zumindest für die Basisfragen wie Ausfallsszenarien und typische Hackerangriffe entsprechende Dokumente vorzulegen, die die zugehörigen Vorkehrungen beschreiben, ist der Grundstein für Vertrauen gelegt.

Dr. Christian Reiser ist Manager Security Solutions, KPNQwest Austria (Christian.Reiser@KPNQwest.com)
http://www.KPNQwest.com