Bundesamt für Sicherheit in der Informationstechnik

G 5.180 Angriffe auf Registries und Repositories

In einer serviceorientierten Architektur (SOA) werden Metainformationen zentral in Diensteverzeichnissen ("Registries") und Metadaten-Speichern ("Repositories") hinterlegt. Die dort hinterlegten Informationen umfassen Dienstbeschreibungen, Schnittstellen und Aufrufparameter, aber auch Service oder Security Policies.

Die Repositories sind dabei als Datenbanken oder Verzeichnisdienste mit einer definierten Schnittstelle zum Abruf der Informationen (in der Regel per HTTP ) realisiert. Bei unsauberer Implementierung oder unsicherer Konfiguration können die Repositories von einem Angreifer manipuliert werden (zum Beispiel durch Injection-Angriffe). Damit kann der Angreifer nicht nur Informationen über die angebotenen Dienste und die eingesetzten Sicherheitsmechanismen erlangen (siehe auch G 5.184 Informationsgewinnung über Web-Services ), sondern auch die bereitgestellten Service-Beschreibungen und Policies verändern oder durch eigene ersetzen. Dadurch kann er unter Umständen Dienst-Aufrufe oder XML -Nachrichten umleiten oder vorgesehene Sicherheitsfunktionen außer Kraft setzen.

Durch die Verfälschung oder Löschung von Metainformationen kann ein Angreifer auch die Funktionsfähigkeit oder Nutzbarkeit der angebotenen Web-Services beeinträchtigen (Denial-of-Service). Ebenso ist es denkbar, durch einen Denial-of-Service-Angriff auf die Registry beziehungsweise das Repository selbst die Funktionsfähigkeit der SOA sehr effektiv an einem zentralen Punkt zu attackieren.

Stand: 14. EL Stand 2014

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK