Sicherheitsaspekte für BSP 

Bei der Erstellung von Web-Applikationen anhand des BSP-Programmiermodells ist es wichtig, Sicherheitsaspekte zu berücksichtigen. Sowohl für die Erstellung von BSP-Applikationen als auch für den laufenden Betrieb dieser Anwendungen stehen Sicherheitsfunktionen zur Verfügung.

Sicherheit beim AS-ABAP

Die grundlegenden Informationen über Sicherheitsaspekte in einem AS-ABAP-System, in dem Sie Ihre BSP-Applikation erstellen, finden Sie unter Netzwerkinfrastruktur und Sicherheit beim AS-ABAP.

Beachten Sie hierbei besonders die Konfiguration für die SSL-Unterstützung.
Des Weiteren wird eine Funktion für die Performance-Steigerung bei Mehrfachanmeldungen bereitgestellt, der Anmeldeticket-Cache.

Von SAP werden bestimmte Viren-Scan-Profile standardmäßig ausgeliefert. Beim HTTP Upload ist ein Virenscan möglich (siehe auch Viren-Scan-Schnittstelle).

Der Internet Communication Manager (ICM) nimmt HTTP-Requests aus dem Internet entgegen und schickt eine Antwort zurück.

Anmelden an BSP-Applikationen

Der AS-ABAP nutzt für den Zugriff auf eine BSP-Applikation das HTTP-Framework des Internet Communication Manager (ICF), der seinerseits Funktionen für die Anmeldung am AS-ABAP bietet.

Beachten Sie hierbei das Aktivieren und Deaktivieren von Services. Aus Sicherheitsgründen sollten nur genau diejenigen Services im HTTP-Service-Baum aktiv sein, die Sie wirklich benötigen. Wenn Sie dagegen Knoten auf einer höheren Ebene aktivieren, bedeutet dies, dass der gesamte darunter liegende Teil des Service-Baums ebenfalls aktiv ist und damit z.B. bei Hinterlegung des anonymen Benutzers für Zugriffe völlig offen und damit ungesichert ist.

Sie finden eine Liste der Services, die je nach Einsatzszenario aktiviert sein müssen, in Hinweis 517484.

Für die Erstellung von Anmeldeprozeduren für Ihre BSP-Anwendung gibt es ein einfaches Verfahren für die Entwicklung und Konfiguration der Systemanmeldung, bei dem Sicherheitsaspekte integriert sind. Lesen Sie weiter unter Systemanmeldung.

Zugriff auf eine BSP-Applikation

Ein Browser greift auf Ihre BSP-Applikationen über HTTP oder HTTPS zu. Die wichtigsten Aspekte hierbei sind unter Zugriff auf eine BSP-Applikation zusammengefasst.

Sie können außerdem festlegen, dass auf Ihre BSP immer über HTTPS zugegriffen werden soll. Weitere Informationen über diese Festlegung der Übertragungsoptionen finden Sie bei der Beschreibung der Eigenschaften einer BSP-Applikation.

Sicherheitsrisiko-Liste

Eine White-List Infrastruktur im HTTP-Framework ermöglicht das Abwehren von XSS-Angriffen: Sicherheitsrisiko-Liste

URL-Generierung

Siehe URL-Generierung in einer AS-ABAP - Web Dispatcher Konfiguration

Hinweise

Relevante SAP-Hinweise

Hinweisnummer	Titel
517484	Inaktive Services im Internet Communication Framework
510007	Einrichten von SSL auf dem Web Application Server
517860	Anmelden an BSP-Applikationen
434918	DNS-Konfiguration für BSP-Apps unter Windows 2000
420085	Logon Ticket Cache
853878	HTTP WhiteList Check (Sicherheit)