CSC COMPUTER SCIENCES CONSULTING AUSTRIA GMBH APPLIKATIONS-ANALYSE SQL COCKPIT BY CADAXO GMBH

Transkript

1 CSC COMPUTER SCIENCES CONSULTING AUSTRIA GMBH APPLIKATIONS-ANALYSE SQL COCKPIT BY CADAXO GMBH Wien,

2 Inhaltsverzeichnis 1 Einleitung Installation Datensicherheit Berechtigungsobjekte... 4 Analyse Cadaxo SQL Cockpit_v1.0.docx Seite II

3 1 EINLEITUNG Vorliegende Analyse betrachtet das SQL Cockpit der Cadaxo GmbH hinsichtlich Sicherheitsaspekten. Besonderes Augenmerk wird dabei auf das Thema Datensicherheit hinsichtlich SAP-Produktivsysteme gelegt. Anhand folgender Punkte wird untersucht, dass sowohl Installation, als auch der Betrieb des Cadaxo SQL Cockpits, unbedenklich sind. Weiters werden keine Sicherheitslücken geöffnet, die Datenmanipulationen zulassen: Installation Datensicherheit Berechtigungen Das Cadaxo SQL Cockpit basiert auf SAP NetWeaver. Die Entwicklung ist in der SAP eigenen Programmiersprache ABAP bzw. ABAP Objects realisiert. Grundsätzlich sind SAP Systeme durch den Hersteller der Standardsoftware SAP gegen unbefugte Zugriffe geschützt. Das Cadaxo SQL Cockpit ist eine auf sämtlichen Standards der SAP basierende Zusatzentwicklung. Es werden keinerlei Ports geöffnet, da das Cadaxo SQL Cockpit keine Webapplikation ist. Somit sind keine bekannten Sicherheitslücken relevant.

4 2 INSTALLATION Die Installationsdateien werden als Transport-Files in Form eines Datei-Archivs übermittelt. Diese SAP Transportdateien werden vom jeweiligen Administrator am Filesystem des SAP Servers bereitgestellt. In weiterer Folge werden diese manuell über die Importqueue des gewünschten Systems eingespielt. Die Objekte innerhalb der Transportdatei befinden sich ausschließlich im Kundennamensraum, den die SAP vorgibt oder dem Kundennamensraum der Firma Cadaxo /CADAXO/. Es handelt sich dabei nur um Objekte des SQL Cockpits. Eine Modifikation oder Anpassung des SAP Standards ist somit ausgeschlossen. 3 DATENSICHERHEIT Durch die objektorientierte Software-Architektur und die Verwendung von Makros wird das schädliche Debuggen des Codes erheblich erschwert. Durch die Verwendung der von der Firma Cadaxo eingesetzten Makros wird dies überhaupt unterbunden, da diese erst zur Laufzeit generiert werden. Als weitere wesentliche Sicherheitsmaßnahme verhindern entsprechende Prüfungen die editierenden Befehle DELETE, INSERT, UPDATE oder MODIFY. Erst wenn ein Nutzer entsprechende Berechtigungen für SAP Standardtransaktionen wie SE11 und SE16 besitzt, welche die Änderung von Daten zulassen, wäre auch eine Datenmanipulation durch Änderung des Source Codes des SQL Cockpits denkbar. Dies ist in SAP Produktivsystemen aus Compliancegründen auszuschließen. 4 BERECHTIGUNGSOBJEKTE Mit dem Cadaxo SQL Cockpit wird auch ein Berechtigungskonzept auf Tabellenebene ausgeliefert. So werden Rollen definiert, in denen festgelegt wird, welche Datenbanktabellen sichtbar sind und somit im SQL-Cockpit ausgewertet werden können. Diese Einschränkung geht so weit, dass nur Tabellen aus einem bestimmten Namensraum (z.b.: Z) abgefragt werden dürfen. Die Rollen können beliebig vielen Usern zugeordnet werden, bzw. kann ein User ebenso mehrere Rollen zugewiesen bekommen.

5 Worldwide CSC Headquarters The Americas 3170 Fairview Park Drive Falls Church, VA USA Telefon: Europe, Middle East, Africa Royal Pavilion Wellesley Road Aldershot, Hampshire GU11 1PZ United Kingdom Telefon: Australia 26 Talavera Road Macquarie Park, NSW 2113 Australia Telefon: Asia 139 Cecil Street #08-00 Cecil House Singapore Republic of Singapore Telefon: CSC EMEA Central Region CSC Deutschland Services GmbH Abraham-Lincoln-Park Wiesbaden Deutschland Telefon: Telefax: CSC Deutschland Solutions GmbH Abraham-Lincoln-Park Wiesbaden Deutschland Telefon: Telefax: CSC Switzerland GmbH Grossmattstrasse Urdorf Schweiz Telefon: Telefax: CSC Computer Sciences Consulting Austria GmbH BC 20 Dresdner Straße Wien Austria Telefon: Telefax: Eastern Europe CSC Computer Sciences s.r.o Praha 5 Tschechien CSC Computer Sciences s.r.o Bratislava Slowakei CSC Poland Sp. Zoo Warsaw Polen CSC Hungary Kft Budapest Ungarn CSC Enformasyon Teknoloji Hizmetleri Limited Sirketi 90/703 Istanbul Türkei CSC Computer Sciences Consulting Austria GmbH Unternehmenszentrale BC 20 Dresdner Straße Wien Telefon: Telefax: Geschäftsstelle Linz Blütenstraße Linz Telefon: Geschäftsstelle Graz Weinitzenstraße Graz Telefon: Geschäftsstelle Klagenfurt Lakeside B Klagenfurt Telefon: Die Computer Sciences Corporation (CSC) zählt zu den weltweit führenden IT-Dienstleistungsunternehmen. Durch die Entwicklung maßgeschneiderter Lösungen unterstützt CSC Kunden in Wirtschaft und Verwaltung, ihre spezifischen Geschäftsziele zu erreichen und vom Einsatz moderner Informationstechnologie zu profitieren. Mit der breit gefächerten Kompetenz ihrer Mitarbeiterinnen und Mitarbeiter schafft CSC innovative Kundenlösungen durch den Einsatz führender Technologien. Diese beinhalten Systemdesign und -integration, IT- und Geschäftsprozess-Outsourcing, Entwicklung von Anwendungssoftware, Web und Application Hosting sowie Managementberatung. Das Unternehmen notiert an der New Yorker Aktienbörse unter der Bezeichnung CSC. Weitere Informationen finden Sie unter oder