Sicherheitsanalyse von Windows Communication Foundation
Handlungsempfehlungen und eine Beispiel-Implementierung des BSI verfügbar
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat jetzt eine Sicherheitsanalyse von Microsofts Kommunikationsplattform "Windows Communication Foundation" (WCF) alias Indigo durchgeführt. Zudem wurde eine praxisorientierte Beispielanwendung zur sicheren Nutzung der WCF-Sicherheitsfunktionen erarbeitet und zusätzlich erforderliche Sicherheitsmaßnahmen abgeleitet.
Die Windows Communication Foundation (WCF), auch bekannt unter dem früheren Codenamen Indigo, ist eine dienstorientierte Kommunikationsplattform für verteilte Anwendungen. Sie wurde als Kernbestandteil der neuen Microsoft-Anwendungsplattform ".NET 3.0" Ende 2006 veröffentlicht und führt unterschiedliche Kommunikationstechnologien standardisiert mit einer einheitlichen Programmierschnittstelle zusammen. Die WCF wurde ursprünglich für Microsoft Windows Vista entwickelt, ist aber auch für Windows XP und Windows Server 2003 verfügbar.
Ausgehend von einer Bedrohungsmodellierung über die konkrete Implementierung einer Beispielanwendung bis hin zu spezifischen Fragen der Verteilung von Anwendungskomponenten auf Zielsystemen untersuchte das BSI die WCF-Sicherheitsfunktionen. Nach Ansicht des BSI ermöglichen diese Sicherheitsfunktionen ergänzt durch die Handlungsempfehlungen des BSI einen sicheren interoperablen Einsatz verteilter Systeme auf der neuen Microsoft-Anwendungsplattform ".NET 3.0".
Interessenten können per E-Mail-Anfrage an os-security@bsi.bund.de die Handlungsempfehlungen des BSI zum sicheren Einsatz der Windows Communication Foundation (WCF) beziehen. Die Empfehlungen umfassen neben den Hinweisen zu WCF-spezifischen Architekturen, zur sicheren Installation, Authentifizierung und zur Anbindung von Datenbanken oder der Fehlerbehandlung in verteilten Systemen auch den Quellcode der beispielhaften WCF-Anwendung.
