Komponentenmodelle für Web-Anwendungen

[Schmietendorf 02]. Es soll den Anwendungsentwickler von komplexen Aufgabenstellungen, wie beispielsweise der Autorisierung und Authentifizierung oder der Überwachung, entlasten [Schmietendorf 02]. Ziel dabei ist es, vorhandene Sicherheits-Infrastrukturen von bereits bewährten Modellen zu integrieren [Backschat 02]. In einer J2EE Umgebung lassen sich Bereiche gemeinsamer Sicherheit festlegen. So können sich Komponenten die sich in einem gemeinsamen Container befinden und den gleichen Sicherheitsrichtlinien unterliegen, gegenseitig vertrauen. Dieser Sicherheitsbereich (Protection Domain) kann auch auf mehrere Container erweitert werden und zum Beispiel gemeinsam für den Web-Container und den EJBContainer gelten [Backschat 02]. (a) Vertraulichkeit: Für die Vertraulichkeit von Daten können Sicherheitsprotokolle wie das Secure Sockets Layer (SSL) Protokoll oder die Transport Layer Security (TLS) verwendet werden [Schmietendorf 02]. Mit der Standardisierung des Secure Sockets Layer durch die Internet Engineering Task Force im Jahre 1999 wurde das Secure Sockets Layer Protokoll mit dem neuen Begriff Transport Layer Security erweitert. Die aktuelle Transport Layer Security Version unterscheidet sich nur in wenigen Details von der aktuellen Secure Sockets Layer Version [Dierks 99] und wird daher in dieser Arbeit nicht gesondert beschrieben. Die Verantwortung einer sicheren Datenübertragung der J2EE Spezifikation liegt beim jeweiligen Container, deren Realisierung ist daher herstellerspezifisch. (b) Integrität: Die Integrität von Daten ist, wie die Vertraulichkeit, vom jeweiligen Container abhängig und wird üblicherweise durch Secure Sockets Layer realisiert [Backschat 02]. Secure Sockets Layer verwenden hierfür einen Message Authentication Code (Hash-Algorithmus MD5 oder SHA1), dessen Grundlage ein gemeinsamer geheimer Schlüssel bildet. Die Daten werden anschließend mit Hilfe symmetrischer Verschlüsselung verschlüsselt [Freier 96]. (c) Authentifizierung: Für Web-Anwendungen mit J2EE können zum Nachweis der Identität, drei verschiedene Mechanismen zum Einsatz kommen: die HTTP Basic Authentication, die Form Based Authentication und die SSL Mutual Authentication. Die jeweilige Methode kann über den Deployment Descriptor festgelegt werden [Backschat 02]. [...]

Die Anwendungsserver-Schicht besteht meist aus einem Web-Container für Servlets oder JSP Seiten und dem EJB-Container. Servlets sind Klassen der Programmiersprache Java, die dynamisch Anfragen (engl. requests) von Clients bearbeiten und darauf Antworten (engl. responses) erzeugen [Armstrong 04]. JSP Seiten sind textbasierte Dokumente, die als Servlets ausgeführt werden. Sie ermöglichen beispielsweise die Einbettung von Java-Quellcode in HTML Seiten. Im EJB-Container befindet sich die wichtigste Geschäftslogik mit den Enterprise JavaBeans. Die Enterprise JavaBeans können Informationen des Client-Programmes empfangen, wenn nötig verarbeiten und an die Enterprise Information System Schicht (kurz EIS-Schicht) zur Speicherung weiterleiten. Enterprise JavaBeans können auch den umgekehrten Weg einleiten, indem sie Informationen der EIS-Schicht empfangen, falls nötig bearbeiten und an das ClientProgramm weiterleiten [Armstrong 04]. Die Anwendungsserver-Schicht stützt sich auf die Java 2 Enterprise Edition, welche auf die Java 2 Standard Edition aufbaut und sie um serverseitige Erweiterungen ergänzt, um Web-Anwendungen und andere verteilte Anwendungen zu entwickeln [Backschat 02]. [...]

In der Präsentationsschicht können verschiedene Arten von Clients bedient werden. Neben Light-Clients die für gewöhnlich einen Browser repräsentieren, sind dies auch oft Small-Clients oder Fat-Clients. Zu den Small-Clients zählen mobile Geräte wie beispielsweise ein Handheld-Computer oder ein Mobiltelefon. In dieser Schicht können sich auch Anwendungen der Programmiersprache Java befinden, die so genannten Fat-Clients. Ein Beispiel für Fat-Clients sind Java-Applets, welche als Client-Anwendungen in einer virtuellen Maschine am Browser ausgeführt werden [Armstrong 04] [Göldi 02]. Ein weiterer Spezialfall sind externe Computersysteme von Geschäftspartnern, mit denen Daten ausgetauscht werden, zum Beispiel über Web-Services [Göldi 02]. Die Java Anwendungen der Präsentationsschicht stützen sich auf die beiden Editionen Java 2 Standard Edition (J2SE) und Java 2 Micro Edition (J2ME). Die erstgenannte Edition ist hauptsächlich zur Entwicklung von Desktop-Anwendungen und Applets gedacht. Die zweite ist speziell auf mobile Geräte ausgerichtet [Backschat 02]. [...]