Was ist das Simple Object Access Protocol (SOAP)?

SOAP (Simple Object Access Protocol) ist das grundlegende, XML-basierte Anwendungsprotokoll zur Implementierung von Webservices innerhalb einer SOA (Serviceorientierte Architektur). SOAP wird hauptsächlich über HTTP und Middleware-Messaging-Systeme (JMS, MQ Series, MSMQ, Tuxedo, TIBCO RV) übertragen, kann aber auch über andere Protokolle wie SMTP (Simple Mail Transfer Protocol) und FTP (File Transfer Protocol) transportiert werden.

SOAP-Nachrichten bestehen im Allgemeinen aus den folgenden Elementen:

• Envelope: Der SOAP-Envelope ist das Wurzelelement einer SOAP-Nachricht und zwingend erforderlich. Im Wesentlichen enthält der Envelope die SOAP-Nachricht so, wie ein herkömmlicher Briefumschlag einen geschriebenen Brief enthält.
• Header: Der SOAP-Header ist optional und enthält, sofern vorhanden, anwendungsspezifische Informationen wie Details zur Authentifizierung, Adressierung und Weiterleitung.
• Body: Der SOAP-Body ist erforderlich und enthält die eigentliche zu übertragende Anwendungsnachricht, einschließlich der konkret aufgerufenen Remote-Operation sowie der ausgetauschten Daten (Parameter).

SOAP-Nachrichten sind häufig sehr umfangreich, da sie die Informationen enthalten müssen, die Anwendungen und Clients benötigen, um die darin enthaltenen Daten zu analysieren und die entsprechende Logik auszuführen. Mit zunehmender Größe der Nachrichten steigt auch der Verarbeitungsaufwand auf dem Server. Dadurch werden mehr Serverressourcen beansprucht, während die Gesamtkapazität sinkt. Die zunehmende Größe kann sich außerdem negativ auf die Leistung von Anwendungen auswirken, die auf SOAP basieren, da für die Übertragung der Nachrichten mehr Netzwerkressourcen erforderlich sind.

Da SOAP auf XML basiert, ist es für eine Vielzahl XML-spezifischer Angriffe und Schwachstellen anfällig. Darüber hinaus ist es auch durch Angriffe gefährdet, die auf das verwendete Transportschichtprotokoll abzielen, bei dem es sich meist um HTTP handelt.

F5-Produkte, die Sicherheits- und Leistungsprobleme im Zusammenhang mit SOAP beheben können: BIG-IP Application Security Manager