Pankaj Kumar:

J2EE Security

For Servlets, EJBs and Web Services

Ein fundiertes und gehaltvolles Buch für Fortgeschrittene mit vielen wertvollen Beispielen aber einzelnen formalen Schwächen!

Von Tobias Lütticke

„J2EE Security“ von Pankaj Kumar möchte helfen, Sicherheitskonzepte, -techniken und -werkzeuge anzuwenden, um Sicherheitsprobleme in Java Enterprise-Umgebungen zu identifizieren und Maßnahmen zu ergreifen. Dazu wendet es sich an Java-Entwickler, System-Administratoren, die für das Management von Java-Anwendungen zuständig sind, Software-Architekten und Projektleiter. Voraussetzung ist allerdings eine gute Kenntnis der Bereiche, innerhalb derer Maßnahmen zur Sicherheit angewendet werden sollen. Für einen Einstieg in das Gebiet Java Security erweist sich das Buch als zu schwere Kost.

Umfassende Darstellung von Themen aus dem Bereich Java-Sicherheit

In einer sehr umfassenden Darstellung spannt das Buch den Bogen von allgemeinen Grundlagen über alle sicherheitsbezogenen und sicherheitsrelevanten Java-Themen bis hin zur PKI (Public Key Infrastructure). Im Einzelnen gliedert Kumar seine gut 400 Seiten in drei zentrale Teile: Hintergrund; Technologie; Anwendung. Zu Beginn des Teils Hintergrund findet sich eine Einführung in den Themenkomplex Sicherheit. Er motiviert Sinn und Zweck von Sicherheit anhand von Einbruchs- und Manipulationsbeispielen. Gefolgt wird er von einem Überblick über die Java Plattform mit ihren APIs und deren Einordnung in den Kontext Java Security.

Technologie und Anwendung

Der Teilbereich Technologie konzentriert sich auf die in Java enthaltenen Sicherheitsmechanismen. Dazu gehört zum einen Kryptographie mit Java und den APIs JCA (Java Cryptography Architecture) und JCE (Java Cryptography Extension). Zum anderen die Zugangskontrolle mit JVM inhärenten Möglichkeiten sowie JAAS (Java Authentication and Authorization Service). Ein letztes Kapitel beschäftigt sich mit Sicherheit im Kontext von XML. Der dritte Teil widmet sich dem Thema Anwendung. Er behandelt die Anwendung der Konzepte und APIs auf Java Enterprise Applikationen. Er geht dazu auf die großen Bereiche RMI Security, Web-Anwendungs Security, EJB Security und Web Service Security ein. Dabei werden die Aspekte der deklarativen und programmatischen Sicherheit genauso behandelt wie typische Verwundbarkeiten von Anwendungen, Authentifizierung und Zugangskontrolle. Abschließend finden sich insgesamt sechs Anhänge, von denen die beiden wichtigsten sind: 1) Überblick über das JSTK (Java Security Toolkit), eine Programmsammlung des Autors, die er zur Illustration seiner Beispiele im Buch nutzt. Sie ist als Download verfügbar. 2) Index der Beispielprogramme: Dieser erweist sich als sehr hilfreich beim gezielten Nachschlagen.

Kompakte Darstellung

Zu Beginn einzelner Kapitel frischt Kumar das nötige Hintergrundwissen auf, indem er wesentliche Charakteristika über Technologien und Konzepte im Überblick zusammenstellt (RMI, Webanwendungen, EJB). Dies hilft, sicherheitsrelevante Fragestellungen in den Gesamtzusammenhang einzuordnen. Jedes Kapitel schließt wiederum mit einer kurzen Zusammenfassung und mit Literaturempfehlungen für weitergehend Interessierte, die etwa Spezialbereiche vertiefen wollen. Die Präsentation der Inhalte ist sehr kompakt. Ohne viel Umschweife werden die wesentlichen Inhalte sachlich vermittelt. Diese konzentrierte Darstellung bedeutet aber auch einen hohen Anspruch an den Leser. Während die Inhalte sicher umfassend und fundiert sind, wünscht man sich doch die zusätzliche Zusammenfassung der wichtigsten Punkte, oder grafische Hinweise auf Kernaspekte oder Fallstricke. Das Nachschlagen bestimmter Sachverhalte erfordert so die Suche im Fließtext. Mit der sehr knapp gehaltenen Zusammenfassung am Ende der Kapitel wurde hier eine Chance vertan. Die Gliederung innerhalb der Kapitel ist durchweg gut, leider existiert in ihnen keine fortlaufende Nummerierung, so dass man insbesondere in längeren Kapiteln auch mal den Überblick verlieren kann.

Starker Praxisbezug mit Code-Beispielen

Die Vielzahl an Code-Beispielen, die überall zu finden sind, lockern den Inhalt deutlich auf und mildern die kompakte und gehaltvolle Darstellung ab. Dazu kommen grafische Darstellungen mit demselben Effekt. Mit Hilfe der Beispiele werden alle Sachverhalte erläutert, so dass es nicht bei einer theoretischen Abhandlung bleibt. Diese Code-Beispiele erweisen sich immer wieder als hilfreich, entweder zur Verdeutlichung der Theorie oder als Vorlage für eigene Lösungen.

Apache Tomcat, Axis und Bea Weblogic als Basis

Für die Beispiele verwendet Pankaj Kumar als Basis Apache Tomcat (Web-Conrtainer), Apache Axis (Web-Services) und den kommerziellen Weblogic Application Server von Bea. Die Wahl des Application Server fiel auf Weblogic, weil JBoss zum Zeitpunkt der Veröffentlichung nicht J2EE zertifiziert war. Während Weblogic zwar sehr weit verbreitet ist, helfen die hierauf bezogenen Beispiele andern Nutzern leider kaum. Die Ausführungen aus dem Bereich EJB Security sind aber zwangsläufig eng mit dem verwendeten Application Server verbunden, so dass sich der starke Praxisbezug und die vielen Beispiele hier nachteilig auswirken bzw. unter Umständen nur sehr begrenzt verwertbar sind. Das betrifft Deployment-Deskriptoren, Utility-Klassen und Tools zum Deployment.

(Rezensiert am: 2005-01-10)

Pankaj Kumar: J2EE Security. For Servlets, EJBs and Web Services, Prentice Hall, 2004, ISBN-13: 9780131402645, 42.90 €

BuchTest Services

© Copyright Buchtest.com	Impressum	Kontakt