- Bzgl. SOAP meine ich mal gelesen zu haben, dass Firewalls derzeit nicht den Nachrichteninhalt (also die Commands) interpretieren können. Wie man das für einen Angriff nutzt kann ich nicht sagen. Aber es soll ein Sicherheitsproblem darstellen.
- Wie machst du die Authentifizierung bei SOAP über HTTP? (HTTP ist ja Stateless) Solltest du auf Session-Basis arbeiten: Session HiJacking!
- Kommunikation natürlich verschlüsseln (SSL)
- Womöglich ist XML-Security auch von Bedeutung (XML-Signaturen)
Etwas Literatur aus der LVA Advanced Internet Security:
http://security.inso.tuwien.ac.at/advinetsec-ss2011/
Einiges davon könnte für dich interssant sein.
Bei wem machst du die DA?