Sicherheit bei der COBOL-Anwendungsentwicklung | Secure Code Warrior

Es scheint fast komisch, dass wir 2019 über die Arbeit mit einer Computersprache sprechen sollten, die 1959 erfunden wurde. Heutzutage gibt es nicht viele Seminare oder Kongresse, die sich der Kunst widmen, klassische Singer-Nähmaschinen neu einzufädeln oder die Ölwanne an einem Chevrolet Parkwood oder einem Triumph Herald auszutauschen. Die meisten dieser veralteten Werkzeuge sind längst ausgemustert und durch neue und effizientere Modelle ersetzt worden. Doch hier im Technologieland, das im Vergleich zu anderen Branchen angeblich auf dem neuesten Stand ist, arbeiten wir immer noch mit Sprachen wie COBOL, das ungefähr zur gleichen Zeit veröffentlicht wurde.

Dafür gibt es natürlich sehr gute Gründe. Die Common Business Oriented Language (COBOL) mag 60 Jahre alt sein, aber sie war so gut konstruiert, dass sie auch heute noch relevant und weit verbreitet ist.

COBOL wurde als relativ einfache Methode entwickelt, bei der einfache Sprache verwendet wird, die in bestimmte Sätze und Syntax unterteilt ist, um Backend-Systeme für die Ausführung mathematischer und formelhafter Aufgaben zu programmieren. Warum lebt es heute weiter? Einfach ausgedrückt, es macht seinen Job sehr gut. In gewisser Weise ist es zu einem Teil der Rechenstruktur für viele Mainframe- und Kernsysteme in so unterschiedlichen Branchen wie dem Finanzsektor und dem verarbeitenden Gewerbe geworden.

Im Laufe der Jahre wurde COBOL schrittweise aktualisiert, vor allem 2002, als es in eine objektorientierte Sprache umgewandelt wurde, um das Programmieren neuer Anwendungen ein wenig flüssiger zu gestalten. Aber in den meisten Fällen ist COBOL heute noch das, was es damals war: ein unbekannter Held und eine Programmiersprache, die im Backend funktioniert und vielen modernen Anwendungen auf Mainframe-Ebene zugrunde liegt.

Wie sicher ist COBOL?

Leider gab es bei der ersten Entwicklung von COBOL nicht viele Sicherheitsüberlegungen. Zum Beispiel sind viele COBOL-Anwendungen mit einem Passwortprogramm geschützt, aber sie sind fast nie gegen Dinge wie Brute-Force-Schutz geschützt, um das Knacken zu verhindern. Kombinieren Sie das mit der Tatsache, dass viele moderne Sicherheitstools, die den Netzwerkverkehr überwachen, nicht wissen, wie sie mit Funktionen umgehen oder diese bewerten sollen, die in Programmen in Geschäftssprachen wie COBOL geschrieben sind, und Sie haben ein echtes Problem, das darauf wartet, dass es passiert. Nicht wenige moderne Sicherheitslücken waren erfolgreich, weil Systeme, auf denen klassische Computersprachen laufen, nicht ausreichend überwacht wurden. Im Jahr 2015 wurden die Daten von über vier Millionen US-Bundesangestellten offengelegt, als das Office of Personnel Management (OPM) gehackt wurde. die Schuld liegt bei ihrer Verwendung von COBOL, unter Berufung auf die Unfähigkeit, moderne Sicherheitsmaßnahmen in einem so archaischen System umzusetzen.

Vor Jahren wurde die Sicherheit von einer Armee von Programmierern gewährleistet, die COBOL und andere beliebte Sprachen der Zeit kannten. In den 1960er Jahren war COBOL wie das heutige Java oder .Net, und diejenigen, die davon wussten, waren die Rockstars ihrer Abteilungen. Seit 2019 sind diese Leute wahrscheinlich schon lange im Ruhestand, obwohl die Systeme, die sie geschützt haben, das nicht getan haben.

Erweiterung der Verteidigungslinien von COBols

Nicht wenige dieser sogenannten Graubärte wurden als Auftragnehmer in ihre Unternehmen zurückgebracht, um dieselben Mainframes zu verteidigen, an denen sie zuvor gearbeitet hatten. An mehr als wenigen Orten existierten sie als eine kleine Anomalie: eine geheime Kabale alternder Zauberer in einer hinteren Ecke des Büros, ihre seltsame Kleidung (weite Krawatten und dreiteilige Anzüge) und seltsam höfliche Manierismen, die nicht ganz zu all den modernen Hipstern passten, die Röhrenjeans und Männerbrötchen trugen. Sie waren jedoch absolut notwendig, da nur wenige moderne Programmierer Code in COBOL und anderen alten Sprachen verwenden. Leider verblassen sogar diese letzten Wächter der Zauberer, geben endlich den Geist auf und ziehen nach Boca Raton, wo sie einen wahren Ruhestand genießen.

Daher besteht ein dringender Bedarf an Menschen, die ältere Sprachen und die darin enthaltenen Sicherheitslücken verstehen. Auch wenn jüngere Menschen nicht wissen, wie man Code in klassischen Sprachen schreibt, sollten sie zumindest verstehen, wie sie funktionieren und welche potenziellen Sicherheitslücken sie haben. Denn obwohl die COBOL-Entwicklung relativ statisch geblieben ist, haben sich die Bedrohungen, denen Netzwerke ausgesetzt sind, ständig weiterentwickelt. Der Versuch, alte Cybersicherheitstechniken, die vor sechzig Jahren programmiert wurden, wie die oben erwähnte COBOL-Passwortanwendung, zur Verteidigung eines Mainframes gegen moderne Angreifer einzusetzen, ist vergleichbar mit dem Einsatz einer Phalanx von Speerkämpfern, um gegen einen Zug von Space Marines zu kämpfen — ohne ein Wunder im Hollywood-Stil wird es für die Typen mit den Speeren schlimm enden.

Egal ob alt oder neu, es muss auch sicher sein.

Deshalb glauben wir an die Bedeutung eines Fortbildungssystems, das eine breite Palette von Programmiersprachen und Frameworks abdeckt. Sie sehen, eines der eklatanten Probleme bei vielen Sicherheitsschulungen ist, dass die Informationen einfach zu allgemein sind oder, schlimmer noch, völlig irrelevant für die tägliche Arbeit des Entwicklers, der daran teilnimmt. Einen halben Tag damit zu verbringen, sich über Sicherheitslücken zu informieren, die nur für Java gelten, wird einem COBOL-Entwickler nicht helfen, sein System zu stärken, und es setzt nur die Idee von „Sicherheit“ als eine Übung fort, die man nach Abschluss des Pflichtkurses vergessen sollte. Ich möchte hinzufügen, dass es für Java-Spring-Entwickler nicht immer sinnvoll ist, jemanden in Java-Sicherheitslücken zu schulen. Sichere Codierung ist einfach in jeder Sprache anders, sogar bis auf Framework-Ebene.

In unserer Mission, alle Entwickler zu Sicherheits-Superhelden zu befähigen, werden wir eine gültige Computersprache nicht übersehen, die in einigen der zielgerichtetsten und kritischsten Einrichtungen der Welt immer noch verwendet wird. Wenn Sie unsere Plattform erkunden, finden Sie neben modernen, praktischen Herausforderungen und Schulungen rund um COBOL auch einige der modernsten Programmierwerkzeuge, die heute verfügbar sind, wie Googles Golang. Diese Flexibilität stellt sicher, dass die Schulungen für eine Person relevant und kontextabhängig sind und deren Arbeitsumgebung nachahmen, um ein Höchstmaß an Engagement und Effektivität zu erzielen. Schließlich ist der Aufbau einer soliden Sicherheitskultur im Kampf gegen Cyberbedrohungen von größter Bedeutung. Daher sollten Schulungen praktisch sein (und natürlich Spaß machen!).

Wir wollen, dass unsere Branche an einen Punkt kommt, an dem es keine Rolle mehr spielt, ob Sicherheitsbedrohungen gegen Systeme mit veralteten Sprachen oder gegen die modernsten Mobilitäts-Apps ausgehen. Wir möchten, dass jeder Entwickler mit den besten Informationen über diese Sicherheitslücken, die Tools und Techniken, die Angreifer verwenden, um sie auszunutzen, und darüber, wie sie gestoppt werden können, ausgestattet ist. Angesichts von Cybersicherheitsbedrohungen werden wir niemals kapitulieren oder nachgeben. Ganz gleich, wie modern oder wie lange es her ist, dass Bedrohungen oder Sicherheitslücken entstanden sind, Sie können sich jederzeit an uns wenden Sicherer Codekrieger um zu lernen, wie man sie besiegt, jedes Mal.

PS: Denken Sie, dass eine alte Sprache der Anfälligkeit für SQL-Injections entgeht? Denk nochmal nach. Schau, ob du kannst finde und repariere einen in COBOL gerade jetzt.