Sicherheit in der COBOL-Anwendungsentwicklung | Secure Code Warrior

Es wirkt fast komisch, dass wir im Jahr 2019 über die Arbeit mit einer Computersprache sprechen, die 1959 erfunden wurde. Es gibt heutzutage nicht viele Seminare oder Konferenzen, die sich der Kunst widmen, klassische Singer-Nähmaschinen neu einzufädeln oder die Ölwanne eines Chevrolet Parkwood oder Triumph Herald zu wechseln. Die meisten dieser alternden Werkzeuge wurden längst ausgemustert und durch neue, effizientere Modelle ersetzt. Doch hier in der Welt der Technologie, die im Vergleich zu anderen Branchen als hochmodern gilt, arbeiten wir immer noch mit Sprachen wie COBOL, die etwa zur gleichen Zeit veröffentlicht wurde.

Natürlich gibt es dafür sehr gute Gründe. Die Common Business Oriented Language (COBOL) mag zwar 60 Jahre alt sein, aber sie wurde so solide konstruiert, dass sie auch heute noch relevant ist und weit verbreitet eingesetzt wird.

COBOL wurde als relativ einfache Methode entwickelt, um mithilfe von Klartext, der in spezifische Sätze und eine bestimmte Syntax gegliedert ist, Backend-Systeme für mathematische und formelbasierte Aufgaben zu programmieren. Warum existiert sie heute noch? Einfach ausgedrückt: Sie erledigt ihre Arbeit sehr gut. In gewisser Weise ist sie zu einem festen Bestandteil der IT-Infrastruktur vieler Mainframe- und Kernsysteme in so unterschiedlichen Branchen wie dem Finanzsektor und der Fertigung geworden.

Im Laufe der Jahre gab es schrittweise Aktualisierungen für COBOL, insbesondere im Jahr 2002, als sie in eine objektorientierte Sprache umgewandelt wurde, um die Programmierung neuer Anwendungen etwas flüssiger zu gestalten. Doch größtenteils ist COBOL heute noch das, was es damals war: ein unbesungener Held und ein Arbeitstier unter den Programmiersprachen, das im Hintergrund viele moderne Mainframe-Anwendungen stützt.

Wie sicher ist COBOL?

Leider spielten Sicherheitsaspekte bei der Entstehung von COBOL kaum eine Rolle. Viele COBOL-Anwendungen werden zwar durch ein Passwortprogramm geschützt, sind aber fast nie gegen Brute-Force-Angriffe gehärtet. Wenn man bedenkt, dass viele moderne Sicherheitstools zur Überwachung des Netzwerkverkehrs nicht wissen, wie sie Funktionen in Programmen, die in Geschäftssprachen wie COBOL geschrieben wurden, bewerten sollen, steht man vor einem echten Problem. Zahlreiche moderne Sicherheitsverletzungen waren erfolgreich, weil es an Sicherheitsüberwachung für Systeme mit klassischen Computersprachen mangelte. Im Jahr 2015 wurden die Daten von über vier Millionen US-Bundesangestellten offengelegt, als das Office of Personnel Management (OPM) gehackt wurde, wobei die Schuld auf die Verwendung von COBOL geschoben wurde, da moderne Sicherheitsmaßnahmen auf einem derart archaischen System nicht implementiert werden konnten.

Vor Jahren wurde die Sicherheit von einer Armee von Programmierern gewährleistet, die COBOL und andere damals angesagte Sprachen beherrschten. In den 1960er Jahren war COBOL wie das heutige Java oder .Net, und wer es beherrschte, war der Rockstar seiner Abteilung. Im Jahr 2019 sind diese Leute längst im Ruhestand, auch wenn die Systeme, die sie schützten, noch immer existieren.

Die Verteidigungslinien von COBOL erweitern

Nicht wenige dieser sogenannten „Greybeards“ wurden als Auftragnehmer in ihre Unternehmen zurückgeholt, um genau die Mainframes zu verteidigen, an denen sie zuvor gearbeitet hatten. An vielen Orten wirkten sie wie eine Anomalie: ein geheimer Zirkel alternder Zauberer in einer hinteren Büroecke, deren seltsame Kleidung (breite Krawatten und dreiteilige Anzüge) und eigenartig höfliche Manieren nicht so recht zu den modernen Hipstern mit Skinny Jeans und Man-Bun passen wollten. Dennoch waren sie absolut notwendig, da nur wenige moderne Programmierer Code in COBOL und anderen alten Sprachen schreiben. Leider verschwinden selbst diese letzten Zauberer-Wächter allmählich, geben den Geist auf, ziehen nach Boca Raton und genießen ihren wohlverdienten Ruhestand.

Daher besteht ein dringender Bedarf an Leuten, die ältere Sprachen und die darin enthaltenen Sicherheitslücken verstehen. Auch wenn jüngere Leute nicht wissen, wie man Code in klassischen Sprachen schreibt, sollten sie zumindest verstehen, wie diese funktionieren und welche Schwachstellen sie haben. Denn während die COBOL-Entwicklung relativ statisch geblieben ist, haben sich die Bedrohungen für Netzwerke ständig weiterentwickelt. Der Versuch, uralte Cybersicherheitstechniken von vor sechzig Jahren, wie die erwähnte COBOL-Passwortanwendung, zur Verteidigung eines Mainframes gegen moderne Angreifer einzusetzen, ist vergleichbar mit dem Einsatz einer Phalanx von Speerträgern gegen einen Trupp Weltraumsoldaten – ohne ein Hollywood-Wunder wird das für die Jungs mit den Speeren böse enden.

Egal ob alt oder neu, es muss auch sicher sein.

Deshalb glauben wir an die Bedeutung eines fortschrittlichen Schulungssystems, das eine breite Palette an Programmiersprachen und Frameworks abdeckt. Eines der eklatanten Probleme vieler Sicherheits-Schulungsoptionen ist, dass die Informationen zu allgemein oder – noch schlimmer – für die tägliche Arbeit des Entwicklers völlig irrelevant sind. Einen halben Tag damit zu verbringen, etwas über Schwachstellen zu lernen, die nur für Java gelten, hilft einem COBOL-Entwickler nicht dabei, sein System zu härten. Es zementiert nur die Vorstellung von „Sicherheit“ als eine lästige Pflichtaufgabe, die nach Abschluss des obligatorischen Kurses wieder vergessen wird. Ich möchte hinzufügen, dass die Schulung zu Java-Sicherheitslücken nicht immer auf einen Java-Spring-Entwickler übertragbar ist. Sicheres Programmieren ist in jeder Sprache anders, selbst auf Framework-Ebene.

In unserer Mission, alle Entwickler zu Sicherheits-Superhelden zu machen, übersehen wir keine gültige Computersprache, die noch immer in einigen der am stärksten gefährdeten und kritischsten Einrichtungen der Welt verwendet wird. Auf unserer Plattform finden Sie moderne, praxisnahe Herausforderungen und Schulungen zu COBOL, die neben einigen der modernsten Programmiertools wie Googles Golang angeboten werden. Diese Flexibilität stellt sicher, dass die Schulung relevant und kontextbezogen ist und die Arbeitsumgebung für maximales Engagement und Effektivität widerspiegelt. Schließlich ist der Aufbau einer robusten Sicherheitskultur im Kampf gegen Cyber-Bedrohungen von größter Bedeutung, daher sollte die Schulung praktisch (und natürlich unterhaltsam!) sein.

Wir möchten, dass unsere Branche einen Punkt erreicht, an dem es keine Rolle spielt, ob Sicherheitsbedrohungen gegen Systeme mit alternden Sprachen oder gegen modernste Mobilitäts-Apps gerichtet sind. Wir möchten, dass jeder Entwickler mit den besten Informationen über diese Schwachstellen, den von Angreifern verwendeten Tools und Techniken sowie deren Abwehr ausgestattet ist. Wir werden angesichts von Cybersicherheitsbedrohungen niemals aufgeben oder nachlassen. Egal wie modern oder alt Bedrohungen oder Schwachstellen sind, Sie können sich immer an Secure Code Warrior wenden, um zu lernen, wie man sie jedes Mal besiegt.

PS: Glauben Sie, eine alte Sprache ist nicht anfällig für SQL-Injection? Denken Sie noch einmal nach. Versuchen Sie, jetzt eine in COBOL zu finden und zu beheben.