Seguridad en el desarrollo de aplicaciones COBOL | Secure Code Warrior

Resulta casi cómico que en 2019 estemos hablando de trabajar con un lenguaje informático inventado en 1959. Hoy en día no hay muchos seminarios o convenciones dedicados al arte de volver a enhebrar máquinas de coser Singer clásicas, o de cambiar el cárter de un Chevrolet Parkwood o un Triumph Herald. La mayoría de esas herramientas antiguas han sido retiradas hace mucho tiempo, actualizadas a modelos nuevos y más eficientes. Sin embargo, aquí en el mundo de la tecnología, que se supone que está a la vanguardia en comparación con otras industrias, seguimos trabajando con lenguajes como COBOL, que se lanzó en la misma época.

Por supuesto, hay muy buenas razones para ello. El lenguaje COBOL (Common Business Oriented Language) puede tener 60 años, pero fue tan bien construido que sigue siendo relevante y de uso generalizado hoy en día.

COBOL se creó como una forma relativamente sencilla, utilizando un lenguaje claro agrupado en frases y sintaxis específicas, para programar sistemas backend que realizaran tareas matemáticas y formularias. ¿Por qué sigue vivo hoy? En pocas palabras, es muy bueno en su trabajo. En cierto sentido, se ha convertido en parte del tejido informático de muchos sistemas centrales y mainframes en industrias tan diversas como el sector financiero y la fabricación.

Ha habido actualizaciones incrementales de COBOL a lo largo de los años, sobre todo en 2002, cuando se convirtió en un lenguaje orientado a objetos para hacer que la programación de nuevas aplicaciones fuera un poco más fluida. Pero, en su mayor parte, COBOL sigue siendo hoy lo que era entonces: un héroe anónimo y un lenguaje de programación resistente que trabaja en el backend para sustentar muchas aplicaciones modernas a nivel de mainframe.

¿Qué tan seguro es COBOL?

Desafortunadamente, no hubo muchas consideraciones de seguridad cuando se creó COBOL. Por ejemplo, muchas aplicaciones COBOL tienen un programa de contraseñas que las protege, pero casi nunca están reforzadas contra ataques como la protección de fuerza bruta para evitar el descifrado. Si a esto le sumamos el hecho de que muchas herramientas de seguridad modernas que monitorean el tráfico de red no saben cómo manejar o evaluar las funciones que ocurren dentro de programas escritos en lenguajes empresariales como COBOL, tenemos un problema real en potencia. Bastantes brechas modernas han tenido éxito debido a la falta de supervisión de seguridad en sistemas que ejecutan lenguajes informáticos clásicos. En 2015, los datos de más de cuatro millones de empleados federales de EE. UU. quedaron expuestos cuando la Oficina de Gestión de Personal (OPM) fue hackeada, y la culpa recayó en el uso de COBOL, citando la incapacidad de implementar medidas de seguridad modernas en un sistema tan arcaico.

Hace años, la seguridad estaba a cargo de un ejército de programadores que conocían COBOL y otros lenguajes populares de la época. En la década de 1960, COBOL era como el Java o .Net de hoy, y quienes lo conocían eran las estrellas de sus departamentos. En 2019, esas personas probablemente se jubilaron hace mucho tiempo, aunque los sistemas que protegían no.

Ampliando las líneas de defensa de COBOL

Muchos de estos veteranos fueron contratados nuevamente por sus organizaciones como consultores para defender los mismos mainframes en los que trabajaban antes. En más de un lugar, existían como una especie de anomalía: una camarilla secreta de hechiceros envejecidos en algún rincón de la oficina, cuya vestimenta extraña (corbatas anchas y trajes de tres piezas) y modales educados no encajaban del todo con los modernos hipsters con pantalones ajustados y moños. Sin embargo, eran absolutamente necesarios, porque pocos programadores modernos escriben código en COBOL y otros lenguajes antiguos. Lamentablemente, incluso estos últimos centinelas magos se están desvaneciendo, retirándose finalmente a Boca Ratón para disfrutar de una verdadera jubilación.

Como tal, existe una necesidad urgente de personas que comprendan los lenguajes antiguos y las vulnerabilidades de seguridad que contienen. Incluso si los más jóvenes no saben cómo escribir código en lenguajes clásicos, al menos deberían entender cómo funcionan y sus posibles vulnerabilidades. Porque mientras que el desarrollo en COBOL se ha mantenido relativamente estático, las amenazas contra las redes han seguido evolucionando. Intentar usar técnicas de ciberseguridad antiguas programadas hace sesenta años, como la aplicación de contraseñas de COBOL mencionada, para defender un mainframe contra atacantes modernos es similar a desplegar una falange de lanceros para luchar contra un pelotón de marines espaciales: a menos que ocurra un milagro al estilo de Hollywood, terminará mal para los tipos con las lanzas.

Ya sea antiguo o nuevo, también debe ser seguro.

Es por eso que creemos en la importancia de un sistema de formación avanzado que cubra una amplia gama de lenguajes y marcos de programación. Verá, uno de los problemas evidentes de muchas opciones de formación en seguridad es que la información es demasiado genérica o, peor aún, completamente irrelevante para el trabajo diario del desarrollador que la recibe. Pasar medio día aprendiendo sobre vulnerabilidades que solo se aplican a Java no ayudará a un desarrollador de COBOL a fortalecer su sistema, y solo perpetúa la idea de la "seguridad" como un ejercicio de marcar casillas que se olvida una vez completado el curso obligatorio. Debo añadir que formar a alguien en errores de seguridad de Java no siempre es aplicable para un desarrollador de Java Spring. La codificación segura es simplemente diferente en cada lenguaje, incluso hasta el nivel del framework.

En nuestra misión de capacitar a todos los desarrolladores para que se conviertan en superhéroes de la seguridad, no pasaremos por alto un lenguaje informático válido que todavía se utiliza en algunas de las instalaciones más críticas y atacadas del mundo. Al explorar nuestra plataforma, encontrará desafíos prácticos y formación moderna relacionados con COBOL, junto con algunas de las herramientas de programación más actuales disponibles hoy en día, como Golang de Google. Esta flexibilidad garantiza que la formación sea relevante para el individuo y contextual, imitando su entorno de trabajo para lograr la máxima participación y eficacia. Después de todo, construir una cultura de seguridad sólida es primordial en la lucha contra las ciberamenazas, por lo que la formación debe ser práctica (¡y divertida, por supuesto!).

Queremos que nuestra industria llegue a un punto en el que no importe si las amenazas de seguridad se dirigen a sistemas que ejecutan lenguajes antiguos o a las aplicaciones móviles más modernas. Queremos que cada desarrollador esté armado con la mejor información sobre esas vulnerabilidades, las herramientas y técnicas utilizadas por los atacantes para explotarlas y cómo detenerlas en seco. Nunca nos rendiremos ni vacilaremos ante las ciberamenazas. No importa cuán modernas o antiguas sean las amenazas o vulnerabilidades, siempre puede recurrir a Secure Code Warrior para aprender a derrotarlas, siempre.

PD: ¿Cree que un lenguaje antiguo escapa a la susceptibilidad a la inyección SQL? Piénselo de nuevo. Vea si puede localizar y corregir una en COBOL ahora mismo.