Sécurité du développement d'applications COBOL | Secure Code Warrior

Il semble presque comique qu'en 2019, nous devions parler de travailler avec un langage informatique inventé en 1959. Il n'existe plus beaucoup de séminaires ou de conventions consacrés à l'art de réparer des machines à coudre Singer classiques ou de changer le carter d'huile d'une Chevrolet Parkwood ou d'une Triumph Herald. La plupart de ces outils vieillissants ont été mis au rebut depuis longtemps, remplacés par des modèles plus récents et plus efficaces. Pourtant, dans le monde de la technologie, censé être à la pointe par rapport à d'autres secteurs, nous travaillons toujours avec des langages comme le COBOL, apparu à la même époque.

Bien sûr, il existe de très bonnes raisons à cela. Le COBOL (Common Business Oriented Language) a peut-être 60 ans, mais il a été si bien conçu qu'il reste pertinent et largement utilisé aujourd'hui.

Le COBOL a été créé comme un moyen relativement simple, utilisant un langage clair regroupé en phrases et une syntaxe spécifiques, pour programmer des systèmes backend afin d'effectuer des tâches mathématiques et formelles. Pourquoi perdure-t-il aujourd'hui ? Tout simplement parce qu'il est très efficace dans son domaine. En un sens, il est devenu une partie intégrante du tissu informatique de nombreux mainframes et systèmes centraux dans des secteurs aussi divers que la finance et l'industrie.

Le COBOL a bénéficié de mises à jour progressives au fil des ans, notamment en 2002 lorsqu'il a été transformé en langage orienté objet pour rendre la programmation de nouvelles applications un peu plus fluide. Mais pour l'essentiel, le COBOL reste aujourd'hui ce qu'il était à l'époque : un héros méconnu, un langage de programmation robuste qui travaille en arrière-plan pour soutenir de nombreuses applications modernes de niveau mainframe.

Le COBOL est-il sécurisé ?

Malheureusement, les considérations de sécurité étaient quasi inexistantes lors de la création du COBOL. Par exemple, de nombreuses applications COBOL sont protégées par un programme de mot de passe, mais elles ne sont presque jamais renforcées contre des menaces comme les attaques par force brute. Ajoutez à cela le fait que de nombreux outils de sécurité modernes surveillant le trafic réseau ne savent pas comment gérer ou évaluer les fonctions exécutées au sein de programmes écrits dans des langages métier comme le COBOL, et vous obtenez un problème majeur en puissance. De nombreuses failles modernes ont réussi en raison d'un manque de surveillance de la sécurité pour les systèmes utilisant des langages informatiques classiques. En 2015, les données de plus de quatre millions d'employés fédéraux américains ont été exposées lors du piratage de l'Office of Personnel Management (OPM), la faute étant attribuée à l'utilisation du COBOL, citant l'incapacité à mettre en œuvre des mesures de sécurité modernes sur un système aussi archaïque.

Il y a des années, la sécurité était assurée par une armée de programmeurs qui connaissaient le COBOL et d'autres langages en vogue à l'époque. Dans les années 1960, le COBOL était l'équivalent du Java ou du .Net d'aujourd'hui, et ceux qui le maîtrisaient étaient les stars de leurs départements. En 2019, ces personnes ont probablement pris leur retraite depuis longtemps, même si les systèmes qu'elles protégeaient sont toujours là.

Renforcer les lignes de défense du COBOL

Bon nombre de ces experts ont été rappelés par leurs organisations en tant que consultants pour défendre les mêmes mainframes sur lesquels ils travaillaient auparavant. Dans bien des endroits, ils faisaient figure d'anomalie : une cabale secrète de sorciers vieillissants dans un coin reculé du bureau, leur tenue étrange (cravates larges et costumes trois-pièces) et leurs manières polies ne s'accordant pas tout à fait avec les hipsters modernes en jean slim et chignon. Pourtant, ils étaient absolument nécessaires, car peu de programmeurs modernes écrivent du code en COBOL ou dans d'autres langages anciens. Malheureusement, même ces derniers gardiens sorciers disparaissent peu à peu, tirant leur révérence pour profiter d'une retraite bien méritée à Boca Raton.

Il existe donc un besoin urgent de personnes comprenant les langages anciens et les vulnérabilités de sécurité qu'ils contiennent. Même si les plus jeunes ne savent pas coder dans ces langages classiques, ils devraient au moins comprendre leur fonctionnement et leurs vulnérabilités potentielles. Car si le développement COBOL est resté relativement statique, les menaces pesant sur les réseaux ont continué d'évoluer. Tenter d'utiliser des techniques de cybersécurité vieilles de soixante ans, comme l'application de mot de passe COBOL susmentionnée, pour défendre un mainframe contre des attaquants modernes revient à déployer une phalange de lanciers contre un peloton de space marines : à moins d'un miracle hollywoodien, cela finira mal pour les gars avec les lances.

Ancien ou nouveau, tout doit être sécurisé.

C'est pourquoi nous croyons en l'importance d'un système de formation avancé couvrant une large gamme de langages et de frameworks. L'un des problèmes flagrants de nombreuses options de formation à la sécurité est que les informations sont trop génériques, ou pire, totalement hors de propos pour le travail quotidien du développeur. Passer une demi-journée à apprendre des vulnérabilités qui ne s'appliquent qu'à Java n'aidera pas un développeur COBOL à renforcer son système, et cela perpétue l'idée que la sécurité est une simple formalité à oublier une fois le cours obligatoire terminé. J'ajouterais que former quelqu'un aux failles de sécurité Java n'est pas toujours applicable à un développeur Java Spring. Le codage sécurisé est tout simplement différent dans chaque langage, même au niveau du framework.

Dans notre mission de transformer tous les développeurs en super-héros de la sécurité, nous ne négligerons aucun langage informatique valide encore utilisé dans certaines des installations les plus critiques et ciblées au monde. En explorant notre plateforme, vous trouverez des défis pratiques et des formations modernes sur le COBOL, proposés aux côtés des outils de programmation les plus actuels, comme le langage Go de Google. Cette flexibilité garantit une formation pertinente et contextuelle, imitant l'environnement de travail de chacun pour un engagement et une efficacité optimaux. Après tout, bâtir une culture de sécurité robuste est primordial dans la lutte contre les cybermenaces, alors la formation doit être pratique (et amusante, bien sûr !).

Nous voulons que notre industrie atteigne un stade où peu importe que les menaces de sécurité visent des systèmes utilisant des langages vieillissants ou les applications mobiles les plus modernes. Nous voulons que chaque développeur soit armé des meilleures informations sur ces vulnérabilités, des outils et techniques utilisés par les attaquants pour les exploiter, et de la manière de les contrer. Nous ne céderons jamais face aux menaces de cybersécurité. Peu importe l'ancienneté des menaces ou des vulnérabilités, vous pouvez toujours vous tourner vers Secure Code Warrior pour apprendre à les vaincre, à chaque fois.

PS : Vous pensez qu'un langage ancien échappe aux injections SQL ? Détrompez-vous. Voyez si vous pouvez en localiser et en corriger une en COBOL dès maintenant.