IBM Mainframes er en sikkerhedsrisiko

Det her bliver meget kort: Jeg har et fuldt program idag.

En helt central faktor i Nets manglende privatlivsbeskyttelse er at de kører tingene på store IBM mainframes.

Der kan siges meget pænt om mainframes, og der er bestemt blevet det fordi de har 50 års jubilæum i år, men objektivt kan man ikke påstå at de har fulgt med tiden på nogen anden måde end halvlederteknologisk, hvor de til gengæld ligger helt i front.

Men hele den måde softwaren og organisationen omkring en mainframe virker på, for slet ikke at tale om sikkerhedsmodellen, er dybt, dybt forældet.

Og der er ikke noget håb for forbedring og det har der ikke været i de halvtres år det har taget at aflejre den køkkenmødding af "good idea at the time" som en moderne mainframes driftsmiljø faktisk er.

Det er nået dertil at det er umuligt at konfigurere og drifte en IBM mainframe uden at give IBMs folk vidtrækkende adgang og derfor vælger flere og flere firmaer der lider af mainframe baseret IT at outsource hele driften til IBM til at begynde med.

I realiteten er der heller ikke andre end IBM der kan lave en troværdig sikkerheds-audit af en mainframe installation, men hvor troværdigt er det lige hvis det er IBM selv der driver installationen ?

IBMs topledelse kan blive smidt i fængsel for foragt for retten, hvis de ikke udleverer en kopi af alle danskeres NemID nøgler til NSA, helt uanset hvad der måtte være skrevet i en kontrakt imellem IBM og Nets eller mellem Nets og den danske stat. Da IBM står for hele driften af hele Nets mainframe miljø er der aldrig nogen der vil være istand til at finde ud om det er sket.

Jeg har rigtig ondt af firmaer som Topsikring lige nu:

Det eneste de kan gøre, er at ringe til deres kontaktperson hos IBM og spørger om IBM gider undersøge (til timepris, naturligvis) om IBM har problemer med mainframesikkerheden.

Og nej, der er ingen offentlig instans der har noget overblik over hvor mange offentlige og private organizationer der har outsourcet deres mainframe til IBM og derfor står i præcis samme situation.

Jeg er klar over at dette blogindlæg vil blive læst på to helt forskellige måder:

Langt de fleste mainframefolk lider af Stockholmsyndrom. De har aldrig arbejdet med nogen anden form for IT og de kan derfor slet ikke forestille sig at ting kan være på nogen anden måde, langt mindre være bedre på nogen anden måde. De tror at mainframes er den eneste måde at lave "store" databaser og transaktioner på. De tror at mainframes per definition er bedre, hurtigere og mere sikre, for det står der tydeligt i mainframe dokumentationen.

Omvendt holder de fleste andre IT folk sig langt borte fra mainframeverdenen.

Med andre ord: Mainframen er blevet en religiøs kult, hvor de frelste er frelst og alle vi andre lukker øjnene "For det er jo deres eget valg".

Men denne religøse kult har fingrene dybt inde i data om alle danskeres privatliv og derfor er det på tide at vi åbner øjnene.

Mainframen og IBM skal ud af danskernes privatliv.

phk

Poul-Henning Kamps billede
Poul-Henning er selvstændig systemprogrammør, kernekoder, Varnish-forfatter, data-arkæolog og brokkehoved uden særlig portefølje.

Kommentarer (91)

Max Tobiasen

Google, der nok er dem der behandler mest data i verden og samtidig er nogen af dem der er bedst til at holde et højt sikkerhedsniveau, er et strålende eksempel.

De kører som bekendt primært open-source software på mere eller mindre generiske linuxbokse. De har mere data og flere transaktioner end Nets nogensinde vil få. Det ser ud til at gå gangks godt, og iøvrigt være noget billigere. Det samme mønster gentager sig i så godt som samtlige firmaer startet indenfor de sidste 10-15 år. Dropbox, der i den grad også har med meget data at gøre, kører på Amazon AWS.

Så ja, mainframe modellen er nok på vej ud.

Pelle Söderling

Helt enig angående mainframes, men jeg synes også det er påfaldende som de fleste sikkerhedsbrister vi hører om indenfor offentlig IT skyldes en eller anden samarbejdspartner med lidt for meget adgang.

Man får det indtryk at de store IT leverandører til det offentlige især er flettet så meget ind i hinanden at de på kryds og tværs har adgang til hinandens data for whatever reason (enten fordi de drifter det eller står for udvikling/vedligehold af dele af systemet).

Al denne ansvarsdistribution kan da kun give problemer.

René Søndergaard

Jeg har ellers synes godt om dine indlæg, men dette er direkte forkert!

Ja, jeg har arbejdet med IT siden 1981 og dermed det meste af tiden med IBM mainframes, så dermed kan I afvise dette som et religiøs indlæg - MEN det er det ikke! Jeg angriber bare de oplysninger der er faktuelt forkerte!

Du får blandet to ting sammen her. Et er IBM mainframen som platform, noget helt andet er IBM som facility management leverandør. Dette indlæg handler om det første, det sidste vil jeg ikke have nogen mening om.

Det er ikke mainframen som teknologi, der har et sikkerhedsproblem, tvært imod. Der kan være nogle installationer, der ikke sætter deres sikkerhed ordentlig op, men i min erfaring, er det et meget større problem i den decentrale verden end i mainframe verdenen.

Det er simpelhen usandt at påstå, at man ikke kan sætte sikkerheden op på en mainframe, så der ikke er nogen, der kan komme til at snage i data uden at det logges - og uden at disse logs kan manipuleres af samme person.

Siden sikkerhed blev et issue i midt 80'erne, har jeg aldrig arbdejdet på en instalation, hvor nogen har haft direkte adgang til mainframe-produktionsdatabaser uden, at de har haft et forretningsmæssigt behov. Jeg har derimod arbejdet på mange installationer, hvor det var helt normalt, at personer rettede direkte i decentrale produktionsdatabaser uden nogen form for logning af, hvem der gjorde hvad.

Og bare "for the record" Topsikring eksisterer ikke mere - de hedder TopDanmark og har gjort det siden midt 80'erne. Og TopDanmark er enten helt ude af mainframen eller meget stærkt på vej.

Jacob Sparre Andersen

Jeg må blankt indrømme at jeg ikke kender særlig meget til detaljerne i IBM's mainframes, men det væsentlige i PHK's indlæg er vel at det ikke kan tolereres at udenlandske virksomheder er betroede 3.-parter når det gælder fortrolige oplysninger.

Hvis dem der bruger IBM-mainframes kan afkoble IBM's personale 100% fra adgang til deres mainframes, så har jeg ikke noget principielt imod at man bruger IBM-mainframes.

Den smule jeg i tidens løb har hørt om hvordan IBM-mainframes fungerer tyder dog på at det i praksis er umuligt at holde IBM uden for, uanset om man bruger dem som facility management leverandør eller ej. - Er jeg fejlinformeret?

Poul-Henning Kamp

Det er ikke mainframen som teknologi, der har et sikkerhedsproblem, tvært imod.

Jo, et er det i allerhøjeste grad (også).

Alene det faktum at man stadig har brug for en "batch-operatør" for at afvikle programmer, en batchoperatør som derfor har det du kalder "et forretningsmæssigt behov" for adgang, udgør en enorm ladeport i sikkerheden.

Og mig bekendt er der endnu aldrig blevet fundet en 100% konsistent og 100% korrekt RACF som implementerer den forretningsmæssige korrekte "minimal access".

Jeg har med vilje ikke taget den tekniske vinkel på mainframens køkkenmødding, for det ville blive alt for langt og kræve alt for mange staveplader at forklare fra folk uden det nødvendige stockholm-syndrom.

Og det er ikke mig der blander IBM mainframe som en platform sammen med IBM som leverandør af driftsydelser på mainframes, det er de firmaer, som Nets, der udliciterer mainframe driften til IBM, uden overhovedet at overveje at det udelukker enhver mulighed for et uafhængigt audit af systemet.

Men tak for eksemplet på min påstand om at Mainframe folk lider af Stockholmsyndrom.

Poul-Henning Kamp

Den smule jeg i tidens løb har hørt om hvordan IBM-mainframes fungerer tyder dog på at det i praksis er umuligt at holde IBM uden for, uanset om man bruger dem som facility management leverandør eller ej. - Er jeg fejlinformeret?

Nej, det er du ikke.

Det er helt almindeligt at IBM's service afdeling har direkte remote adgant til systemet og rutinemæssigt logger ind på det for at "overvåge" at maskinen kører som den skal.

Ligeledes har IBM's systemkonsulenter ofte mulighed for at logge ind i forbindelse med supporthenvendelser osv.

Har man en IBM mainframe, er IBM en stor del af ens sikkerhedsoverflade.

Kører IBM mainframen, er IBM sikkerhedsoverfladen.

René Søndergaard

Vi er helt enige i problematikken i udlicitering af serverparken - men det gælder hvad enten vi snakker Linux, Unix, Windows eller IBM mainframes! Men din blog snakker om mainframen som platform, ikke IBM som facility management leverandør.

Jeg synes, det er helt hen i vejret at snakke om Stockholmsyndrom. Jeg finder det uværdigt at bruge den slags argumenter - det er ren mudderkastning og må være udtryk for mangel på saglige argumenter. Jeg argumenterer ikke for at man skal bruge mainframes - jeg angriber kun faktuelt forkerte oplysninger. Enhver der kender mig ved, at jeg bestemt mener, man skal bruge decentrale løsninger, hvor det giver mening af den ene eller grund.

En "batch-operatør" har ikke adgang til databaser, og har bestemt ikke et forretningsmæsigt behov for at have det - i hvert fald ikke på en IBM mainframe!

IBMs systemkonsulenter har ikke automatisk adgang til databaser, og har sjællent eller for ikke at sige aldrig behov for at have det.

"Og mig bekendt er der endnu aldrig blevet fundet en 100% konsistent og 100% korrekt RACF som implementerer den forretningsmæssige korrekte minimal access."

RACF (et af sikkerhedssystemmerne på en IBM mainframe) kan sagtens sættes op til minimal access - min erfaring siger, at den ofte er. Så igen er dit indlæg faktuelt forkert.

Dennis Thrysøe

Gad vide hvad bankerne drifter deres systemer på"

.net på windows. I kid you not. Mange banker er i gang med skiftet fra mainframe til .net (med flere lag ovenpå).

Søren Hersdorf

En meget uskøn sammenblanding af holdnnger til platform, operativsystem, sofware, arbejdsprocessor, "sikkerhedsmodel", amerikansk vs. dansk lovgivning og mainframeprogrammørers mentale tilstand.

Desværre også så fyldt med faktuelle fejl, at det ikke kan tages alvorligt.
Det er en om'er.

Lars Valdemar Hansen

Det store spørgsmål er så hvorfor de gør det. Lur mig om ikke sikkerhed ligger langt nede i begrundelserne. IBM tager rigtig mange penge for mainframen og det samme gør software leverandørerne:-)

Rasmus Nielsen

Det handler om at danskerne og danske virksomheder tager alt for let på IT sikkerhed - og det er platformsuafhængigt.

Det er useriøst at give IBM eller mainframes skylden. De fleste virksomheder der outsourcer driften af deres IT systemer oplever en forringet service, det handler om dårlige processer og procedurer - både hos kunderne og hos leverandøren.
Desværre løses problemerne ved at give de forkerte folk adgang til data de ikke bør vide noget om.

Jeg er dog enig i at når man outsourcer til et multinationalt selskab - vil der være en risiko for at andre kigger med i dine data.

Jørn Thyssen

Nu er der jo heller ingen i unix-, linux-, open source-, eller windows-lejrene der lider af Stockholm-syndromet, men det er meget snedigt debat-taktik at bringe det op så man med det samme kan afvise alle indlæg fra modstanderens lejr.

Dit oprindelige indlæg og dine svar i tråden ligger langt under din sædvanlige standard :(

Leif Nielsen

En "batch-operatør" har ikke adgang til databaser,

Se og Hør, Nets, IBM og Rigspolitiet er inde på at du ikke har ret ?

Hvor kom Rigspolitiet nu ind her.

Og at bruge specifikke virksomheder som eksempel beviser ikke andet end at de ikke har styr på sikkerheden. Det har intet med platformen at gøre.

Udsagnet "en batch-operatør" har ikke adgang til databaser er helt korrekt - medmindre vedkommende eksplicit har fået det.

Nu er det godt nok 17 år siden, jeg har arbejdet med mainframes - men platformen fejler ikke noget (katastrofalt) sikkerhedsmæssigt.

PHK - du er ude i et religiøst ærinde her.

Jeg har i øvrigt selv arbejdet på den distribuerede platform de sidste mange år, så jeg lider vist ikke af noget Stockholmssyndrom mere.

Morten Jensen

Jeg ville oenske at du havde kommenteret holdninger fra feks halvbagte Financial Controllers der tit og ofte har for stor inflydelse paa IT, men du kaster faktisk med mudder efter en platform.
Det er IKKE artitekturen af hardware eller operativ systemet der har skylden her, det er den maade softwaren som koerer paa platformen er blevet skrevet.

At du saa heller ikke stoler paa IBM, eller i det hele taget en Amerikansk/Tysk eller Fransk leverandoer of offenligt IT kan jeg saa kun tilslutte mig 100%

Nikolaj Hansen

Ang. NemID så bygger den del af artiklens argumentation på, at NemID baserer sig på mainframe applikationer.

Er det ikke en ret stor antagelse, eller ligger der en løsnings beskrivelse tilgængelig et eller andet sted?

Et link ville være rart.

Kim Henriksen

IBMs topledelse kan blive smidt i fængsel for foragt for retten, hvis de ikke udleverer en kopi af alle danskeres NemID nøgler til NSA, helt uanset hvad der måtte være skrevet i en kontrakt imellem IBM og Nets eller mellem Nets og den danske stat. Da IBM står for hele driften af hele Nets mainframe miljø er der aldrig nogen der vil være istand til at finde ud om det er sket.

Kører NemID ikke på sådan nogle "special kasser fra USA"?

Lars Christoffersen

@phk hvis du gerne vil flytte noget her i verden, er vejen frem ikke at tale til alle andre, især dem der har divergerende meninger, som lallende idioter. At nogen har arbejdet med Mainframe i 50 år, affærdiger du med et indlæg, det oversat betyder. "Idiot"
Du burde læse "How to Win Friends & Influence People" af Dale Carnegie. Så ville du måske få indflydelse. Nu lyder du bare som en gal nørd, som ingen tager alvorligt.

Finn Christensen

Jeg håber du har asbestundertøjet på!

PHK er selvstændig og lever ikke af IBM eller deres isenkram - så holdt han bøtte. Han har en gratis omgang, men som alle der klynger sig til Microsoft så er problemet helt det samme med de store gamle eller vandkølede, og det kender enhver der har haft sin gang i den verden.

Enten dur man selv til it-sikkerhed, eller betaler uafhængige for af varetage sin sikkerhed. Helt almindelig sikkerhed koster og kun 5-15% afhængig af branche betaler det nødvendige. Resten lever med huller af forskellig 'størrelse' - vil/kan/tør/evner ikke nogen som helst ændring = datasikkerhed er Potemkin-kulisser, som folket tror på.

Kun pisk, lovgivning og uafhængigt rejsende Datatilsyn konstant på trapperne (altså løbende it-revision uden tomt juristeri) vil flytte på situationen.

Det nuværende sladderfænomen er ikke et par stykker eller enkeltstående - første gang jeg stødte på fænomenet var omkring 1990'erne ~20 år :)

Koster x måske xx mia. at rette op på 15-25 år grov slendrian, og hvem af de 179 på tinge vil drømmer om at igangsætte - operation rent trut i fløjten.

Skal vi gætte - ingen. Politikerne (179 minus 10-25 stykker) kan end ikke selv finde ud af at have åbne partiregnskaber, for alle de hemmelige penge fra 'onkel' luner jo i kassen - dobbeltmoral.

Alle håber det her snart driver over, og så daler støvet igen ned, medens xxx kopier lidt data og yyy henter lidt oplysninger, samt zzz spørger om han kan få oplyst, om ....

Poul-Henning Kamp

Jeg var lige på kundebesøg.

"// DER ER IKKE NOGET GALT MED MAINFRAMES" reaktioner ovenfor var lige så forventelige som de er usubstantierede.

I den aktuelle sag har vi flg. fakta:

  1. "En skide batch-operatør" som en IBM medarbejder omtalte sin ex-kollega har i mange år uhindret og uopdaget kunne lække kreditkort transaktioner i noget der lignede real-tid.

  2. Nets og Politiet er blevet rigtigt nervøse fordi han også havde adgang til NemID systemerne.

  3. Både NemID og Dankort systemet er blevet "revideret" af "uafhængige" revisorer der har nikket lodret, år efter år.

Det ville klæde mainframe folkene at forholde sig disse tre fakta, hvis de vil forsvare at mainframes ikke udgør en helt unødvendig sikkerhedsrisiko.

Det er fint at henvise til teorien om at folk kun skal have minimal adgang osv, men det her er praksis og praksis på en mainframe er meget forskellig fra den teori der henvises til.

Men der er også et mentalitetsproblem.

I et fornuftigt sikkerhedsdesign, er Dankort og NemID systemerne totalt adskilt.

Men ikke på mainframes: Der blandes de sammen, fordi de koster kassen og alle skal spare penge på IT-driften.

Så nej, det er ikke selve mainframe hardwaren.

Det er heller ikke selve softwaren.

Eller selve driftsorganisationen.

Det er den samlede giftige cocktail der udgør et sikkerhedsproblem, fordi alt for mange ting blandes sammen, på en platform og i en organisation der ikke magter at holde sikkerheden i top under de omstændigheder.

Oveni kommer så IBMs interessekonflikt...

Mainframes er i praksis en sikkerhedsrisiko.

Hvis man bruger dem ifølge "teorien", så de ikke udgør en sikkerhedsrisiko, er de alt for dyre i drift og slet ikke konkurrencedygtige med mere moderne teknologi.

Jørgen Floes

Jeg har med stor interesse læst dit indlæg omkring IBM mainframe og hvad den er skyld i. Inden jeg kommenterer dit indlæg skal for en god ordens skyld sige at jeg er chef arkitekt for IBMs outsourcing forretning i Norden. Og jeg er ikke enig i dine konklussioner omkring IT sikkerhed, IBM og hvordan Nets har valgt at organisere sin forretning.

Men før vi konkluderer at det hele er IBMs skyld så bør vi nok for en god ordens skyld starte med at præcisere et par generelle facts - uden at pege fingre eller drage konklussioner:

1) Mange mainframe systemer er store og komplicerede systemer som er udviklet over en lang årrække - helt op til 50 år. Det er ikke altid let at vedligeholde sådanne systemer - hvorfor de ikke altid har udnyttet de seneste sikkerhedsfunktioner og udviklingsmetoder. Men grundlæggende er disse systemer ofte meget driftsstabile og dækker de behov virksomheden har/havde. Om de så altid kan alt det vi gerne vil have dem til nu om dage - det er en helt anden sag, hvorfor nogle kunder migrerer væk fra de gamle systemer.

2) De systemer vi taler om her er ikke standard systemer! og det kan de typisk heller ikke være. Der er ikke mange virksomheder der udvikler systemer til at administrere kreditkort, så det er ikke nogen hyldevare! Mange af de banker der bruger mainframes vil ikke kunne gå ud og købe et standard system som opfylder dansk/europæisk bank lovgivning hvorfor de har udviklet dem selv.

3) SDC er et eksempel på en virksomhed der har valgt at migrere fra mainframe til en windows platform og det har taget dem mange år at udvikle den applikation. Er den så i stand til at beskytte dem mod det som skete på NETS system? Er deres nyudviklede system så mere sikkert end det gamle mainframe system?

4) En mainframe er idag et særdeles avanceret system som har alle de samme sikkerhedsfunktioner og faciliteter som de distribuerede systemer. I en mainframe anvender man indbyggede krypterings systemer som anvender certifkater, krypterede lagringsmedier og adgangskontrol etc. ligesom dem der findes i windows og Linux servere. De moderne versioner af zOS operativsystemet har alle relevante logningsfunktioner og adgangskontrol systemer som er mindst lige så avancerede som Windows. NETS anvender disse funktioner (og de nyeste versioner) på deres system!

5) Der er ikke nogen der har brudt sikkerheden på mainframe løsningen for at skaffe sig de informationer der er sendt til Se & Hør! Og hvis systemet havde kørt Unix, Linux eller Windows ville dette heller ikke være tilfældet. Personen har haft adgang til dataene som en del af sit job.

6) En driftsorganisation består af forskellige personer som driver en løsning. For at de kan gøre dette skal de have forskellige rettigheder - det er helt naturligt - og enkelte medarbejdere har flere rettigheder end andre fordi der altid er administratorer på sådanne systemer. Det er fuldstændigt uafhængigt af om der er tale om en mainframe eller en Linux/Windows server. Personer med sådanne rettigher vil altid kunne få adgang til data og vil også kunne slette deres spor. De færeste systemer idag - Linux, Windows, Unix og Mainframe - har så avancerede sikkerhedsfunktioner at personer med disse rettigheder ikke vil kunne omgå dette.

7) Alle system/kerne programmører vil have mulighed for at skrive ting ind i koden til en løsning som gør ting vi ikke vil have. At der er folk der på denne måde tiltusker sig data på ikke lovlig vis er vist ikke nogen nyhed og diverse phishing mails er vel også et godt eksempel på at det sker i alle miljøer.

8) At være ene leverandør på en løsning er vel heller ikke noget helt nyt - At IBM leverer både hardware, software og drift er vel i bund og grund ikke særligt forskelligt fra at Microsoft leverer mail og office i cloud løsninger. Eller at Facebook selv driver deres servere. Om man vil benytte sig af leverandører der gør dette er vel op til dem som køber ind! Og det kan jo være hr og fru Danmark eller NETS eller en anden virksomhed.

Din artikel er vel i bund og grund relevant og vi bør tage dette op og diskutere grundigt hvad der skal gøres i fremtiden. Men det vil nok være forkert at give IBM skylden for alle problemer i verden for der er faktisk mange IT installationer der stadig benytter sig af mainframes. Og de er særdeles glade for at de slipper for virus problemer og konstante sikkerhedsopdateringer fra leverandører der finder huller i sikkerheden på deres systemer. De mange mennesker der nu i over 50 år har kunnet udføre deres arbejde uden de store problemer og har sovet trygt om natten har været og er stadig glade for mainframen.

En person der bryder reglerne og tager data ud af et system og udleverer dem til en tredie part er ikke ok - hverken hos NETS, SAS eller Rigshospitalet. I nogle af disse systemer vil dette være blevet logget, men man skal kikke efter problemet for at opdage det. Den nuværende debat fokuserer på at placere skyld - og det skal vi nok få afgjort - men det vigtigste der komme ud af hele processen er nye regler på området. Det vil sikre at vi checker bedre i fremtiden - men vi vil aldrig kunne sikre at en af mine kolleger eller en anden i IT branchen (måske dig selv) udnytter sine muligheder og gør sådanne ting.

Tak til forfatteren af bogen for at afsløre problemet - uanset om det rammer IBM eller ej så kan det få stor betydning for dansk sikkerhedslovgivning. Og så må vi håbe at alle kundeservice medarbejdere efter dette tænker sig en ekstra gang om før de slår deres nabo op i virksomhedens systemer fordi de er nysgerige. Mon ikke der er en lang række medarbejdere rundt omkring der har lidt røde ører lige nu.

Og næste gang du skal "brokke" dig skal du være velkommen til at kontakte mig så du i det mindste kun bruger faktuelle sandheder i stedet for postulater og ukvalificeret viden.

Jørgen Floes, Chef arkitekt for IBMs outsouring

Peter Stricker

Punkt 5 og 6 er jo lige præcis en sammenfatning af, hvorfor det er gået galt. Der er tilsyneladende behov for en omnipotent bruger, der har uhindret adgang til alle data på hele systemet.

Det kan simpelthen ikke passe, at man som chef arkitekt tillader sig at have en så overfladig holdning til rollebaseret adgang. Hvorfor skal den person, der kan oprette og slette databasen, også have mulighed for at trække informationer ud af samme database?

Poul-Henning Kamp

Hej Jørgen,

Tak for det fuldstændigt forudsigelige "svar" fra IBM's kommercielle side.

Alle de ting som du fremdrager som fordele ovenfor, er præcis de samme ting jeg påpeger som sikkerhedsproblemer:

"1) Mange mainframe systemer er store og komplicerede systemer [...]"

To af de vigtigste principper i sund IT-sikkerhed er kompartementalisering og simplificering. Mainframes er, som du selv siger oftest det præcis modsatte.

"2) De systemer vi taler om her er ikke standard systemer!"

Det har intet med sagen at gøre, men hvis det skal bruges som et argument, betyder det netop at der var mulighed for at implementere sikkerheden fornuftigt, når man ikke var hæmmet af et standardsystem.

"3) SDC er et eksempel på en virksomhed der har valgt at migrere fra mainframe til en windows platform [...]"

Firmaer som har gjort sig indsatsen for at forlade IBM Mainframe som platform, er ikke noget særligt godt argument for dig.

Hvorfor giver du ikke et eksempel på et firma der har skiftet til IBM mainframe, for at få bedre IT-sikkerhed ?

"4) En mainframe er idag et særdeles avanceret system som har alle de samme sikkerhedsfunktioner og faciliteter som de distribuerede systemer."

Nej, den altoverskyggende sikkerhedsfunktion, separation af uafhængige systemer, har mainframes netop ikke. Rigtig mange af de faciliteter du derefter nævner, er kompensationsmekanismer for denne mangel.

"5) Der er ikke nogen der har brudt sikkerheden på mainframe løsningen for at skaffe sig de informationer der er sendt til Se & Hør!"

Omvendt forudsatte mainframe løsningen at han skulle have adgang og tilsyneladende foregik denne adgang uden at nogen eller noget opdagede hvad der foregik -- i årevis.

Burde alle de "same sikkerhedsfunktioner og faciliteter" ikke have hjulpet ?

"6) En driftsorganisation består af forskellige personer som driver en løsning."

Og på en mainframe skal der bruges så mange, at man ikke har råd til implementere isolation imellem helt uafhængige systemer på dette punkt.

Derfor er Nets og Politiet nu ved at afdække om han også har kompromiteret NemID.

"7) Alle system/kerne programmører vil have mulighed for at skrive ting ind i koden til en løsning som gør ting vi ikke vil have."

... men enhver organisation der tager sin sikkerhed alvorligt ville sørge for at alt kode, alle konfigurationsfiler osv. bliver reviewet, som et minimum peer-reviewet, for at udelukke den mulighed for svindel.

Gør IBM som driftsleverandør automatisk det ?

"8) At være ene leverandør på en løsning er vel heller ikke noget helt nyt"

Bestemt ikke, men det er heller ikke noget godt.

Hvem er det præcist Nets kunne have hyret til at lave et kompetent og tilbundsgående audit af IBMs driftsleverance ?

Hvem har kompetencen til det, andre end IBM ?

Hvem er det politiet kan bruge til bevissikring, således at IBM og deres medarbejdere ikke får lejlighed til at "pynte" på beviserne ?

Quis custodiet ipsos custodes?

"Men før vi konkluderer at det hele er IBMs skyld"

Jeg har aldrig sagt at "det hele er IBMs skyld", tværtimod, jeg har gentagne gange nedlagt hele skylden for og navnlig på Nets fødder.

Men jeg mener helt klart at IBM og mainframen som IT-løsning er en meget stor del af problemet -- af præcis alle de årsager du selv nævner.

Og næste gang du skal forsvare mainframens fortrinligheder overfor uindviede skal du være velkommen til at kontakte mig, så du i det mindste bruger nogle faktuelle og relevante argumenter i stedet for salgsspin og tomme generaliteter.

Olav M.J. Christiansen

Kære Poul-Henning Kamp.

Interessant blog-indlæg. Jeg har lidt svært ved at forstå hvad dine bevæggrunde er for at skrive det. Men lad det nu være.

Du skriver bl.a.: "Langt de fleste mainframefolk lider af Stockholmsyndrom. De har aldrig arbejdet med nogen anden form for IT og de kan derfor slet ikke forestille sig at ting kan være på nogen anden måde, langt mindre være bedre på nogen anden måde. De tror at mainframes er den eneste måde at lave "store" databaser og transaktioner på. De tror at mainframes per definition er bedre, hurtigere og mere sikre, for det står der tydeligt i mainframe dokumentationen."

Jeg har et par spørgsmål til dig:

  1. Kan du dokumentere ovenstående påstand? Jeg har nemlig selv arbejdet med mainframe, men så sandelig ret mange andre systemer, og jeg kender faktisk ikke nogle mennesker i dag, som kun har arbejdet med mainframe.

  2. Kender du selv mainframe, siden du udtaler dig så bombastisk om det?

Du skriver videre: "Omvendt holder de fleste andre IT folk sig langt borte fra mainframeverdenen."

Så jeg må spørge igen:

  1. Hvad er det for folk, der holder sig langt borte fra mainframeverdenen? Og hvad er det, der holder dem væk fra det?

(jeg har selv en mistanke om at det er basal uvidenhed om det, men jeg kan da tage fejl)

Du må gerne diske op med nogle fakta. Ellers synes jeg det er en gratis omgang for dig.

PS: Nej, jeg er ikke aflønnet af IBM :-)

Jørgen Floes

Kære Poul-Henning,

For det første så arbejder jeg for IBM - men ikke i den kommercielle del - sorry - så jeg har blot skrevet dette indlæg fordi jeg synes du fordrejer verdensbilledet. Og for din information så har jeg ikke arbejdet med mainframe hele mit liv - jeg er faktisk meget åben over for alle platforme og ser IT systemer som et bredt mix af systemer der dækker forskellige behov - hvilket du også kan læse ud af mit indlæg hvis du ikke var forhippet på at skulle brokke dig.

Med hensyn til dine kommentarer til punkt 1 og 2 så er det jeg siger at dette er komplekse systemer og at man ikke simpelt laver dem om og forbedrer dem. Om sikkerheden kunne være bedre i denne type systemer det er vel op til dem som vedligeholder systemerne - det skal jeg ikke udtale mig om, men mange af dem er udarbejdet i en tid hvor man ikke havde de samme krav eller problemer. Det gælder for såvidt også mange andre windows eller unix systemer som kunderne har!

Vedrørende punkt 3 så er det vældigt fint at nogen har success med at migrerer ud af mainframe - vi har mange virksomheder der har gjort det og stadig er vældigt gode IBM kunder. Jeg lader mig ikke begrænse af mainframe og ser altså mange muligheder andre steder. Om kunderne vælger at gøre det er deres beslutning og den kan vi godt supportere uden at det skal betyde noget. Der er vel også masser af virksomheder der migrerer fra PC til MAC eller fra Windows til Linux. Men du fanger ikke pointen ved kommentaren - er sikkerheden bedre fordi systemet kører på en anden platform?

Med hensyn til dine kommentarer til punkt 5 så er pointen at man kan have adgang til dataene uden faktisk at have overtrådt nogle regler - situationen her er at dataene kom udenfor systemet - hvilket er ulovligt. Om systemet kan logge dette er et spørgsmål om funktionalitet - og om denne funktion er implementeret - samt om den administrator der gør noget kan fjerne sine spor. Uanset om det er den ene platform eller den anden så kan dette lade sig gøre. Et Unix baseret IT system har vel samme problem - der kan sagtens være en administrator som kan læse alle data.

Med hensyn til punkt 6 så har du taget helt fejl her - der er ikke ret mange mennesker om at drive en mainframe. Og pointen med punktet er ikke om dette er ensbetydende med at man ikke har råd til at implementere funktioner eller ej - pointen er at driftsorganisationen har samme problem på alle platforme. Dette er et generelt problem som man bør se på og forhåbentligt så finder vi måder at sikre dette på.

Det er idag god praksis for de fleste der outsourcer at man har eksterne auditører på - det går jeg helt ind for - og der er mange af dem som gør et udemærket stykke arbejde - selv om du tilsyneladende ikke tror på det.

Og så håber jeg da for alles bedste at tingene kommer frem i lyset så vi kan finde de rigtige løsninger og komme videre. Og det stoler jeg helt og trygt på at der er nogen der arbejder på.

Tak for modspil!

Allan Ebdrup

Hvad er det for folk, der holder sig langt borte fra mainframeverdenen? Og hvad er det, der holder dem væk fra det?

For eksempel mig. Efter at have prøvet at være i en organisation med mainframe kan jeg kun sige: "Det gør jeg aldrig igen".

Årsagerne er mange, fx:

Ting som man ville gøre på et par dage på decentral for få tusind kroner kan ikke lade sig gøre, fordi det vil tage et halvt mandeår at implementere (estimeret af leverandøren) og koster en million, bogstaveligt talt.

En anden årsag er, at det begrænset dit spillerum kraftigt, når du skal betale ca. et hundrede gange prisen for hvad samme regnekraft koster på decentral.

Jeg kan genkende PHKs udlægning af sagerne. Det er dejligt at han tager bladet fra munden og kalder en skovl for en skovl.

Morten Bøgh

Substansen i dette korstog synes at være at systemer bør være simple og bør være opdelte i delsystemer. Det er også rart og dejligt når ting er simple, men desværre drejer mange edb-løsninger sig om problemer med betydelig kompleksitet, oftest af en natur så det ikke bekæmper kompleksiteten at opdele dem i delsystemer - tværtimod. Mange af den slags super-komplekse systemer er mainframebaseret, af forskellige grunde, mange af dem er ikke. Diskussionen drejer sig godt nok om sikkerhed, men man kan altså ikke udelukkende designe et systems opdeling i delsystemer udfra sikkerhedshensyn: Der er også et hensyn til at det skal være muligt at implementere logikken i systemet uden alt for mange Storm-P koblinger på kryds og tværs mellem delsystemer. Hvis systemet ikke fungerer stabilt, har vi også et sikkerhedsproblem: sikkerhed går ud på at levere de rigtige data til de rigtige modtagere.

Men ok, vi følger PHK's evangelium: Vi ændrer så setup'et så at systemet bliver simplere end det er, og vi fordeler logik og data ud på diverse delsystemer. Men så staller min forståelse igen: at disse delsystemer ikke må køre på samme maskine, det virker dog rimeligt underligt. VIrtualiserede servere er meget udbredt, dvs. at en række servere kører på samme fysiske platform. Hvor ligger sikkerhedsrisikoen i det? Og modsat: hvor ligger sikkerhedsfordelen ved delsystemerne? Er det fordi folk udenfor mainframe verdenen (dem uden stockholm-syndroner) har en så høj moralsk habitus at systemprogrammører herude aldrig arbejdsmæssigt vil få komme til at få adgang til flere delsystemer så de kan kombinere data?

I øvrigt er det intet der forhindrer at man opdeler en mainframe i logiske partitioner og sørger for at ingen systemprogrammører har adgang til alle partitioner. Mainframes har et sikkerhedssystem (RACF) og systemprogrammører kan ikke omgå dette, med mindre de er særdeles gode venner med den sikkerhedsansvarlige. (Som det gælder for andre sikkerhedssystemer på andre plaforme). Men at opdele et givet system i komponenter som ingen har det totale overblik over, det virker underligt. Ok, der er data som ingen overhovedet skal have adgang til, fx. NemID koder, det er et issue for sikkerhedssystemet og administrationen af dette, og ikke et argument for opdeling i delsystemer.

Sikkerhed er også at systemets (delsystemernes) programmører hurtigt kan få det op og køre igen hvis det er gået i udu. I den forbindelse kan det være et godt princip at disse mennesker har et rimeligt overblik over hele systemet og har en vidtgående adgang til at fejlsøge i logik og data. Men jeg fornemmer at PHK mener at systemer bør være så simple at de aldrig fejler. Og ja, i en sådan smuk og optimal verden, er det da et overkill at bruge mainframes og den bemanding der hører til en mainframe.

Der kan være argumenter for opdeling i delsystemer, ligesom der kan være argumenter for ikke at bruge mainframe, men sikkerhedsaspektet er ikke blandt de valide argumenter for disse i øvrigt argumenterbare synspunkter.

Poul-Henning Kamp

Jeg synes faktisk punkt 3 er kardinalpunktet: Der er ingen der idag vælge at skrifte til mainframe platformen.

Hvorfor gør de ikke det ?

Fordi mainframe platformen ikke kan sælges idag, den er simpelthen ikke konkurrencedygtig for folk der starter forfra.

Hvis mainframes havde været så gode som mainframe-folk priser dem for at være, ville det ikke være tilfældet, så ville nye kunder flokkes til platformen, hvilket IBM utvivlsomt ville skryde højt og larmende om.

Med hensyn til komplexitet, har mainframe folk rigtigt svært ved at se hvor meget af komplexiteten der alene opstår fordi det er en mainframe de arbejder på og det er, som Allan ganske rigtigt påpeger med til at gøre selv de mest trivielle ting to store produktioner på en mainframe.

Mainframes er IT-verdenes slagskibe og har samme relevans i dagens verden.

Lars Lundin

Jeg synes faktisk punkt 3 er kardinalpunktet: Der er ingen der idag vælge at skrifte til mainframe platformen.

I den henseende minder mainframe platformen mig om de klassiske supercomputere, som jeg arbejdede med i 90'erne.

Omtrent som med mainframes, så blev datidens supercomputere lavet i relativt små styktal, der var ikke ret meget der mindede om standard software, og så var de ganske dyre, med state-of-the-art hardware. Endelig var der også en batch-operatør (som dog blev erstattet med software), som startede kørsler (og stoppede de, der kørte længere end de skulle).

top500.org som holdt øje med de offentligt kendte supercomputeres ydelsesevne var dengang fuldstændigt domineret af disse dyre modeller.

Omkring årtusindskiftet kunne man kun opretholde væksten i ydelse ved at bruge distribuerede systemer, og herefter gik det meget hurtigt for Linux-installationer på hyldevarer at trænge ind på top500.org.

Idag er top500.org fuldstændigt domineret af Linux der afvikles på hyldevarer (inkl. grafikkort).

Jeg tror følgende forskelle mellem mainframe platformen og supercomputeren, gør at sidstnævnte i dag kører på hardware, der fås som hyldevare:
1) Mange supercomputere benyttes til forskning, og forskere er givetvis mere åbne overfor ny teknologi end bankfolk, og lignende typiske mainframe brugere.
2) Den anden store brugere af supercomputere (og historisk set drivende kraft i deres udvikling) er laboratorier til våbenteknologi og andet af strategisk betydning (f.eks. NSAs opgaver). Disse steder skal det bare være det hurtigste der kan bygges, og så er det lige meget om man hvert 10. år skal skifte til en helt ny type platform (og dermed omskrive sin kode for at udnytte hardwaren effektivt).

Så i den udstrækning at den klassiske supercomputer og mainframe platformen kan sammenlignes, så vil jeg mene at mainframe platformen ikke længere er specielt velegnet til noget som helst. Det er bare (overvejende af kulturelle grunde) ikke så nemt at skifte bort fra den, der hvor den stadig bruges.

Poul-Henning Kamp

Der kan være argumenter for opdeling i delsystemer, ligesom der kan være argumenter for ikke at bruge mainframe, men sikkerhedsaspektet er ikke blandt de valide argumenter for disse i øvrigt argumenterbare synspunkter.

Dit indlæg læser ret meget som om du startede med konklusionen og så fyldte argumenterne på.

Jeg vil give dig ret så langt at den meget stor del af både sikkerheden og modulariteten i offentlige IT systemer går tabt allerede på Slotsholmen således at den efterfølgende implementering bliver unødvendig svær og usikker.

Men din underliggende antagelse, uunderbygget af fakta, at mainframes automatisk er bedre at implementere på køber jeg ikke.

I særdeleshed fordi firmaer som dit eget har gjort komplicering af tingene til en forretningsmodel.

Jeg har tit tænkt på at det kunne være sjovt at se hvis Datatilsynet i et anfald af æventyrlyst en dag gav sig til at tegne grafen over CPR datas vandringer rundt i alle de offentlige systemer og markede alle de steder en offentlig myndighed blev afkrævet betaling for at tilgå disse data.

Hvis mainframen skulle give mening som økonomisk driftplatform, ville der hos et firma som CSC være implementeret en API service for CPR opslag, med sikkerhedsisolering osv.

Men det er en meget bedre forretning for CSC at afkræve kunderne for mediehåndtering og daglige databaseopdateringer og derfor har CSC guderne vide hvor mange CPR kopier der skal forsvares og beskyttes.

Som sagt ovenfor: Meget af komplexiteten kommer alene fordi det er en mainframe, men det bliver bestemt ikke bedre af at drift-leverandørene skal finde ting at fakturere for.

Gert Madsen

Ting som man ville gøre på et par dage på decentral for få tusind kroner kan ikke lade sig gøre, fordi det vil tage et halvt mandeår at implementere (estimeret af leverandøren) og koster en million, bogstaveligt talt.


Er du sikker på at det har noget med teknikken at gøre ?

Hvis man følger ITIL til punkt og prikke, uden at bruge passende justeringer i forhold til opgave og organisation, så kan man sagtens opnå samme "flexibilitet" med en håndfuld Windows-servere, eller hvad man nu måtte foretrække.

Nicolai Møller-Andersen

Der er såmænd nok nogen, der i dag ville vælge mainframes, hvis de vidste, hvor meget nemmere, det er at supporte terabytes af transaktionelle data for hundredevis brugere med een mainframe fremfor 5 DNS servere, 4 AD servere, 6 SQL servere - tre til transaktioner og andre tre til rapportering, 8 filservere og 5 mailservere i et eller andet obskurt cluster setup, hvor der iøvrigt typisk fortsat er een eller flere super-root-agtige logins, der kan alt, herunder redigere logfiler. Alle disse servere skal have sikkerhedsopdateringer næsten dagligt for en håndfuld af produkter fra forskellige leverandører. Komplexiteten kan nemt stige til uanede højder med de silo-servere, som er tidens mantra.

Søren Hersdorf

Jeg synes faktisk punkt 3 er kardinalpunktet: Der er ingen der idag vælge at skrifte til mainframe platformen.

Hvorfor gør de ikke det ?

Fordi mainframe platformen ikke kan sælges idag, den er simpelthen ikke konkurrencedygtig for folk der starter forfra.
...
Mainframes er IT-verdenes slagskibe og har samme relevans i dagens verden.


Mainframes er dyre, Enig.

Men dit oprindelige udgangspunkt : "IBM Mainframes er en sikkerhedsrisiko"
er fundamentalt forkert, sandsynligvis baseret på manglende kendskab til platformen og miljøet omkring.

I alle de situationer som er beskrevet og oplevet, skyldes sikkerhedskompromitering, at betroede medarbejdere misbruger deres beføjelser. Dette er et problem, som desværre ikke begrænser sig til mainframes.
Mainframes er i den henseende hverken mere eller mindre sikre end et hvilket som helst andet system eller platform

Poul-Henning Kamp

Men dit oprindelige udgangspunkt : "IBM Mainframes er en sikkerhedsrisiko"
er fundamentalt forkert, sandsynligvis baseret på manglende kendskab til platformen og miljøet omkring.

Nej, det er korrekt, baseret på et langt bedre kendskab til platformen og organisationen og holdningerne omkring den.

Selvfølgelig er det et problem når en betroet medarbejder gør noget forkert.

Men det helt store problem er at ingen opdagede noget som helst igennem flere år.

Og et kun lidt mindre problem er at centraliseringen af de alt for dyre mainframes betyder at den slags betroede medarbejdere har adgang til alt for mange og alt for vigtige data.

Når det drejer sig om så store datakoncentrationer som NemID og Dankort systemet skal sikkerhed gå forud for penge.

Det egner mainframes sig ikke til under de omstændigheder Nets har brugt dem.

Søren Hersdorf
Poul-Henning Kamp

Et økonomisk og organisatorisk problem,
ikke et platforms sikkerhedsproblem specifikt for mainframe.

Indtil nogen viser mig at en mainframe installation kan konkurrere på omkostninger når den bliver konfigureret og drevet korrekt, fastholder jeg min påstand.

Manglen på nye mainframe kunder mere end indikerer at bevisbyrden vil være tung at løfte for jer, men prøv gerne.

Olav M.J. Christiansen

Indtil nogen viser mig at en mainframe installation kan konkurrere på omkostninger når den bliver konfigureret og drevet korrekt, fastholder jeg min påstand.

Så du må godt påstå noget uden at kunne bevise det, men alle der siger dig imod, skal kunne dokumentere det? :-)

Her er en god use case. Hvad med at sætte nogle hundrede (eller tusinde) Linux-servere op? Vi kan selvfølgelig gøre det på din måde og sætte et antal standard-PC'er op - med div. pladsproblemer, afkøling, kabler, UPS, backup m.m.m.

Eller vi kan bruge en mainframe til det samme:
Linux on System Z

(jeg har ikke nogen pris til dig, men jeg er ret overbevist om at det er et meget interessant regnestykke)

Jesper Louis Andersen

Her er en god use case. Hvad med at sætte nogle hundrede (eller tusinde) Linux-servere op? Vi kan selvfølgelig gøre det på din måde og sætte et antal standard-PC'er op - med div. pladsproblemer, afkøling, kabler, UPS, backup m.m.m.

Sådan fungerer større softwareudvikling ikke helt i dag. Typisk har du en provider der leverer maskinkraft til dig i form af en eller anden "cloud" instans. Hvis du er ligeglad med sikkerheden kan du sagtens hive Amazons EC2 priser frem og de ligger endda i den dyrere ende.

For et mere beskyttet setup ville du formentlig benytte FreeBSDs jail funktionalitet på et par få betroede maskiner.

Moralen er sådan set, af Mainframens styrke mht. virtualisering var så god at resten af verden kopierede den.

Jeg arbejder i sproget Erlang til dagligt og en måde at se dets platform på, er nøjagtigt at det er "mainframe i en process i UNIX". Igen: virtualisering og isolation er egenskaber du har kopieret ind i andre miljøer.

Poul-Henning Kamp

Moralen er sådan set, af Mainframens styrke mht. virtualisering var så god at resten af verden kopierede den.

Nej, det er faktisk ikke hvad der skete.

På mainframen var det et spørgsmål om dårlig software arkitektur der gjorde VM nødvendigt: IBM havde en håndfuld forskellige og dybt inkompatible operativsystemer og ofte var en installation nødt til at køre flere af dem for at få ting til at virke.

Senere tilføjede IBM så et egentligt hardware virtualiseringsniveau, så vidt jeg husker kaldet "PRISM", for ellers kunne de ikke sælge store maskiner til "Facility Management" firmaer.

På PC platformen var det helt anderledes, her rendte man imod faststoffysikkens 4GHz grænse og begyndte at lave brede maskiner i stedet, startende med to og nu op til omkring 256 core maskiner.

Det var der ikke ret meget software der kunne finde ud af og derfor kunne man fint køre flere systemer parallelt på det samme bundkort.

Men da Windows ikke har noget der bare lugter lidt af chroot/jail var man nødt til at simulere hele PC platformen, med alle dens vorter og vækster.

Jonathan Jørgensen

Tror du ikke IBM ville udbasunere det i alt deres marketing literatur hvis det var tilfældet ?

Fakta er at alt er dyrere på en mainframe: Storage, CPU-kraft, RAM, Netværk, Mandskab.


Du afviser katagorisk at det er en mulighed...og du baserer det på en antagelse om at IBM ville køre en Samsung markedsførings kampagne?

Og alt er ikke dyere på en Mainframe/zLinux platform...

Poul-Henning Kamp

Det var jeg ikke klar over. Kan man læse noget om fadæsen? Er der andre eksempler på nyelige fejlslagne mainframe implementationer?

Stort set ikke, fordi der ikke sker nogen nye mainframe implementationer.

Der er flere journalister der har prøvet at få IBM til at svare på hvornår de sidst solgte en mainframe til en ny kunde, men det svarer IBM ikke på.

Jeg tvivler lidt på at Telia var den sidste gang det skete, omvendt ville jeg ikke blive forbavset hvis det var.

Lars Lundin

Her er en god use case. Hvad med at sætte nogle hundrede (eller tusinde) Linux-servere op? Vi kan selvfølgelig gøre det på din måde og sætte et antal standard-PC'er op - med div. pladsproblemer, afkøling, kabler, UPS, backup m.m.m.

Eller vi kan bruge en mainframe til det samme:
Linux on System Z

(jeg har ikke nogen pris til dig, men jeg er ret overbevist om at det er et meget interessant regnestykke)

Hvis vi begrænser os til noget over 1.000 servere, så kan det klares med et enkelt rackskab. Hvad det præcis vil koste kan andre her svare på.

Men jeg har på fornemmelsen at der sælges væsentligt flere af den slags løsninger end Linux-på-mainframe, og at det har en del med prisen at gøre.

Jonathan Jørgensen

Stort set ikke, fordi der ikke sker nogen nye mainframe implementationer.

Der er flere journalister der har prøvet at få IBM til at svare på hvornår de sidst solgte en mainframe til en ny kunde, men det svarer IBM ikke på.

Jeg tvivler lidt på at Telia var den sidste gang det skete, omvendt ville jeg ikke blive forbavset hvis det var.

Du ved godt at det er et krav at virksomheder skal godkende at deres navne bliver brugt som reference ikke? Du ved sikkert også at der er masser af virksomheder der i princippet ikke ønsker det...ikke fordi de ikke bryder sig om produktet, men fordi de i princippet ikke ønsker at deres navn bruges som reference.
Det er en meget selektiv konklusion at fordi du ikke har hørt om det, så findes det ikke.

Niels Pedersen

Den gang Telia kørte et projekt var linux knap 9 år regnet fra minix 1.ste "udgave" ... Nu er der gået +13 år mere :-) Og hvis du googler ser du nogle interessante løsninger også på IBM System z, løsninger af den slags der har krav om en række 9 taller og sikrer dig og mig. Selv om windows nu efter 20 plus år er ved at ligne noget ... Ville jeg til enhver tid gå unix eller mainframe vejen hvis krav er "høje" til sikkerhed( muligheder) og kontroller.

Morten Bøgh

En underlighed ved denne her debat ('mainframe-debatten') er argumentet om at det er dyrt at pleje omgang med en mainframe. Ja det er det - og hvad så? Edb er dyrt, og har til gengæld voldsomme potentialer - fx til rationalisering af en offentlig sektor som ellers tenderer til at blive en for stor del af nationalproduktet. Eller hvad man ellers har af politiske mål. Jeg skal ikke gøre mig til talsmand for at edb løser alle problemer, men succeshistorierne er når man ofrer hvad det koster, og når de mål som skal nås. Spørg fx arbejdsskadestyrelsen om Proask: Hvis man havde ofret 50 mio mere på det egentlige, fundamentale edb projekt, så havde man altså sparet en del - hvis resultatet var blevet, at systemet kom til at virke.
Uanset platform er edb sjældent 'billigt' - resultatet bliver i alt for mange tilfælde både meget dyrt og meget dårligt. For ikke at sige: ekstremt dyrt og helt uanvendeligt.

At betale for mainframe-mips og mainframe storage er penge direkte ned i IBM's lommer... Ja, det er det, ligesom køb af Oracle licenser er penge direkte ned i Larrry Ellisons lommer.

Får man noget for pengene på mainframe-platformen? Der ligger nogle perspektiver omkring dekobling: at kunne støtte sig til hæren af (dyre) specialister i en større mainframe-installation: Der bliver mange problemer som du ikke selv står som ejer af. Skalering af et system er fx typisk et non-issue på en mainframe, i den forstand at det tager andre sig af. Release-skift er et non-issue på mainframe: nye releases er altid bagud kompatible. Jo flere issues der kan dekobles fra den centrale systemudviklng, jo større chancer for succes. Mange mainframe-installation er sikkert dårligt drevet, jeg ved det ikke, og har ikke oplevet det, men alderen af platformen betyder jo at en række dårlige vaner potentielt har kunnet udvikle sig. Der er vel også Unix installationer som er præget af mobning og mordtrusler.

PHK's argument om at mainframe er så dyrt (i forhold til nytteværdien) at ingen køber mainframes idag, er ikke korrekt. IBM er mærkværdigt tyste omkring deres salgsstatistik for mainframe, men to ting står fast: Mainframes er en meget substantiel del af IBM's indtjening, og Kina er et stort marked. Bank Of China - med sine 300 millioner konti og stadige vækst - har givetvis købt et antal mainframes i de senere år. IBM siger det ikke officielt, men det er givetvis sådant.

Datacentralen drev frem til starten af 1980'erne et herligt mainframesystem med batchkørsler, tapes, leporelloprint, kuvertering og det hele, til administration af Statens Filmcentral. Det led en naturlig død, som så mange andre mainframe-systemer gjorde det da tingene for alvor udviklede sig mod andre platforme, ligesom hele ideen om at udleje film til sidste røg i svinget. Dengang var det nemt at diskutere mainframe, i dag er billedet mere broget.

Poul-Henning Kamp

PHK's argument om at mainframe er så dyrt (i forhold til nytteværdien) at ingen køber mainframes idag, er ikke korrekt.

Jeg sagde ikke at IBM ikke solgte nogen mainframes. Jeg sagde at de kun solgte dem til existerende kunder og at der ikke kommer nogen nye kunder til.

Rygtet lyder at IBM ikke har fået en eneste ny mainframe kunde i USA i fire år, men har mistet adskellige.

Alle de "fordele" du opremser ovenfor er åbenbart ikke så store at de gør platformen interessant for nye kunder.

En underlighed ved denne her debat ('mainframe-debatten') er argumentet om at det er dyrt at pleje omgang med en mainframe.

Det var egentlig ikke det jeg lagde op til en debat om, men derimod om det var sikkert for vores privatliv at firmaer som Nets plejer omgang med mainframes.

Det er degenereret til en debat om deres cost/benefit ratio, fordi enhver kan gennemskue at sikkerhedsbristen som et minimum er blevet værre af at nogen har prøvet at spare penge undervejs.

Som jeg skrev tidligere på ugen er jeg stort set gået overtil at opfatte IT-sikkerhed som et rent økonomisk problem, der findes glimrene metoder og teknologier, men vi bruger dem ikke fordi de koster flere penge end vi synes vi har råd til.

Hvis mainframens cost/benefit modvirker at der bliver brugt nok på IT-sikkerhed, f.eks igennem konsolidering i stadigt større og mere "synergi-optimerede" driftcentre, så er mainframen som jeg startede med at postulere en sikkerhedsrisiko vi skal tage seriøst.

Det faktum at den sigtede i den aktuelle sag åbenbart havde adgang til ikke bare Dankort systemet men også det 100% urelaterde NemID system bærer vidne om teoriens relevans.

Olav M.J. Christiansen

Sådan fungerer større softwareudvikling ikke helt i dag. Typisk har du en provider der leverer maskinkraft til dig i form af en eller anden "cloud" instans. Hvis du er ligeglad med sikkerheden kan du sagtens hive Amazons EC2 priser frem og de ligger endda i den dyrere ende.

Interessant. Sådan foregår det ikke der hvor jeg typisk har arbejdet - men det har så også været steder, hvor man rent faktisk har fokus på sikkerhed (ofte banker og forsikringsselskaber).

Jeg håber ikke nogen bevidstløs bruger en amerikanskbaseret cloudløsning til personfølsomme data. Det ville være en rigtig dårlig idé (overvej også om I er sikret imod industrispionage med den type løsninger).

Faktisk vil jeg påstå at vore dages hoved-under-armen brug af skyen til hvad som helst er en større sikkerhedsrisiko end mainframe.

Og for nu at slå det fast med syvtommersøm: Nej, mainframe er ikke en større sikkerhedsrisiko end andre systemer. Tag det fra én, der har arbejdet med både mainframe og forskellige andre systemer.

Jeg synes faktisk det er problematisk at Version2 (som jeg indtil nu har anset for at være et forholdsvist seriøst og sagligt medie) lægger plads til den type useriøse og udokumenterede blogindlæg, som PHK her står for.

Det lyder i mine ører lidt som en præst fra middelalderen, der messer at jorden ikke er rund.

Poul-Henning Kamp

For øvrigt er den største trussel mod sikkerheden på mainframe, at man ofte tillader Window og Unix servere, at tilgå denne.

Kan du slet ikke se hvor fordømmende denne udtalelse er for dit eget argument ?

Hvis det kompromitere sikkerheden på mainframen mere eller mindre, afhængig af hvilken type dims der sidder i den anden ende af ledningen, så er det mainframen der har et sikkerhedsproblem, ikke dimserne i den anden ende af ledningen.

At det skulle forholde sig således ville overraske mange, ikke mindst IBM, der pusher netop tilgang fra windows og unix maskiner som en af de helt store "selling points" for mainframes.

Man kunne få den mistanke at det er dig selv du taler om i din første sætning.

Poul-Henning Kamp

Hvad er ligheden mellem en IT platform og en kokkekniv?

I forkerte hænder udgør begge en sikkerhedsrisiko.

Bestemt, bestemt og vi er helt enige om at selv en Raadvad urtekniv er mere end Nets bør betroes på deres nuværende kompetenceniveau, ikke ?

Hvis du lægger mærke til hvad jeg skriver ovenfor, er det netop kombinationen af platformen og organisationen udemom der udgør sikkerhedsproblemet.

Brian Hansen

Lidt offtopic måske, og så alligevel ikke:
Jeg nåede at stifte lidt bekendtskab med mainframes på mit tidligere arbejde. En batch operatør (der havde siddet der i 37år vel at mærke) havde der ubegrænset adgang til systemet.
Vedkommende nægtede kategoriskt at bruge andet end hans mainframe til det daglige arbejde, så han sad på en ulåst konsol i operatør stuen og skrev emails. Direkte på mainframen :D
Selvsamme medarbejder sagde op da vi skiftede til SQL Server miljø, Windows var for meget for ham og han gik ned med stress....

Jens Jönsson

Sikkerhed koster dyrt i konsulenttimer til ordentlig implementering, mainframe eller ej.
Går den så går den. Mht. NETS, så er den gået i rigtigt mange år. Nu gik den så ikke længere.
Tænk på hvor mange penge NETS har sparet i den tid....

Jakob Damkjær

For hvorfor mainframes er særligt udsat ?

Eller er det fordi IBM er et amerikansk firma og dermed er
juridisk kompromiteret af nogle lovgivere der mener de er verdens herskere ?

Er en stor windows eller Unix server fra Bull (et af store selvskab uden for EU
(ved ikke om de eksistere længere =) men de lavede engang store windows servere) eller
Fujitsu-Siemens magisk bedre end en mainframe fra IBM ?

Hvis mainframes fra IBM er så ringe hvad og hvordan er så bedre når man skal op i mega størelse
med meget lidt nedetid (ja der har været issues med fx. NemID men det har været i andre dele af
strukturen ud over mainframen (authenticator boxene der ikke havde nok kapacitet) ?

og hvis man ikke kan bruge noget some helst gear eller services fra et firma der på nogen måde har
ejerskabsforbindelser til USA kunne vi så få en positiv liste over vendors der er acceptable ?
(ud over at inklusionen af denne liste i evt. udbudsmateriale vil få os en dom fra WTC på halsen for konkuranceforvridning og protektionisme og dermed er 100% akademisk) men hvilke vendors vil
kunne leve op til PHKs krav ?

Poul-Henning Kamp

For hvorfor mainframes er særligt udsat ?

Fordi man (primært af omkostningsårsager):

A) Samler en masse urelaterede opgaver i samme installation.

B) Deler medarbejdere over disse urelaterede opgaver

C) Outsourcer driften til IBM der er underlagt USAnsk ret mht. vores privatliv.

D) Lader IBM holde øje med om IBM nu også gør det godt nok.

Ulrik Suhr

Gode pointer i det oprindelige oplæg og lidt øv diskussionen tog den drejning som indlægget ellers prøvede at stoppe..

Ja de fleste mennesker ved at opdeling i sikkerhed er en god ting specielt i de tilfælde hvor det så går galt.
Så for at forsætte i indlæggets mening så kommer mine få meninger.

Ja en opdeling er nødvendig og sikre systemer når mindre kompetente mennesker får ansvar (MKM: læs dårligt ledet organisationer/politikere).
Sikkerheden er ikke så høj pga. omkostninger og udefra interessenter.
Tror måske også din pointe kan hamres fast ved at kigge på andre brancher ala. bogholderi.
De mennesker der ytre sig om sikkerhed og ikke har bogholderi i baghovedet ville jeg ikke stole på med en plastik saks.
Her handler det ikke om det kan gå galt, men hvornår (jeg er lidt pessimistisk, men det understreger pointen mht. sikkerhed og opdeling).

Spørgsmålet som aldrig bliver stillet til ledere af journalister (begge MKM) Hvordan man evt. vil håndtere det når skaden er sket etc.

hvordan man så kommer videre er en anden sag.
Sikkerhed koster penge og er ikke forenelig med usability.
Det er så også en stor mundfuld at forstå for MKM og derfor den langsommelige process vi er vidne til (svært at gøre sig forståelig på et område når man skal besidde en vis intelligens for at forstå problemstillingen).

Hovedproblemet er ansvars placering i mine øjne.
Her kan en leder slippe så uendelig nemt uden om.
Derfor er der ingen løsning i den nære fremtid.

Ulrik Rosendal-Jensen

Jeg skal ikke undlade at kommentere, at det er bemærkelsesværdigt, at offentlige myndigheder og private virksomheder fortsat placerer håndteringen af følsomme data på netop mainframe platformen samtidig med at det er minimalt hvad der dannes af sikkerheds patches til mainframe platformen. Dette på trods af foranstående kommentarers påpegning af voldsomme sikkerhedsproblemer som åbenbart ikke forefindes på øvrige platforme.
Jeg gør venligst opmærksom på, at jeg arbejder for IBM men har dog aldrig arbejdet med mainframe platformen og gør heller ikke idag.

Thorbjørn Andersen

Jeg har ikke arbejdet med de helt store mainframes, men med IBM's mellemløsning - IBM i (AS/400) - i en del år og standardinstallationen af operativsystemet er så svag at det er halsløs gerning at have en sådan maskine bare den mindste smule eksponeret mod internettet. Det kræver ekspertviden og megen tid at lukke alle hullerne, og der er stadig masser af standardopførsel der kan udnyttes af en dygtig angriber. Man kan få en oversigt over hullerne her (bare se bort fra at alting hedder noget andet; QSECOPR er root og det er *ALLOBJ også). http://www.blackhat.com/presentations/bh-europe-06/bh-eu-06-Carmel/bh-eu...

Poul-Henning Kamp

Man må blot konstatere, at det hverken er viden om RACF eller indbygget sikkerhed i hardware, som belaster hér. Diskussion på dette niveau er jo aldeles omsonst

Hej Lars,

Undskyld at jeg først svarer nu, jeg havde ikke bemærket din kommentar tidligere.

Tak for så præcist at udtrykker den holdning blandt mainframefolket der gør sådanne installationer til en sikkerhedsrisiko.

Gunner Olesen

Jeg har med mainframes siden 1970, med Java siden 1999 og med C# og Biztalk på Windows i perioden 2005 til 2012. Intet af det du har skrevet adskiller mainframes fra Windows fra unix. Jeg synes du gør dig bedrevidende på et svagt fundament, og tilbyder til enhver tid at imødegå dine letkøbsargumenter.

Log ind eller opret en konto for at skrive kommentarer

IT Businesses