IBM Mainframes er en sikkerhedsrisiko

Google, der nok er dem der behandler mest data i verden og samtidig er nogen af dem der er bedst til at holde et højt sikkerhedsniveau, er et strålende eksempel.

De kører som bekendt primært open-source software på mere eller mindre generiske linuxbokse. De har mere data og flere transaktioner end Nets nogensinde vil få. Det ser ud til at gå gangks godt, og iøvrigt være noget billigere. Det samme mønster gentager sig i så godt som samtlige firmaer startet indenfor de sidste 10-15 år. Dropbox, der i den grad også har med meget data at gøre, kører på Amazon AWS.

Så ja, mainframe modellen er nok på vej ud.

Jeg håber du har asbestundertøjet på!

Helt enig angående mainframes, men jeg synes også det er påfaldende som de fleste sikkerhedsbrister vi hører om indenfor offentlig IT skyldes en eller anden samarbejdspartner med lidt for meget adgang.

Man får det indtryk at de store IT leverandører til det offentlige især er flettet så meget ind i hinanden at de på kryds og tværs har adgang til hinandens data for whatever reason (enten fordi de drifter det eller står for udvikling/vedligehold af dele af systemet).

Al denne ansvarsdistribution kan da kun give problemer.

Jeg har ellers synes godt om dine indlæg, men dette er direkte forkert!

Ja, jeg har arbejdet med IT siden 1981 og dermed det meste af tiden med IBM mainframes, så dermed kan I afvise dette som et religiøs indlæg - MEN det er det ikke! Jeg angriber bare de oplysninger der er faktuelt forkerte!

Du får blandet to ting sammen her. Et er IBM mainframen som platform, noget helt andet er IBM som facility management leverandør. Dette indlæg handler om det første, det sidste vil jeg ikke have nogen mening om.

Det er ikke mainframen som teknologi, der har et sikkerhedsproblem, tvært imod. Der kan være nogle installationer, der ikke sætter deres sikkerhed ordentlig op, men i min erfaring, er det et meget større problem i den decentrale verden end i mainframe verdenen.

Det er simpelhen usandt at påstå, at man ikke kan sætte sikkerheden op på en mainframe, så der ikke er nogen, der kan komme til at snage i data uden at det logges - og uden at disse logs kan manipuleres af samme person.

Siden sikkerhed blev et issue i midt 80'erne, har jeg aldrig arbdejdet på en instalation, hvor nogen har haft direkte adgang til mainframe-produktionsdatabaser uden, at de har haft et forretningsmæssigt behov. Jeg har derimod arbejdet på mange installationer, hvor det var helt normalt, at personer rettede direkte i decentrale produktionsdatabaser uden nogen form for logning af, hvem der gjorde hvad.

Og bare "for the record" Topsikring eksisterer ikke mere - de hedder TopDanmark og har gjort det siden midt 80'erne. Og TopDanmark er enten helt ude af mainframen eller meget stærkt på vej.

Gad vide hvad bankerne drifter deres systemer på:-)

Tror du data i Amazon AWS eller Google er bedre beskyttet mod udlevering til NSA eller lign.?

Dropbox, der i den grad også har med meget data at gøre, kører på Amazon AWS.

Nu er dropbox måske ikke det bedste eksempel, da de også har en rimelig ringe sikkerhedshistorik, hvor de endda også har haft en tendens til at om ikke lyve, så omgå sandheden overfor deres brugere.

Vi er helt enige i problematikken i udlicitering af serverparken - men det gælder hvad enten vi snakker Linux, Unix, Windows eller IBM mainframes! Men din blog snakker om mainframen som platform, ikke IBM som facility management leverandør.

Jeg synes, det er helt hen i vejret at snakke om Stockholmsyndrom. Jeg finder det uværdigt at bruge den slags argumenter - det er ren mudderkastning og må være udtryk for mangel på saglige argumenter. Jeg argumenterer ikke for at man skal bruge mainframes - jeg angriber kun faktuelt forkerte oplysninger. Enhver der kender mig ved, at jeg bestemt mener, man skal bruge decentrale løsninger, hvor det giver mening af den ene eller grund.

En "batch-operatør" har ikke adgang til databaser, og har bestemt ikke et forretningsmæsigt behov for at have det - i hvert fald ikke på en IBM mainframe!

IBMs systemkonsulenter har ikke automatisk adgang til databaser, og har sjællent eller for ikke at sige aldrig behov for at have det.

"Og mig bekendt er der endnu aldrig blevet fundet en 100% konsistent og 100% korrekt RACF som implementerer den forretningsmæssige korrekte minimal access."

RACF (et af sikkerhedssystemmerne på en IBM mainframe) kan sagtens sættes op til minimal access - min erfaring siger, at den ofte er. Så igen er dit indlæg faktuelt forkert.

Gad vide hvad bankerne drifter deres systemer på"

.net på windows. I kid you not. Mange banker er i gang med skiftet fra mainframe til .net (med flere lag ovenpå).

En meget uskøn sammenblanding af holdnnger til platform, operativsystem, sofware, arbejdsprocessor, "sikkerhedsmodel", amerikansk vs. dansk lovgivning og mainframeprogrammørers mentale tilstand.

Desværre også så fyldt med faktuelle fejl, at det ikke kan tages alvorligt. Det er en om'er.

Er det ikke lidt naivt at forestille sig, at sikkerheden hos Nets, IBM, Rigspolitiet med flere ville være væsentligt anderledes, hvis blot de brugte en anden platform?

Det store spørgsmål er så hvorfor de gør det. Lur mig om ikke sikkerhed ligger langt nede i begrundelserne. IBM tager rigtig mange penge for mainframen og det samme gør software leverandørerne:-)

Det handler om at danskerne og danske virksomheder tager alt for let på IT sikkerhed - og det er platformsuafhængigt.

Det er useriøst at give IBM eller mainframes skylden. De fleste virksomheder der outsourcer driften af deres IT systemer oplever en forringet service, det handler om dårlige processer og procedurer - både hos kunderne og hos leverandøren. Desværre løses problemerne ved at give de forkerte folk adgang til data de ikke bør vide noget om.

Jeg er dog enig i at når man outsourcer til et multinationalt selskab - vil der være en risiko for at andre kigger med i dine data.

Nu er der jo heller ingen i unix-, linux-, open source-, eller windows-lejrene der lider af Stockholm-syndromet, men det er meget snedigt debat-taktik at bringe det op så man med det samme kan afvise alle indlæg fra modstanderens lejr.

Dit oprindelige indlæg og dine svar i tråden ligger langt under din sædvanlige standard :(

En "batch-operatør" har ikke adgang til databaser,

Se og Hør, Nets, IBM og Rigspolitiet er inde på at du ikke har ret ?

Hvor kom Rigspolitiet nu ind her.

Og at bruge specifikke virksomheder som eksempel beviser ikke andet end at de ikke har styr på sikkerheden. Det har intet med platformen at gøre.

Udsagnet "en batch-operatør" har ikke adgang til databaser er helt korrekt - medmindre vedkommende eksplicit har fået det.

Nu er det godt nok 17 år siden, jeg har arbejdet med mainframes - men platformen fejler ikke noget (katastrofalt) sikkerhedsmæssigt.

PHK - du er ude i et religiøst ærinde her.

Jeg har i øvrigt selv arbejdet på den distribuerede platform de sidste mange år, så jeg lider vist ikke af noget Stockholmssyndrom mere.

Selvfølgelig kan der foretages uafhængigt audit. Det er vrøvl at påstå det modsatte og demonstrerer kun PHKs uvidenhed om mainframes.

Jeg ville oenske at du havde kommenteret holdninger fra feks halvbagte Financial Controllers der tit og ofte har for stor inflydelse paa IT, men du kaster faktisk med mudder efter en platform. Det er IKKE artitekturen af hardware eller operativ systemet der har skylden her, det er den maade softwaren som koerer paa platformen er blevet skrevet.

At du saa heller ikke stoler paa IBM, eller i det hele taget en Amerikansk/Tysk eller Fransk leverandoer of offenligt IT kan jeg saa kun tilslutte mig 100%

Så der er flere, selvstændige, uafhængige, IBM Mainframe kompetente firmaer i DK der kan lave Audit på IBM's driftmiljø? Eksempler, tak.. ;-)

Og så det springende punkt: Bliver de brugt?????

IBMs systemkonsulenter har ikke automatisk adgang til databaser, og har sjællent eller for ikke at sige aldrig behov for at have det.

...men har de virkelig rutinemæssig adgang til at logge ind på mainframen derudover? Det lyder helt absurd, hvis det er sandt.

Hvor kom Rigspolitiet nu ind her.

CSC affæren... Mainframe hos CSC som kørte Rigspolitiets systemer.

CSC affæren... Mainframe hos CSC som kørte Rigspolitiets systemer.

Ja, og i modsætning til det ovenfor nævnte non-mainframe-eksempel dropbox, så kan man ikke selv vælge sin forvalter af ens kørekortoplysninger.

Det er sådan set ikke mig, der kommer med den påstand, at man ikke kan lave uafhængig audit. Det er PHK, der skal underbygge sin påstand.

Ang. NemID så bygger den del af artiklens argumentation på, at NemID baserer sig på mainframe applikationer.

Er det ikke en ret stor antagelse, eller ligger der en løsnings beskrivelse tilgængelig et eller andet sted?

Et link ville være rart.

IBMs topledelse kan blive smidt i fængsel for foragt for retten, hvis de ikke udleverer en kopi af alle danskeres NemID nøgler til NSA, helt uanset hvad der måtte være skrevet i en kontrakt imellem IBM og Nets eller mellem Nets og den danske stat. Da IBM står for hele driften af hele Nets mainframe miljø er der aldrig nogen der vil være istand til at finde ud om det er sket.

Kører NemID ikke på sådan nogle "special kasser fra USA"?

Mainframed, en sikkerheds researcher indenfor mainframes, giver phk ret sin kritik her: http://mainframed767.tumblr.com/post/79167015212/please-dont-post-on-mai...

Et andet interessant aspekt han har fokuseret meget på er alderen af den gns. mainframe admin, som meget snart bliver et stort problem: http://mainframed767.tumblr.com/post/36576972782/the-racf-age-gap

@phk hvis du gerne vil flytte noget her i verden, er vejen frem ikke at tale til alle andre, især dem der har divergerende meninger, som lallende idioter. At nogen har arbejdet med Mainframe i 50 år, affærdiger du med et indlæg, det oversat betyder. "Idiot" Du burde læse "How to Win Friends & Influence People" af Dale Carnegie. Så ville du måske få indflydelse. Nu lyder du bare som en gal nørd, som ingen tager alvorligt.

Jeg håber du har asbestundertøjet på!

PHK er selvstændig og lever ikke af IBM eller deres isenkram - så holdt han bøtte. Han har en gratis omgang, men som alle der klynger sig til Microsoft så er problemet helt det samme med de store gamle eller vandkølede, og det kender enhver der har haft sin gang i den verden.

Enten dur man selv til it-sikkerhed, eller betaler uafhængige for af varetage sin sikkerhed. Helt almindelig sikkerhed koster og kun 5-15% afhængig af branche betaler det nødvendige. Resten lever med huller af forskellig 'størrelse' - vil/kan/tør/evner ikke nogen som helst ændring = datasikkerhed er Potemkin-kulisser, som folket tror på.

Kun pisk, lovgivning og uafhængigt rejsende Datatilsyn konstant på trapperne (altså løbende it-revision uden tomt juristeri) vil flytte på situationen.

Det nuværende sladderfænomen er ikke et par stykker eller enkeltstående - første gang jeg stødte på fænomenet var omkring 1990'erne ~20 år :)

Koster x måske xx mia. at rette op på 15-25 år grov slendrian, og hvem af de 179 på tinge vil drømmer om at igangsætte - operation rent trut i fløjten.

Skal vi gætte - ingen. Politikerne (179 minus 10-25 stykker) kan end ikke selv finde ud af at have åbne partiregnskaber, for alle de hemmelige penge fra 'onkel' luner jo i kassen - dobbeltmoral.

Alle håber det her snart driver over, og så daler støvet igen ned, medens xxx kopier lidt data og yyy henter lidt oplysninger, samt zzz spørger om han kan få oplyst, om ....

Jeg har med stor interesse læst dit indlæg omkring IBM mainframe og hvad den er skyld i. Inden jeg kommenterer dit indlæg skal for en god ordens skyld sige at jeg er chef arkitekt for IBMs outsourcing forretning i Norden. Og jeg er ikke enig i dine konklussioner omkring IT sikkerhed, IBM og hvordan Nets har valgt at organisere sin forretning.

Men før vi konkluderer at det hele er IBMs skyld så bør vi nok for en god ordens skyld starte med at præcisere et par generelle facts - uden at pege fingre eller drage konklussioner:

1) Mange mainframe systemer er store og komplicerede systemer som er udviklet over en lang årrække - helt op til 50 år. Det er ikke altid let at vedligeholde sådanne systemer - hvorfor de ikke altid har udnyttet de seneste sikkerhedsfunktioner og udviklingsmetoder. Men grundlæggende er disse systemer ofte meget driftsstabile og dækker de behov virksomheden har/havde. Om de så altid kan alt det vi gerne vil have dem til nu om dage - det er en helt anden sag, hvorfor nogle kunder migrerer væk fra de gamle systemer.

2) De systemer vi taler om her er ikke standard systemer! og det kan de typisk heller ikke være. Der er ikke mange virksomheder der udvikler systemer til at administrere kreditkort, så det er ikke nogen hyldevare! Mange af de banker der bruger mainframes vil ikke kunne gå ud og købe et standard system som opfylder dansk/europæisk bank lovgivning hvorfor de har udviklet dem selv.

3) SDC er et eksempel på en virksomhed der har valgt at migrere fra mainframe til en windows platform og det har taget dem mange år at udvikle den applikation. Er den så i stand til at beskytte dem mod det som skete på NETS system? Er deres nyudviklede system så mere sikkert end det gamle mainframe system?

4) En mainframe er idag et særdeles avanceret system som har alle de samme sikkerhedsfunktioner og faciliteter som de distribuerede systemer. I en mainframe anvender man indbyggede krypterings systemer som anvender certifkater, krypterede lagringsmedier og adgangskontrol etc. ligesom dem der findes i windows og Linux servere. De moderne versioner af zOS operativsystemet har alle relevante logningsfunktioner og adgangskontrol systemer som er mindst lige så avancerede som Windows. NETS anvender disse funktioner (og de nyeste versioner) på deres system!

5) Der er ikke nogen der har brudt sikkerheden på mainframe løsningen for at skaffe sig de informationer der er sendt til Se & Hør! Og hvis systemet havde kørt Unix, Linux eller Windows ville dette heller ikke være tilfældet. Personen har haft adgang til dataene som en del af sit job.

6) En driftsorganisation består af forskellige personer som driver en løsning. For at de kan gøre dette skal de have forskellige rettigheder - det er helt naturligt - og enkelte medarbejdere har flere rettigheder end andre fordi der altid er administratorer på sådanne systemer. Det er fuldstændigt uafhængigt af om der er tale om en mainframe eller en Linux/Windows server. Personer med sådanne rettigher vil altid kunne få adgang til data og vil også kunne slette deres spor. De færeste systemer idag - Linux, Windows, Unix og Mainframe - har så avancerede sikkerhedsfunktioner at personer med disse rettigheder ikke vil kunne omgå dette.

7) Alle system/kerne programmører vil have mulighed for at skrive ting ind i koden til en løsning som gør ting vi ikke vil have. At der er folk der på denne måde tiltusker sig data på ikke lovlig vis er vist ikke nogen nyhed og diverse phishing mails er vel også et godt eksempel på at det sker i alle miljøer.

8) At være ene leverandør på en løsning er vel heller ikke noget helt nyt - At IBM leverer både hardware, software og drift er vel i bund og grund ikke særligt forskelligt fra at Microsoft leverer mail og office i cloud løsninger. Eller at Facebook selv driver deres servere. Om man vil benytte sig af leverandører der gør dette er vel op til dem som køber ind! Og det kan jo være hr og fru Danmark eller NETS eller en anden virksomhed.

Din artikel er vel i bund og grund relevant og vi bør tage dette op og diskutere grundigt hvad der skal gøres i fremtiden. Men det vil nok være forkert at give IBM skylden for alle problemer i verden for der er faktisk mange IT installationer der stadig benytter sig af mainframes. Og de er særdeles glade for at de slipper for virus problemer og konstante sikkerhedsopdateringer fra leverandører der finder huller i sikkerheden på deres systemer. De mange mennesker der nu i over 50 år har kunnet udføre deres arbejde uden de store problemer og har sovet trygt om natten har været og er stadig glade for mainframen.

En person der bryder reglerne og tager data ud af et system og udleverer dem til en tredie part er ikke ok - hverken hos NETS, SAS eller Rigshospitalet. I nogle af disse systemer vil dette være blevet logget, men man skal kikke efter problemet for at opdage det. Den nuværende debat fokuserer på at placere skyld - og det skal vi nok få afgjort - men det vigtigste der komme ud af hele processen er nye regler på området. Det vil sikre at vi checker bedre i fremtiden - men vi vil aldrig kunne sikre at en af mine kolleger eller en anden i IT branchen (måske dig selv) udnytter sine muligheder og gør sådanne ting.

Tak til forfatteren af bogen for at afsløre problemet - uanset om det rammer IBM eller ej så kan det få stor betydning for dansk sikkerhedslovgivning. Og så må vi håbe at alle kundeservice medarbejdere efter dette tænker sig en ekstra gang om før de slår deres nabo op i virksomhedens systemer fordi de er nysgerige. Mon ikke der er en lang række medarbejdere rundt omkring der har lidt røde ører lige nu.

Og næste gang du skal "brokke" dig skal du være velkommen til at kontakte mig så du i det mindste kun bruger faktuelle sandheder i stedet for postulater og ukvalificeret viden.

Jørgen Floes, Chef arkitekt for IBMs outsouring

Ja der findes uafhængige virksomheder der laver audit på mainframes - også i Danmark. Og IBM laver ikke audit af JN Data, KMD og CSC mainframes så der er jo nok andre der gør det.

Punkt 5 og 6 er jo lige præcis en sammenfatning af, hvorfor det er gået galt. Der er tilsyneladende behov for en omnipotent bruger, der har uhindret adgang til alle data på hele systemet.

Det kan simpelthen ikke passe, at man som chef arkitekt tillader sig at have en så overfladig holdning til rollebaseret adgang. Hvorfor skal den person, der kan oprette og slette databasen, også have mulighed for at trække informationer ud af samme database?

Kære Poul-Henning Kamp.

Interessant blog-indlæg. Jeg har lidt svært ved at forstå hvad dine bevæggrunde er for at skrive det. Men lad det nu være.

Du skriver bl.a.: "Langt de fleste mainframefolk lider af Stockholmsyndrom. De har aldrig arbejdet med nogen anden form for IT og de kan derfor slet ikke forestille sig at ting kan være på nogen anden måde, langt mindre være bedre på nogen anden måde. De tror at mainframes er den eneste måde at lave "store" databaser og transaktioner på. De tror at mainframes per definition er bedre, hurtigere og mere sikre, for det står der tydeligt i mainframe dokumentationen."

Jeg har et par spørgsmål til dig:

1. Kan du dokumentere ovenstående påstand? Jeg har nemlig selv arbejdet med mainframe, men så sandelig ret mange andre systemer, og jeg kender faktisk ikke nogle mennesker i dag, som kun har arbejdet med mainframe.

2. Kender du selv mainframe, siden du udtaler dig så bombastisk om det?

Du skriver videre: "Omvendt holder de fleste andre IT folk sig langt borte fra mainframeverdenen."

Så jeg må spørge igen:

3. Hvad er det for folk, der holder sig langt borte fra mainframeverdenen? Og hvad er det, der holder dem væk fra det?

(jeg har selv en mistanke om at det er basal uvidenhed om det, men jeg kan da tage fejl)

Du må gerne diske op med nogle fakta. Ellers synes jeg det er en gratis omgang for dig.

PS: Nej, jeg er ikke aflønnet af IBM :-)

Kære Poul-Henning,

For det første så arbejder jeg for IBM - men ikke i den kommercielle del - sorry - så jeg har blot skrevet dette indlæg fordi jeg synes du fordrejer verdensbilledet. Og for din information så har jeg ikke arbejdet med mainframe hele mit liv - jeg er faktisk meget åben over for alle platforme og ser IT systemer som et bredt mix af systemer der dækker forskellige behov - hvilket du også kan læse ud af mit indlæg hvis du ikke var forhippet på at skulle brokke dig.

Med hensyn til dine kommentarer til punkt 1 og 2 så er det jeg siger at dette er komplekse systemer og at man ikke simpelt laver dem om og forbedrer dem. Om sikkerheden kunne være bedre i denne type systemer det er vel op til dem som vedligeholder systemerne - det skal jeg ikke udtale mig om, men mange af dem er udarbejdet i en tid hvor man ikke havde de samme krav eller problemer. Det gælder for såvidt også mange andre windows eller unix systemer som kunderne har!

Vedrørende punkt 3 så er det vældigt fint at nogen har success med at migrerer ud af mainframe - vi har mange virksomheder der har gjort det og stadig er vældigt gode IBM kunder. Jeg lader mig ikke begrænse af mainframe og ser altså mange muligheder andre steder. Om kunderne vælger at gøre det er deres beslutning og den kan vi godt supportere uden at det skal betyde noget. Der er vel også masser af virksomheder der migrerer fra PC til MAC eller fra Windows til Linux. Men du fanger ikke pointen ved kommentaren - er sikkerheden bedre fordi systemet kører på en anden platform?

Med hensyn til dine kommentarer til punkt 5 så er pointen at man kan have adgang til dataene uden faktisk at have overtrådt nogle regler - situationen her er at dataene kom udenfor systemet - hvilket er ulovligt. Om systemet kan logge dette er et spørgsmål om funktionalitet - og om denne funktion er implementeret - samt om den administrator der gør noget kan fjerne sine spor. Uanset om det er den ene platform eller den anden så kan dette lade sig gøre. Et Unix baseret IT system har vel samme problem - der kan sagtens være en administrator som kan læse alle data.

Med hensyn til punkt 6 så har du taget helt fejl her - der er ikke ret mange mennesker om at drive en mainframe. Og pointen med punktet er ikke om dette er ensbetydende med at man ikke har råd til at implementere funktioner eller ej - pointen er at driftsorganisationen har samme problem på alle platforme. Dette er et generelt problem som man bør se på og forhåbentligt så finder vi måder at sikre dette på.

Det er idag god praksis for de fleste der outsourcer at man har eksterne auditører på - det går jeg helt ind for - og der er mange af dem som gør et udemærket stykke arbejde - selv om du tilsyneladende ikke tror på det.

Og så håber jeg da for alles bedste at tingene kommer frem i lyset så vi kan finde de rigtige løsninger og komme videre. Og det stoler jeg helt og trygt på at der er nogen der arbejder på.

Tak for modspil!

Hvad er det for folk, der holder sig langt borte fra mainframeverdenen? Og hvad er det, der holder dem væk fra det?

For eksempel mig. Efter at have prøvet at være i en organisation med mainframe kan jeg kun sige: "Det gør jeg aldrig igen".

Årsagerne er mange, fx:

Ting som man ville gøre på et par dage på decentral for få tusind kroner kan ikke lade sig gøre, fordi det vil tage et halvt mandeår at implementere (estimeret af leverandøren) og koster en million, bogstaveligt talt.

En anden årsag er, at det begrænset dit spillerum kraftigt, når du skal betale ca. et hundrede gange prisen for hvad samme regnekraft koster på decentral.

Jeg kan genkende PHKs udlægning af sagerne. Det er dejligt at han tager bladet fra munden og kalder en skovl for en skovl.

Substansen i dette korstog synes at være at systemer bør være simple og bør være opdelte i delsystemer. Det er også rart og dejligt når ting er simple, men desværre drejer mange edb-løsninger sig om problemer med betydelig kompleksitet, oftest af en natur så det ikke bekæmper kompleksiteten at opdele dem i delsystemer - tværtimod. Mange af den slags super-komplekse systemer er mainframebaseret, af forskellige grunde, mange af dem er ikke. Diskussionen drejer sig godt nok om sikkerhed, men man kan altså ikke udelukkende designe et systems opdeling i delsystemer udfra sikkerhedshensyn: Der er også et hensyn til at det skal være muligt at implementere logikken i systemet uden alt for mange Storm-P koblinger på kryds og tværs mellem delsystemer. Hvis systemet ikke fungerer stabilt, har vi også et sikkerhedsproblem: sikkerhed går ud på at levere de rigtige data til de rigtige modtagere.

Men ok, vi følger PHK's evangelium: Vi ændrer så setup'et så at systemet bliver simplere end det er, og vi fordeler logik og data ud på diverse delsystemer. Men så staller min forståelse igen: at disse delsystemer ikke må køre på samme maskine, det virker dog rimeligt underligt. VIrtualiserede servere er meget udbredt, dvs. at en række servere kører på samme fysiske platform. Hvor ligger sikkerhedsrisikoen i det? Og modsat: hvor ligger sikkerhedsfordelen ved delsystemerne? Er det fordi folk udenfor mainframe verdenen (dem uden stockholm-syndroner) har en så høj moralsk habitus at systemprogrammører herude aldrig arbejdsmæssigt vil få komme til at få adgang til flere delsystemer så de kan kombinere data?

I øvrigt er det intet der forhindrer at man opdeler en mainframe i logiske partitioner og sørger for at ingen systemprogrammører har adgang til alle partitioner. Mainframes har et sikkerhedssystem (RACF) og systemprogrammører kan ikke omgå dette, med mindre de er særdeles gode venner med den sikkerhedsansvarlige. (Som det gælder for andre sikkerhedssystemer på andre plaforme). Men at opdele et givet system i komponenter som ingen har det totale overblik over, det virker underligt. Ok, der er data som ingen overhovedet skal have adgang til, fx. NemID koder, det er et issue for sikkerhedssystemet og administrationen af dette, og ikke et argument for opdeling i delsystemer.

Sikkerhed er også at systemets (delsystemernes) programmører hurtigt kan få det op og køre igen hvis det er gået i udu. I den forbindelse kan det være et godt princip at disse mennesker har et rimeligt overblik over hele systemet og har en vidtgående adgang til at fejlsøge i logik og data. Men jeg fornemmer at PHK mener at systemer bør være så simple at de aldrig fejler. Og ja, i en sådan smuk og optimal verden, er det da et overkill at bruge mainframes og den bemanding der hører til en mainframe.

Der kan være argumenter for opdeling i delsystemer, ligesom der kan være argumenter for ikke at bruge mainframe, men sikkerhedsaspektet er ikke blandt de valide argumenter for disse i øvrigt argumenterbare synspunkter.

Gad vide hvad bankerne drifter deres systemer på:-)

IBM mainframes.

Jeg synes faktisk punkt 3 er kardinalpunktet: Der er ingen der idag vælge at skrifte til mainframe platformen.

I den henseende minder mainframe platformen mig om de klassiske supercomputere, som jeg arbejdede med i 90'erne.

Omtrent som med mainframes, så blev datidens supercomputere lavet i relativt små styktal, der var ikke ret meget der mindede om standard software, og så var de ganske dyre, med state-of-the-art hardware. Endelig var der også en batch-operatør (som dog blev erstattet med software), som startede kørsler (og stoppede de, der kørte længere end de skulle).

top500.org som holdt øje med de offentligt kendte supercomputeres ydelsesevne var dengang fuldstændigt domineret af disse dyre modeller.

Omkring årtusindskiftet kunne man kun opretholde væksten i ydelse ved at bruge distribuerede systemer, og herefter gik det meget hurtigt for Linux-installationer på hyldevarer at trænge ind på top500.org.

Idag er top500.org fuldstændigt domineret af Linux der afvikles på hyldevarer (inkl. grafikkort).

Jeg tror følgende forskelle mellem mainframe platformen og supercomputeren, gør at sidstnævnte i dag kører på hardware, der fås som hyldevare: 1) Mange supercomputere benyttes til forskning, og forskere er givetvis mere åbne overfor ny teknologi end bankfolk, og lignende typiske mainframe brugere. 2) Den anden store brugere af supercomputere (og historisk set drivende kraft i deres udvikling) er laboratorier til våbenteknologi og andet af strategisk betydning (f.eks. NSAs opgaver). Disse steder skal det bare være det hurtigste der kan bygges, og så er det lige meget om man hvert 10. år skal skifte til en helt ny type platform (og dermed omskrive sin kode for at udnytte hardwaren effektivt).

Så i den udstrækning at den klassiske supercomputer og mainframe platformen kan sammenlignes, så vil jeg mene at mainframe platformen ikke længere er specielt velegnet til noget som helst. Det er bare (overvejende af kulturelle grunde) ikke så nemt at skifte bort fra den, der hvor den stadig bruges.

Ting som man ville gøre på et par dage på decentral for få tusind kroner kan ikke lade sig gøre, fordi det vil tage et halvt mandeår at implementere (estimeret af leverandøren) og koster en million, bogstaveligt talt.

Er du sikker på at det har noget med teknikken at gøre ?

Hvis man følger ITIL til punkt og prikke, uden at bruge passende justeringer i forhold til opgave og organisation, så kan man sagtens opnå samme "flexibilitet" med en håndfuld Windows-servere, eller hvad man nu måtte foretrække.

Der er såmænd nok nogen, der i dag ville vælge mainframes, hvis de vidste, hvor meget nemmere, det er at supporte terabytes af transaktionelle data for hundredevis brugere med een mainframe fremfor 5 DNS servere, 4 AD servere, 6 SQL servere - tre til transaktioner og andre tre til rapportering, 8 filservere og 5 mailservere i et eller andet obskurt cluster setup, hvor der iøvrigt typisk fortsat er een eller flere super-root-agtige logins, der kan alt, herunder redigere logfiler. Alle disse servere skal have sikkerhedsopdateringer næsten dagligt for en håndfuld af produkter fra forskellige leverandører. Komplexiteten kan nemt stige til uanede højder med de silo-servere, som er tidens mantra.

Jeg synes faktisk punkt 3 er kardinalpunktet: Der er ingen der idag vælge at skrifte til mainframe platformen.

Hvorfor gør de ikke det ?

Fordi mainframe platformen ikke kan sælges idag, den er simpelthen ikke konkurrencedygtig for folk der starter forfra. ... Mainframes er IT-verdenes slagskibe og har samme relevans i dagens verden.

Mainframes er dyre, Enig.

Men dit oprindelige udgangspunkt : "IBM Mainframes er en sikkerhedsrisiko" er fundamentalt forkert, sandsynligvis baseret på manglende kendskab til platformen og miljøet omkring.

I alle de situationer som er beskrevet og oplevet, skyldes sikkerhedskompromitering, at betroede medarbejdere misbruger deres beføjelser. Dette er et problem, som desværre ikke begrænser sig til mainframes. Mainframes er i den henseende hverken mere eller mindre sikre end et hvilket som helst andet system eller platform

Selvfølgelig er det et problem når en betroet medarbejder gør noget forkert.

Men det helt store problem er at ingen opdagede noget som helst igennem flere år.

Og et kun lidt mindre problem er at centraliseringen af de alt for dyre mainframes betyder at den slags betroede medarbejdere har adgang til alt for mange og alt for vigtige data.

Når det drejer sig om så store datakoncentrationer som NemID og Dankort systemet skal sikkerhed gå forud for penge.

Et økonomisk og organisatorisk problem, ikke et platforms sikkerhedsproblem specifikt for mainframe.

Indtil nogen viser mig at en mainframe installation kan konkurrere på omkostninger når den bliver konfigureret og drevet korrekt, fastholder jeg min påstand.

Så du må godt påstå noget uden at kunne bevise det, men alle der siger dig imod, skal kunne dokumentere det? :-)

Her er en god use case. Hvad med at sætte nogle hundrede (eller tusinde) Linux-servere op? Vi kan selvfølgelig gøre det på din måde og sætte et antal standard-PC'er op - med div. pladsproblemer, afkøling, kabler, UPS, backup m.m.m.

Eller vi kan bruge en mainframe til det samme: Linux on System Z

(jeg har ikke nogen pris til dig, men jeg er ret overbevist om at det er et meget interessant regnestykke)

Her er en god use case. Hvad med at sætte nogle hundrede (eller tusinde) Linux-servere op? Vi kan selvfølgelig gøre det på din måde og sætte et antal standard-PC'er op - med div. pladsproblemer, afkøling, kabler, UPS, backup m.m.m.

Sådan fungerer større softwareudvikling ikke helt i dag. Typisk har du en provider der leverer maskinkraft til dig i form af en eller anden "cloud" instans. Hvis du er ligeglad med sikkerheden kan du sagtens hive Amazons EC2 priser frem og de ligger endda i den dyrere ende.

For et mere beskyttet setup ville du formentlig benytte FreeBSDs jail funktionalitet på et par få betroede maskiner.

Moralen er sådan set, af Mainframens styrke mht. virtualisering var så god at resten af verden kopierede den.

Jeg arbejder i sproget Erlang til dagligt og en måde at se dets platform på, er nøjagtigt at det er "mainframe i en process i UNIX". Igen: virtualisering og isolation er egenskaber du har kopieret ind i andre miljøer.

Vil der ikke være tilfælde hvor større maskiner som mainframes eller zLinux vil kunne klare jobbet bedre end en række Linux blades?

Har Telia forsøgt sig med Linux på mainframe (zLinux?).

Tror du ikke IBM ville udbasunere det i alt deres marketing literatur hvis det var tilfældet ?

Fakta er at alt er dyrere på en mainframe: Storage, CPU-kraft, RAM, Netværk, Mandskab.

Du afviser katagorisk at det er en mulighed...og du baserer det på en antagelse om at IBM ville køre en Samsung markedsførings kampagne?

Og alt er ikke dyere på en Mainframe/zLinux platform...

Det var jeg ikke klar over. Kan man læse noget om fadæsen? Er der andre eksempler på nyelige fejlslagne mainframe implementationer?

Her er en god use case. Hvad med at sætte nogle hundrede (eller tusinde) Linux-servere op? Vi kan selvfølgelig gøre det på din måde og sætte et antal standard-PC'er op - med div. pladsproblemer, afkøling, kabler, UPS, backup m.m.m.

Eller vi kan bruge en mainframe til det samme: Linux on System Z

(jeg har ikke nogen pris til dig, men jeg er ret overbevist om at det er et meget interessant regnestykke)

Hvis vi begrænser os til noget over 1.000 servere, så kan det klares med et enkelt rackskab. Hvad det præcis vil koste kan andre her svare på.

Men jeg har på fornemmelsen at der sælges væsentligt flere af den slags løsninger end Linux-på-mainframe, og at det har en del med prisen at gøre.

Stort set ikke, fordi der ikke sker nogen nye mainframe implementationer.

Der er flere journalister der har prøvet at få IBM til at svare på hvornår de sidst solgte en mainframe til en ny kunde, men det svarer IBM ikke på.

Jeg tvivler lidt på at Telia var den sidste gang det skete, omvendt ville jeg ikke blive forbavset hvis det var.

Du ved godt at det er et krav at virksomheder skal godkende at deres navne bliver brugt som reference ikke? Du ved sikkert også at der er masser af virksomheder der i princippet ikke ønsker det...ikke fordi de ikke bryder sig om produktet, men fordi de i princippet ikke ønsker at deres navn bruges som reference. Det er en meget selektiv konklusion at fordi du ikke har hørt om det, så findes det ikke.

Den gang Telia kørte et projekt var linux knap 9 år regnet fra minix 1.ste "udgave" ... Nu er der gået +13 år mere :-) Og hvis du googler ser du nogle interessante løsninger også på IBM System z, løsninger af den slags der har krav om en række 9 taller og sikrer dig og mig. Selv om windows nu efter 20 plus år er ved at ligne noget ... Ville jeg til enhver tid gå unix eller mainframe vejen hvis krav er "høje" til sikkerhed( muligheder) og kontroller.

En underlighed ved denne her debat ('mainframe-debatten') er argumentet om at det er dyrt at pleje omgang med en mainframe. Ja det er det - og hvad så? Edb er dyrt, og har til gengæld voldsomme potentialer - fx til rationalisering af en offentlig sektor som ellers tenderer til at blive en for stor del af nationalproduktet. Eller hvad man ellers har af politiske mål. Jeg skal ikke gøre mig til talsmand for at edb løser alle problemer, men succeshistorierne er når man ofrer hvad det koster, og når de mål som skal nås. Spørg fx arbejdsskadestyrelsen om Proask: Hvis man havde ofret 50 mio mere på det egentlige, fundamentale edb projekt, så havde man altså sparet en del - hvis resultatet var blevet, at systemet kom til at virke. Uanset platform er edb sjældent 'billigt' - resultatet bliver i alt for mange tilfælde både meget dyrt og meget dårligt. For ikke at sige: ekstremt dyrt og helt uanvendeligt.

At betale for mainframe-mips og mainframe storage er penge direkte ned i IBM's lommer... Ja, det er det, ligesom køb af Oracle licenser er penge direkte ned i Larrry Ellisons lommer.

Får man noget for pengene på mainframe-platformen? Der ligger nogle perspektiver omkring dekobling: at kunne støtte sig til hæren af (dyre) specialister i en større mainframe-installation: Der bliver mange problemer som du ikke selv står som ejer af. Skalering af et system er fx typisk et non-issue på en mainframe, i den forstand at det tager andre sig af. Release-skift er et non-issue på mainframe: nye releases er altid bagud kompatible. Jo flere issues der kan dekobles fra den centrale systemudviklng, jo større chancer for succes. Mange mainframe-installation er sikkert dårligt drevet, jeg ved det ikke, og har ikke oplevet det, men alderen af platformen betyder jo at en række dårlige vaner potentielt har kunnet udvikle sig. Der er vel også Unix installationer som er præget af mobning og mordtrusler.

PHK's argument om at mainframe er så dyrt (i forhold til nytteværdien) at ingen køber mainframes idag, er ikke korrekt. IBM er mærkværdigt tyste omkring deres salgsstatistik for mainframe, men to ting står fast: Mainframes er en meget substantiel del af IBM's indtjening, og Kina er et stort marked. Bank Of China - med sine 300 millioner konti og stadige vækst - har givetvis købt et antal mainframes i de senere år. IBM siger det ikke officielt, men det er givetvis sådant.

Datacentralen drev frem til starten af 1980'erne et herligt mainframesystem med batchkørsler, tapes, leporelloprint, kuvertering og det hele, til administration af Statens Filmcentral. Det led en naturlig død, som så mange andre mainframe-systemer gjorde det da tingene for alvor udviklede sig mod andre platforme, ligesom hele ideen om at udleje film til sidste røg i svinget. Dengang var det nemt at diskutere mainframe, i dag er billedet mere broget.

Hvor er det dog forfriskende, at total uvidenhed ikke holder nogen tilbage fra at udtale sig. For øvrigt er den største trussel mod sikkerheden på mainframe, at man ofte tillader Window og Unix servere, at tilgå denne.

Sådan fungerer større softwareudvikling ikke helt i dag. Typisk har du en provider der leverer maskinkraft til dig i form af en eller anden "cloud" instans. Hvis du er ligeglad med sikkerheden kan du sagtens hive Amazons EC2 priser frem og de ligger endda i den dyrere ende.

Interessant. Sådan foregår det ikke der hvor jeg typisk har arbejdet - men det har så også været steder, hvor man rent faktisk har fokus på sikkerhed (ofte banker og forsikringsselskaber).

Jeg håber ikke nogen bevidstløs bruger en amerikanskbaseret cloudløsning til personfølsomme data. Det ville være en rigtig dårlig idé (overvej også om I er sikret imod industrispionage med den type løsninger).

Faktisk vil jeg påstå at vore dages hoved-under-armen brug af skyen til hvad som helst er en større sikkerhedsrisiko end mainframe.

Og for nu at slå det fast med syvtommersøm: Nej, mainframe er ikke en større sikkerhedsrisiko end andre systemer. Tag det fra én, der har arbejdet med både mainframe og forskellige andre systemer.

Jeg synes faktisk det er problematisk at Version2 (som jeg indtil nu har anset for at være et forholdsvist seriøst og sagligt medie) lægger plads til den type useriøse og udokumenterede blogindlæg, som PHK her står for.

Det lyder i mine ører lidt som en præst fra middelalderen, der messer at jorden ikke er rund.

I forkerte hænder udgør begge en sikkerhedsrisiko.

Gad vide om PHK's konto er blevet hacked?

Så konklusionen er, at personer og ikke platform per se udgør en risiko?

Jeg håber ikke nogen bevidstløs bruger en amerikanskbaseret cloudløsning til personfølsomme data. Det ville være en rigtig dårlig idé (overvej også om I er sikret imod industrispionage med den type løsninger).

Siger du da dermed, at man med mainframes fra IBM er sikret imod industrispionage???

Lidt offtopic måske, og så alligevel ikke: Jeg nåede at stifte lidt bekendtskab med mainframes på mit tidligere arbejde. En batch operatør (der havde siddet der i 37år vel at mærke) havde der ubegrænset adgang til systemet. Vedkommende nægtede kategoriskt at bruge andet end hans mainframe til det daglige arbejde, så han sad på en ulåst konsol i operatør stuen og skrev emails. Direkte på mainframen :D Selvsamme medarbejder sagde op da vi skiftede til SQL Server miljø, Windows var for meget for ham og han gik ned med stress....

Sikkerhed koster dyrt i konsulenttimer til ordentlig implementering, mainframe eller ej. Går den så går den. Mht. NETS, så er den gået i rigtigt mange år. Nu gik den så ikke længere. Tænk på hvor mange penge NETS har sparet i den tid....

Tænk på hvor mange penge NETS har sparet i den tid....

Det er jo lige præcist det der er problemet. Der er penge i lav sikkerhed for alle parter, så længe marketing kan dække over det så ingen opdager det.

For hvorfor mainframes er særligt udsat ?

Eller er det fordi IBM er et amerikansk firma og dermed er juridisk kompromiteret af nogle lovgivere der mener de er verdens herskere ?

Er en stor windows eller Unix server fra Bull (et af store selvskab uden for EU (ved ikke om de eksistere længere =) men de lavede engang store windows servere) eller Fujitsu-Siemens magisk bedre end en mainframe fra IBM ?

Hvis mainframes fra IBM er så ringe hvad og hvordan er så bedre når man skal op i mega størelse med meget lidt nedetid (ja der har været issues med fx. NemID men det har været i andre dele af strukturen ud over mainframen (authenticator boxene der ikke havde nok kapacitet) ?

og hvis man ikke kan bruge noget some helst gear eller services fra et firma der på nogen måde har ejerskabsforbindelser til USA kunne vi så få en positiv liste over vendors der er acceptable ? (ud over at inklusionen af denne liste i evt. udbudsmateriale vil få os en dom fra WTC på halsen for konkuranceforvridning og protektionisme og dermed er 100% akademisk) men hvilke vendors vil kunne leve op til PHKs krav ?

Gode pointer i det oprindelige oplæg og lidt øv diskussionen tog den drejning som indlægget ellers prøvede at stoppe..

Ja de fleste mennesker ved at opdeling i sikkerhed er en god ting specielt i de tilfælde hvor det så går galt. Så for at forsætte i indlæggets mening så kommer mine få meninger.

Ja en opdeling er nødvendig og sikre systemer når mindre kompetente mennesker får ansvar (MKM: læs dårligt ledet organisationer/politikere). Sikkerheden er ikke så høj pga. omkostninger og udefra interessenter. Tror måske også din pointe kan hamres fast ved at kigge på andre brancher ala. bogholderi. De mennesker der ytre sig om sikkerhed og ikke har bogholderi i baghovedet ville jeg ikke stole på med en plastik saks. Her handler det ikke om det kan gå galt, men hvornår (jeg er lidt pessimistisk, men det understreger pointen mht. sikkerhed og opdeling).

Spørgsmålet som aldrig bliver stillet til ledere af journalister (begge MKM) Hvordan man evt. vil håndtere det når skaden er sket etc.

hvordan man så kommer videre er en anden sag. Sikkerhed koster penge og er ikke forenelig med usability. Det er så også en stor mundfuld at forstå for MKM og derfor den langsommelige process vi er vidne til (svært at gøre sig forståelig på et område når man skal besidde en vis intelligens for at forstå problemstillingen).

Hovedproblemet er ansvars placering i mine øjne. Her kan en leder slippe så uendelig nemt uden om. Derfor er der ingen løsning i den nære fremtid.

Jeg skal ikke undlade at kommentere, at det er bemærkelsesværdigt, at offentlige myndigheder og private virksomheder fortsat placerer håndteringen af følsomme data på netop mainframe platformen samtidig med at det er minimalt hvad der dannes af sikkerheds patches til mainframe platformen. Dette på trods af foranstående kommentarers påpegning af voldsomme sikkerhedsproblemer som åbenbart ikke forefindes på øvrige platforme. Jeg gør venligst opmærksom på, at jeg arbejder for IBM men har dog aldrig arbejdet med mainframe platformen og gør heller ikke idag.

Enhver gammel systemprogrammør må tage sig til hovedet.

R 00, CLPA

Man må blot konstatere, at det hverken er viden om RACF eller indbygget sikkerhed i hardware, som belaster hér. Diskussion på dette niveau er jo aldeles omsonst

Jeg har ikke arbejdet med de helt store mainframes, men med IBM's mellemløsning - IBM i (AS/400) - i en del år og standardinstallationen af operativsystemet er så svag at det er halsløs gerning at have en sådan maskine bare den mindste smule eksponeret mod internettet. Det kræver ekspertviden og megen tid at lukke alle hullerne, og der er stadig masser af standardopførsel der kan udnyttes af en dygtig angriber. Man kan få en oversigt over hullerne her (bare se bort fra at alting hedder noget andet; QSECOPR er root og det er *ALLOBJ også). http://www.blackhat.com/presentations/bh-europe-06/bh-eu-06-Carmel/bh-eu...

Jeg har med mainframes siden 1970, med Java siden 1999 og med C# og Biztalk på Windows i perioden 2005 til 2012. Intet af det du har skrevet adskiller mainframes fra Windows fra unix. Jeg synes du gør dig bedrevidende på et svagt fundament, og tilbyder til enhver tid at imødegå dine letkøbsargumenter.

Har du nogensinde selv haft lejlighed til at stifte personligt kendskab med et professionelt IBM Mainframe miljø?

Desværre også så fyldt med faktuelle fejl, at det ikke kan tages alvorligt.

HELT ENIG