Développement d'applications COBOL Sécurité Secure Code Warrior
Il semble presque comique qu'en 2019, nous parlions de travailler avec un langage informatique qui a été inventé en 1959. Il n'y a plus beaucoup de séminaires ou de conventions consacrés à l'art de réenfiler les machines à coudre Singer classiques, ou de remplacer le carter d'huile d'une Chevrolet Parkwood ou d'une Triumph Herald. La plupart de ces outils vieillissants ont depuis longtemps été mis au rancart et remplacés par de nouveaux modèles plus efficaces. Pourtant, ici, au pays de la technologie, qui est censé être à la pointe par rapport à d'autres industries, nous travaillons encore avec des langages comme le COBOL, qui a été publié à peu près à la même époque.
Il y a bien sûr de très bonnes raisons à cela. Le langage COBOL (Common Business Oriented Language) a peut-être 60 ans, mais il a été si bien conçu qu'il est encore pertinent et largement utilisé aujourd'hui.
COBOL a été créé comme un moyen relativement simple, utilisant un langage simple groupé en phrases et syntaxe spécifiques, pour programmer des systèmes dorsaux afin d'effectuer des tâches mathématiques et de formuler des formules. Pourquoi ce langage perdure-t-il aujourd'hui ? Tout simplement parce qu'il fait très bien son travail. D'une certaine manière, il est devenu un élément de la structure informatique de nombreux systèmes centraux dans des secteurs aussi divers que le secteur financier et l'industrie manufacturière.
Le COBOL a fait l'objet de mises à jour progressives au fil des ans, notamment en 2002 lorsqu'il a été transformé en langage orienté objet afin de rendre la programmation de nouvelles applications un peu plus fluide. Mais pour l'essentiel, le COBOL reste aujourd'hui ce qu'il était à l'époque : un héros méconnu et un langage de programmation qui fonctionne en arrière-plan pour étayer de nombreuses applications modernes au niveau de l'ordinateur central.
Quel est le degré de sécurité du COBOL ?
Malheureusement, il n'y avait pas beaucoup de considérations en matière de sécurité lorsque le COBOL a été créé. Par exemple, de nombreuses applications COBOL sont protégées par un programme de mot de passe, mais elles ne sont presque jamais protégées contre des éléments tels que la protection par force brute pour empêcher le craquage. Ajoutez à cela le fait que de nombreux outils de sécurité modernes qui surveillent le trafic réseau ne savent pas comment traiter ou évaluer les fonctions qui se produisent dans les programmes écrits dans des langages commerciaux comme le COBOL, et vous avez un vrai problème qui ne demande qu'à se produire. Un grand nombre de brèches modernes ont été réussies en raison d'un manque de surveillance de la sécurité des systèmes fonctionnant avec des langages informatiques classiques. En 2015, les données de plus de quatre millions d'employés fédéraux américains ont été exposées lorsque l'Office of Personnel Management (OPM) a été piraté, la faute à l'utilisation de COBOL, citant l'incapacité de mettre en œuvre des mesures de sécurité modernes sur un système aussi archaïque.
Il y a quelques années, la sécurité était assurée par une armée de programmeurs qui connaissaient le COBOL et d'autres langages en vogue à l'époque. Dans les années 1960, le COBOL était comme le Java ou le .Net d'aujourd'hui, et ceux qui le connaissaient étaient les vedettes de leur département. En 2019, ces personnes sont probablement à la retraite depuis longtemps, même si les systèmes qu'elles protégeaient ne le sont pas.
Extension des premières lignes de défense de COBOL
Un grand nombre de ces "barbes grises" ont été réintégrées dans leur organisation en tant que sous-traitants pour défendre les mêmes ordinateurs centraux que ceux sur lesquels ils travaillaient auparavant. Dans plus d'un endroit, ils constituaient une sorte d'anomalie : une cabale secrète de sorciers vieillissants dans un coin reculé du bureau, leurs vêtements étranges (cravates larges et costumes trois pièces) et leurs manières étrangement polies ne cadrant pas tout à fait avec tous les hipsters modernes arborant des jeans moulants et des chignons d'homme. Pourtant, ils étaient absolument nécessaires, car peu de programmeurs modernes utilisent le COBOL et d'autres langages anciens. Malheureusement, même ces dernières sentinelles de l'informatique sont en train de disparaître, de rendre l'âme, de déménager à Boca Raton et de profiter d'une véritable retraite.
C'est pourquoi il existe un besoin urgent de personnes qui comprennent les anciens langages et les failles de sécurité qu'ils contiennent. Même si les jeunes ne savent pas comment écrire du code dans les langages classiques, ils devraient au moins comprendre comment ils fonctionnent et quelles sont leurs vulnérabilités potentielles. En effet, si le développement du COBOL est resté relativement statique, les menaces qui pèsent sur les réseaux n'ont cessé d'évoluer. Essayer d'utiliser d'anciennes techniques de cybersécurité programmées il y a soixante ans, comme l'application de mot de passe COBOL susmentionnée, pour défendre un ordinateur central contre des attaquants modernes revient à déployer une phalange de lanciers pour combattre un peloton de marines de l'espace - à moins d'un miracle hollywoodien, cela se terminera mal pour les gars avec les lances.
Qu'il soit ancien ou nouveau, il doit également être sécurisé.
C'est pourquoi nous croyons en l'importance d'un système de formation avancée qui couvre une large gamme de langages de programmation et de cadres. Vous voyez, l'un des problèmes flagrants avec beaucoup d'options de formation en sécurité est que l'information est tout simplement trop générique, ou pire - complètement hors de propos dans le travail quotidien du développeur qui y participe. Passer une demi-journée à apprendre les vulnérabilités qui ne s'appliquent qu'à Java ne va pas aider un développeur COBOL à renforcer son système, et cela ne fait que perpétuer l'idée que la "sécurité" est un exercice à cocher et à oublier une fois que le cours obligatoire a été suivi. J'ajouterais que former quelqu'un aux bogues de sécurité Java n'est pas toujours applicable à un développeur Java Spring. Le codage sécurisé est tout simplement différent dans chaque langage, même au niveau du framework.
Dans le cadre de notre mission visant à permettre à tous les développeurs de devenir des super-héros de la sécurité, nous ne négligerons pas un langage informatique valide qui est toujours utilisé dans certaines des installations les plus ciblées et les plus critiques au monde. En explorant notre plateforme, vous trouverez des défis et des formations modernes et pratiques relatifs au COBOL, ainsi que certains des outils de programmation les plus modernes disponibles aujourd'hui, tels que Googles Golang. Cette flexibilité garantit que la formation est pertinente pour un individu et contextuelle, imitant son environnement de travail pour un engagement et une efficacité maximum. Après tout, l'instauration d'une solide culture de la sécurité est primordiale dans la lutte contre les cybermenaces, c'est pourquoi la formation doit être pratique (et amusante, bien sûr !).
Nous voulons que notre secteur atteigne le stade où il importe peu que les menaces de sécurité pèsent sur des systèmes utilisant des langages anciens ou sur les applications de mobilité les plus modernes. Nous voulons que chaque développeur soit armé des meilleures informations sur ces vulnérabilités, sur les outils et les techniques utilisés par les attaquants pour les exploiter et sur la manière de les arrêter à froid. Nous ne nous rendrons jamais et nous ne faiblirons jamais face aux menaces de cybersécurité. Quelle que soit la modernité ou l'ancienneté des menaces ou des vulnérabilités, vous pouvez toujours vous adresser à Secure Code Warrior pour apprendre à les déjouer, à chaque fois.
PS : Vous pensez qu'une langue ancienne échappe à la vulnérabilité aux injections SQL ? Détrompez-vous. Voyez si vous pouvez localiser et corriger une injection en COBOL dès maintenant.
L'ancien COBOL, bien qu'il s'agisse d'un langage informatique plus ancien, est encore efficace aujourd'hui. Pour en savoir plus sur le développement d'applications sécurisées en COBOL, consultez le site Secure Code Warrior.
Directeur général, président et cofondateur
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationDirecteur général, président et cofondateur
Pieter Danhieux est un expert en sécurité mondialement reconnu, avec plus de 12 ans d'expérience en tant que consultant en sécurité et 8 ans en tant qu'instructeur principal pour SANS, enseignant des techniques offensives sur la façon de cibler et d'évaluer les organisations, les systèmes et les individus pour les faiblesses de sécurité. En 2016, il a été reconnu comme l'une des personnes les plus cool d'Australie dans le domaine de la technologie (Business Insider), a reçu le prix du professionnel de la cybersécurité de l'année (AISA - Australian Information Security Association) et détient les certifications GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Il semble presque comique qu'en 2019, nous parlions de travailler avec un langage informatique qui a été inventé en 1959. Il n'y a plus beaucoup de séminaires ou de conventions consacrés à l'art de réenfiler les machines à coudre Singer classiques, ou de remplacer le carter d'huile d'une Chevrolet Parkwood ou d'une Triumph Herald. La plupart de ces outils vieillissants ont depuis longtemps été mis au rancart et remplacés par de nouveaux modèles plus efficaces. Pourtant, ici, au pays de la technologie, qui est censé être à la pointe par rapport à d'autres industries, nous travaillons encore avec des langages comme le COBOL, qui a été publié à peu près à la même époque.
Il y a bien sûr de très bonnes raisons à cela. Le langage COBOL (Common Business Oriented Language) a peut-être 60 ans, mais il a été si bien conçu qu'il est encore pertinent et largement utilisé aujourd'hui.
COBOL a été créé comme un moyen relativement simple, utilisant un langage simple groupé en phrases et syntaxe spécifiques, pour programmer des systèmes dorsaux afin d'effectuer des tâches mathématiques et de formuler des formules. Pourquoi ce langage perdure-t-il aujourd'hui ? Tout simplement parce qu'il fait très bien son travail. D'une certaine manière, il est devenu un élément de la structure informatique de nombreux systèmes centraux dans des secteurs aussi divers que le secteur financier et l'industrie manufacturière.
Le COBOL a fait l'objet de mises à jour progressives au fil des ans, notamment en 2002 lorsqu'il a été transformé en langage orienté objet afin de rendre la programmation de nouvelles applications un peu plus fluide. Mais pour l'essentiel, le COBOL reste aujourd'hui ce qu'il était à l'époque : un héros méconnu et un langage de programmation qui fonctionne en arrière-plan pour étayer de nombreuses applications modernes au niveau de l'ordinateur central.
Quel est le degré de sécurité du COBOL ?
Malheureusement, il n'y avait pas beaucoup de considérations en matière de sécurité lorsque le COBOL a été créé. Par exemple, de nombreuses applications COBOL sont protégées par un programme de mot de passe, mais elles ne sont presque jamais protégées contre des éléments tels que la protection par force brute pour empêcher le craquage. Ajoutez à cela le fait que de nombreux outils de sécurité modernes qui surveillent le trafic réseau ne savent pas comment traiter ou évaluer les fonctions qui se produisent dans les programmes écrits dans des langages commerciaux comme le COBOL, et vous avez un vrai problème qui ne demande qu'à se produire. Un grand nombre de brèches modernes ont été réussies en raison d'un manque de surveillance de la sécurité des systèmes fonctionnant avec des langages informatiques classiques. En 2015, les données de plus de quatre millions d'employés fédéraux américains ont été exposées lorsque l'Office of Personnel Management (OPM) a été piraté, la faute à l'utilisation de COBOL, citant l'incapacité de mettre en œuvre des mesures de sécurité modernes sur un système aussi archaïque.
Il y a quelques années, la sécurité était assurée par une armée de programmeurs qui connaissaient le COBOL et d'autres langages en vogue à l'époque. Dans les années 1960, le COBOL était comme le Java ou le .Net d'aujourd'hui, et ceux qui le connaissaient étaient les vedettes de leur département. En 2019, ces personnes sont probablement à la retraite depuis longtemps, même si les systèmes qu'elles protégeaient ne le sont pas.
Extension des premières lignes de défense de COBOL
Un grand nombre de ces "barbes grises" ont été réintégrées dans leur organisation en tant que sous-traitants pour défendre les mêmes ordinateurs centraux que ceux sur lesquels ils travaillaient auparavant. Dans plus d'un endroit, ils constituaient une sorte d'anomalie : une cabale secrète de sorciers vieillissants dans un coin reculé du bureau, leurs vêtements étranges (cravates larges et costumes trois pièces) et leurs manières étrangement polies ne cadrant pas tout à fait avec tous les hipsters modernes arborant des jeans moulants et des chignons d'homme. Pourtant, ils étaient absolument nécessaires, car peu de programmeurs modernes utilisent le COBOL et d'autres langages anciens. Malheureusement, même ces dernières sentinelles de l'informatique sont en train de disparaître, de rendre l'âme, de déménager à Boca Raton et de profiter d'une véritable retraite.
C'est pourquoi il existe un besoin urgent de personnes qui comprennent les anciens langages et les failles de sécurité qu'ils contiennent. Même si les jeunes ne savent pas comment écrire du code dans les langages classiques, ils devraient au moins comprendre comment ils fonctionnent et quelles sont leurs vulnérabilités potentielles. En effet, si le développement du COBOL est resté relativement statique, les menaces qui pèsent sur les réseaux n'ont cessé d'évoluer. Essayer d'utiliser d'anciennes techniques de cybersécurité programmées il y a soixante ans, comme l'application de mot de passe COBOL susmentionnée, pour défendre un ordinateur central contre des attaquants modernes revient à déployer une phalange de lanciers pour combattre un peloton de marines de l'espace - à moins d'un miracle hollywoodien, cela se terminera mal pour les gars avec les lances.
Qu'il soit ancien ou nouveau, il doit également être sécurisé.
C'est pourquoi nous croyons en l'importance d'un système de formation avancée qui couvre une large gamme de langages de programmation et de cadres. Vous voyez, l'un des problèmes flagrants avec beaucoup d'options de formation en sécurité est que l'information est tout simplement trop générique, ou pire - complètement hors de propos dans le travail quotidien du développeur qui y participe. Passer une demi-journée à apprendre les vulnérabilités qui ne s'appliquent qu'à Java ne va pas aider un développeur COBOL à renforcer son système, et cela ne fait que perpétuer l'idée que la "sécurité" est un exercice à cocher et à oublier une fois que le cours obligatoire a été suivi. J'ajouterais que former quelqu'un aux bogues de sécurité Java n'est pas toujours applicable à un développeur Java Spring. Le codage sécurisé est tout simplement différent dans chaque langage, même au niveau du framework.
Dans le cadre de notre mission visant à permettre à tous les développeurs de devenir des super-héros de la sécurité, nous ne négligerons pas un langage informatique valide qui est toujours utilisé dans certaines des installations les plus ciblées et les plus critiques au monde. En explorant notre plateforme, vous trouverez des défis et des formations modernes et pratiques relatifs au COBOL, ainsi que certains des outils de programmation les plus modernes disponibles aujourd'hui, tels que Googles Golang. Cette flexibilité garantit que la formation est pertinente pour un individu et contextuelle, imitant son environnement de travail pour un engagement et une efficacité maximum. Après tout, l'instauration d'une solide culture de la sécurité est primordiale dans la lutte contre les cybermenaces, c'est pourquoi la formation doit être pratique (et amusante, bien sûr !).
Nous voulons que notre secteur atteigne le stade où il importe peu que les menaces de sécurité pèsent sur des systèmes utilisant des langages anciens ou sur les applications de mobilité les plus modernes. Nous voulons que chaque développeur soit armé des meilleures informations sur ces vulnérabilités, sur les outils et les techniques utilisés par les attaquants pour les exploiter et sur la manière de les arrêter à froid. Nous ne nous rendrons jamais et nous ne faiblirons jamais face aux menaces de cybersécurité. Quelle que soit la modernité ou l'ancienneté des menaces ou des vulnérabilités, vous pouvez toujours vous adresser à Secure Code Warrior pour apprendre à les déjouer, à chaque fois.
PS : Vous pensez qu'une langue ancienne échappe à la vulnérabilité aux injections SQL ? Détrompez-vous. Voyez si vous pouvez localiser et corriger une injection en COBOL dès maintenant.
Il semble presque comique qu'en 2019, nous parlions de travailler avec un langage informatique qui a été inventé en 1959. Il n'y a plus beaucoup de séminaires ou de conventions consacrés à l'art de réenfiler les machines à coudre Singer classiques, ou de remplacer le carter d'huile d'une Chevrolet Parkwood ou d'une Triumph Herald. La plupart de ces outils vieillissants ont depuis longtemps été mis au rancart et remplacés par de nouveaux modèles plus efficaces. Pourtant, ici, au pays de la technologie, qui est censé être à la pointe par rapport à d'autres industries, nous travaillons encore avec des langages comme le COBOL, qui a été publié à peu près à la même époque.
Il y a bien sûr de très bonnes raisons à cela. Le langage COBOL (Common Business Oriented Language) a peut-être 60 ans, mais il a été si bien conçu qu'il est encore pertinent et largement utilisé aujourd'hui.
COBOL a été créé comme un moyen relativement simple, utilisant un langage simple groupé en phrases et syntaxe spécifiques, pour programmer des systèmes dorsaux afin d'effectuer des tâches mathématiques et de formuler des formules. Pourquoi ce langage perdure-t-il aujourd'hui ? Tout simplement parce qu'il fait très bien son travail. D'une certaine manière, il est devenu un élément de la structure informatique de nombreux systèmes centraux dans des secteurs aussi divers que le secteur financier et l'industrie manufacturière.
Le COBOL a fait l'objet de mises à jour progressives au fil des ans, notamment en 2002 lorsqu'il a été transformé en langage orienté objet afin de rendre la programmation de nouvelles applications un peu plus fluide. Mais pour l'essentiel, le COBOL reste aujourd'hui ce qu'il était à l'époque : un héros méconnu et un langage de programmation qui fonctionne en arrière-plan pour étayer de nombreuses applications modernes au niveau de l'ordinateur central.
Quel est le degré de sécurité du COBOL ?
Malheureusement, il n'y avait pas beaucoup de considérations en matière de sécurité lorsque le COBOL a été créé. Par exemple, de nombreuses applications COBOL sont protégées par un programme de mot de passe, mais elles ne sont presque jamais protégées contre des éléments tels que la protection par force brute pour empêcher le craquage. Ajoutez à cela le fait que de nombreux outils de sécurité modernes qui surveillent le trafic réseau ne savent pas comment traiter ou évaluer les fonctions qui se produisent dans les programmes écrits dans des langages commerciaux comme le COBOL, et vous avez un vrai problème qui ne demande qu'à se produire. Un grand nombre de brèches modernes ont été réussies en raison d'un manque de surveillance de la sécurité des systèmes fonctionnant avec des langages informatiques classiques. En 2015, les données de plus de quatre millions d'employés fédéraux américains ont été exposées lorsque l'Office of Personnel Management (OPM) a été piraté, la faute à l'utilisation de COBOL, citant l'incapacité de mettre en œuvre des mesures de sécurité modernes sur un système aussi archaïque.
Il y a quelques années, la sécurité était assurée par une armée de programmeurs qui connaissaient le COBOL et d'autres langages en vogue à l'époque. Dans les années 1960, le COBOL était comme le Java ou le .Net d'aujourd'hui, et ceux qui le connaissaient étaient les vedettes de leur département. En 2019, ces personnes sont probablement à la retraite depuis longtemps, même si les systèmes qu'elles protégeaient ne le sont pas.
Extension des premières lignes de défense de COBOL
Un grand nombre de ces "barbes grises" ont été réintégrées dans leur organisation en tant que sous-traitants pour défendre les mêmes ordinateurs centraux que ceux sur lesquels ils travaillaient auparavant. Dans plus d'un endroit, ils constituaient une sorte d'anomalie : une cabale secrète de sorciers vieillissants dans un coin reculé du bureau, leurs vêtements étranges (cravates larges et costumes trois pièces) et leurs manières étrangement polies ne cadrant pas tout à fait avec tous les hipsters modernes arborant des jeans moulants et des chignons d'homme. Pourtant, ils étaient absolument nécessaires, car peu de programmeurs modernes utilisent le COBOL et d'autres langages anciens. Malheureusement, même ces dernières sentinelles de l'informatique sont en train de disparaître, de rendre l'âme, de déménager à Boca Raton et de profiter d'une véritable retraite.
C'est pourquoi il existe un besoin urgent de personnes qui comprennent les anciens langages et les failles de sécurité qu'ils contiennent. Même si les jeunes ne savent pas comment écrire du code dans les langages classiques, ils devraient au moins comprendre comment ils fonctionnent et quelles sont leurs vulnérabilités potentielles. En effet, si le développement du COBOL est resté relativement statique, les menaces qui pèsent sur les réseaux n'ont cessé d'évoluer. Essayer d'utiliser d'anciennes techniques de cybersécurité programmées il y a soixante ans, comme l'application de mot de passe COBOL susmentionnée, pour défendre un ordinateur central contre des attaquants modernes revient à déployer une phalange de lanciers pour combattre un peloton de marines de l'espace - à moins d'un miracle hollywoodien, cela se terminera mal pour les gars avec les lances.
Qu'il soit ancien ou nouveau, il doit également être sécurisé.
C'est pourquoi nous croyons en l'importance d'un système de formation avancée qui couvre une large gamme de langages de programmation et de cadres. Vous voyez, l'un des problèmes flagrants avec beaucoup d'options de formation en sécurité est que l'information est tout simplement trop générique, ou pire - complètement hors de propos dans le travail quotidien du développeur qui y participe. Passer une demi-journée à apprendre les vulnérabilités qui ne s'appliquent qu'à Java ne va pas aider un développeur COBOL à renforcer son système, et cela ne fait que perpétuer l'idée que la "sécurité" est un exercice à cocher et à oublier une fois que le cours obligatoire a été suivi. J'ajouterais que former quelqu'un aux bogues de sécurité Java n'est pas toujours applicable à un développeur Java Spring. Le codage sécurisé est tout simplement différent dans chaque langage, même au niveau du framework.
Dans le cadre de notre mission visant à permettre à tous les développeurs de devenir des super-héros de la sécurité, nous ne négligerons pas un langage informatique valide qui est toujours utilisé dans certaines des installations les plus ciblées et les plus critiques au monde. En explorant notre plateforme, vous trouverez des défis et des formations modernes et pratiques relatifs au COBOL, ainsi que certains des outils de programmation les plus modernes disponibles aujourd'hui, tels que Googles Golang. Cette flexibilité garantit que la formation est pertinente pour un individu et contextuelle, imitant son environnement de travail pour un engagement et une efficacité maximum. Après tout, l'instauration d'une solide culture de la sécurité est primordiale dans la lutte contre les cybermenaces, c'est pourquoi la formation doit être pratique (et amusante, bien sûr !).
Nous voulons que notre secteur atteigne le stade où il importe peu que les menaces de sécurité pèsent sur des systèmes utilisant des langages anciens ou sur les applications de mobilité les plus modernes. Nous voulons que chaque développeur soit armé des meilleures informations sur ces vulnérabilités, sur les outils et les techniques utilisés par les attaquants pour les exploiter et sur la manière de les arrêter à froid. Nous ne nous rendrons jamais et nous ne faiblirons jamais face aux menaces de cybersécurité. Quelle que soit la modernité ou l'ancienneté des menaces ou des vulnérabilités, vous pouvez toujours vous adresser à Secure Code Warrior pour apprendre à les déjouer, à chaque fois.
PS : Vous pensez qu'une langue ancienne échappe à la vulnérabilité aux injections SQL ? Détrompez-vous. Voyez si vous pouvez localiser et corriger une injection en COBOL dès maintenant.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationDirecteur général, président et cofondateur
Pieter Danhieux est un expert en sécurité mondialement reconnu, avec plus de 12 ans d'expérience en tant que consultant en sécurité et 8 ans en tant qu'instructeur principal pour SANS, enseignant des techniques offensives sur la façon de cibler et d'évaluer les organisations, les systèmes et les individus pour les faiblesses de sécurité. En 2016, il a été reconnu comme l'une des personnes les plus cool d'Australie dans le domaine de la technologie (Business Insider), a reçu le prix du professionnel de la cybersécurité de l'année (AISA - Australian Information Security Association) et détient les certifications GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Il semble presque comique qu'en 2019, nous parlions de travailler avec un langage informatique qui a été inventé en 1959. Il n'y a plus beaucoup de séminaires ou de conventions consacrés à l'art de réenfiler les machines à coudre Singer classiques, ou de remplacer le carter d'huile d'une Chevrolet Parkwood ou d'une Triumph Herald. La plupart de ces outils vieillissants ont depuis longtemps été mis au rancart et remplacés par de nouveaux modèles plus efficaces. Pourtant, ici, au pays de la technologie, qui est censé être à la pointe par rapport à d'autres industries, nous travaillons encore avec des langages comme le COBOL, qui a été publié à peu près à la même époque.
Il y a bien sûr de très bonnes raisons à cela. Le langage COBOL (Common Business Oriented Language) a peut-être 60 ans, mais il a été si bien conçu qu'il est encore pertinent et largement utilisé aujourd'hui.
COBOL a été créé comme un moyen relativement simple, utilisant un langage simple groupé en phrases et syntaxe spécifiques, pour programmer des systèmes dorsaux afin d'effectuer des tâches mathématiques et de formuler des formules. Pourquoi ce langage perdure-t-il aujourd'hui ? Tout simplement parce qu'il fait très bien son travail. D'une certaine manière, il est devenu un élément de la structure informatique de nombreux systèmes centraux dans des secteurs aussi divers que le secteur financier et l'industrie manufacturière.
Le COBOL a fait l'objet de mises à jour progressives au fil des ans, notamment en 2002 lorsqu'il a été transformé en langage orienté objet afin de rendre la programmation de nouvelles applications un peu plus fluide. Mais pour l'essentiel, le COBOL reste aujourd'hui ce qu'il était à l'époque : un héros méconnu et un langage de programmation qui fonctionne en arrière-plan pour étayer de nombreuses applications modernes au niveau de l'ordinateur central.
Quel est le degré de sécurité du COBOL ?
Malheureusement, il n'y avait pas beaucoup de considérations en matière de sécurité lorsque le COBOL a été créé. Par exemple, de nombreuses applications COBOL sont protégées par un programme de mot de passe, mais elles ne sont presque jamais protégées contre des éléments tels que la protection par force brute pour empêcher le craquage. Ajoutez à cela le fait que de nombreux outils de sécurité modernes qui surveillent le trafic réseau ne savent pas comment traiter ou évaluer les fonctions qui se produisent dans les programmes écrits dans des langages commerciaux comme le COBOL, et vous avez un vrai problème qui ne demande qu'à se produire. Un grand nombre de brèches modernes ont été réussies en raison d'un manque de surveillance de la sécurité des systèmes fonctionnant avec des langages informatiques classiques. En 2015, les données de plus de quatre millions d'employés fédéraux américains ont été exposées lorsque l'Office of Personnel Management (OPM) a été piraté, la faute à l'utilisation de COBOL, citant l'incapacité de mettre en œuvre des mesures de sécurité modernes sur un système aussi archaïque.
Il y a quelques années, la sécurité était assurée par une armée de programmeurs qui connaissaient le COBOL et d'autres langages en vogue à l'époque. Dans les années 1960, le COBOL était comme le Java ou le .Net d'aujourd'hui, et ceux qui le connaissaient étaient les vedettes de leur département. En 2019, ces personnes sont probablement à la retraite depuis longtemps, même si les systèmes qu'elles protégeaient ne le sont pas.
Extension des premières lignes de défense de COBOL
Un grand nombre de ces "barbes grises" ont été réintégrées dans leur organisation en tant que sous-traitants pour défendre les mêmes ordinateurs centraux que ceux sur lesquels ils travaillaient auparavant. Dans plus d'un endroit, ils constituaient une sorte d'anomalie : une cabale secrète de sorciers vieillissants dans un coin reculé du bureau, leurs vêtements étranges (cravates larges et costumes trois pièces) et leurs manières étrangement polies ne cadrant pas tout à fait avec tous les hipsters modernes arborant des jeans moulants et des chignons d'homme. Pourtant, ils étaient absolument nécessaires, car peu de programmeurs modernes utilisent le COBOL et d'autres langages anciens. Malheureusement, même ces dernières sentinelles de l'informatique sont en train de disparaître, de rendre l'âme, de déménager à Boca Raton et de profiter d'une véritable retraite.
C'est pourquoi il existe un besoin urgent de personnes qui comprennent les anciens langages et les failles de sécurité qu'ils contiennent. Même si les jeunes ne savent pas comment écrire du code dans les langages classiques, ils devraient au moins comprendre comment ils fonctionnent et quelles sont leurs vulnérabilités potentielles. En effet, si le développement du COBOL est resté relativement statique, les menaces qui pèsent sur les réseaux n'ont cessé d'évoluer. Essayer d'utiliser d'anciennes techniques de cybersécurité programmées il y a soixante ans, comme l'application de mot de passe COBOL susmentionnée, pour défendre un ordinateur central contre des attaquants modernes revient à déployer une phalange de lanciers pour combattre un peloton de marines de l'espace - à moins d'un miracle hollywoodien, cela se terminera mal pour les gars avec les lances.
Qu'il soit ancien ou nouveau, il doit également être sécurisé.
C'est pourquoi nous croyons en l'importance d'un système de formation avancée qui couvre une large gamme de langages de programmation et de cadres. Vous voyez, l'un des problèmes flagrants avec beaucoup d'options de formation en sécurité est que l'information est tout simplement trop générique, ou pire - complètement hors de propos dans le travail quotidien du développeur qui y participe. Passer une demi-journée à apprendre les vulnérabilités qui ne s'appliquent qu'à Java ne va pas aider un développeur COBOL à renforcer son système, et cela ne fait que perpétuer l'idée que la "sécurité" est un exercice à cocher et à oublier une fois que le cours obligatoire a été suivi. J'ajouterais que former quelqu'un aux bogues de sécurité Java n'est pas toujours applicable à un développeur Java Spring. Le codage sécurisé est tout simplement différent dans chaque langage, même au niveau du framework.
Dans le cadre de notre mission visant à permettre à tous les développeurs de devenir des super-héros de la sécurité, nous ne négligerons pas un langage informatique valide qui est toujours utilisé dans certaines des installations les plus ciblées et les plus critiques au monde. En explorant notre plateforme, vous trouverez des défis et des formations modernes et pratiques relatifs au COBOL, ainsi que certains des outils de programmation les plus modernes disponibles aujourd'hui, tels que Googles Golang. Cette flexibilité garantit que la formation est pertinente pour un individu et contextuelle, imitant son environnement de travail pour un engagement et une efficacité maximum. Après tout, l'instauration d'une solide culture de la sécurité est primordiale dans la lutte contre les cybermenaces, c'est pourquoi la formation doit être pratique (et amusante, bien sûr !).
Nous voulons que notre secteur atteigne le stade où il importe peu que les menaces de sécurité pèsent sur des systèmes utilisant des langages anciens ou sur les applications de mobilité les plus modernes. Nous voulons que chaque développeur soit armé des meilleures informations sur ces vulnérabilités, sur les outils et les techniques utilisés par les attaquants pour les exploiter et sur la manière de les arrêter à froid. Nous ne nous rendrons jamais et nous ne faiblirons jamais face aux menaces de cybersécurité. Quelle que soit la modernité ou l'ancienneté des menaces ou des vulnérabilités, vous pouvez toujours vous adresser à Secure Code Warrior pour apprendre à les déjouer, à chaque fois.
PS : Vous pensez qu'une langue ancienne échappe à la vulnérabilité aux injections SQL ? Détrompez-vous. Voyez si vous pouvez localiser et corriger une injection en COBOL dès maintenant.
Table des matières
Directeur général, président et cofondateur
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.
Plongée en profondeur : Naviguer dans la vulnérabilité critique de CUPS dans les systèmes GNU-Linux
Découvrez les derniers défis de sécurité auxquels sont confrontés les utilisateurs de Linux en explorant les récentes vulnérabilités de haute sévérité dans le système d'impression commun d'UNIX (CUPS). Apprenez comment ces problèmes peuvent conduire à une potentielle exécution de code à distance (RCE) et ce que vous pouvez faire pour protéger vos systèmes.