處理敏感數據的大型主機，其實并不安全

大型計算機主機存在的時間已久，早在20世紀60年代時，許多航空公司、銀行和政府都開始使用它們來處理敏感事務，至今這些政府、企業和機構仍在使用性能不斷提升的大型主機。但事實證明，這些大型機械也擁有和現代社交達人一樣的“病癥”：在互聯網上"過度分享"信息。

安全研究員 Phil Young 表示，他已經發現互聯網上大約有400臺大型主機，會給那些能夠連接上它的人提供了相應的登錄界面。在拉斯維加斯舉辦的 Security BSides 安全大會現場，他講述了如何發現這些分屬美國農業部、國家衛生研究院、埃及航空公司，以及許多大學的管理系統的大型主機。他利用軟件將所發現的大型主機登錄界面的截圖，上傳到了個人博客中，感興趣的讀者可以去看看（跳轉）。

Young 通過其開發的軟件，掃描了互聯網上易受攻擊的軟件和設備，從而發現了這些大型主機。他表示這些發現需要引起人們的關注，因為在過去的50年時間里，雖然大型主機在許多方面都有了顯著進步，但是系統缺乏必要的高級安全功能，導致不法分子能夠在互聯網上自由訪問。

大型主機處理的數據十分重要，如銀行交易和個人數據，不過人們對此卻有安全性上的錯覺。多年來我們一直被告知大型主機是足夠安全的，但實際上并非如此，只是沒有人像關心個人電腦、手機或網站一樣關心大型主機罷了。這意味著大型主機很可能已經被突破，并竊取了相關信息。

對企業而言，保持軟件安全的最佳做法是公開披露自己產品中新發現的漏洞，并發布軟件補丁，就像微軟對 Windows 所做的那樣。這使 IT 人員可以保持許多產品處于最新的狀態。

IBM 在其大型主機的軟件上并沒有采用這種模式，而它又占據著市場主導地位。IBM 對大型主機軟件中的安全漏洞閉口不談，只會私下接觸用戶并讓它們打補丁，而且不會說究竟為什么。IBM一直稱，自己的大型主機具有獨特的加密技術，是世界上最安全的計算機系統。

Young 表示：“這種平臺的安全性沒有得到很好的管理，而且企業和政府都在使用他們的東西，安全性真正關系到我們所有的人，這是一個需要改善的盲區?！?/span>

在2014年，瑞典的文件共享服務海盜灣的創始人，因為訪問了屬于 IT 承包商和包含丹麥政府數據的大型主機而被判有罪，數據中包括了身份證號碼和刑事記錄。

本周晚些時候，在 DEF CON 黑客大會上，Young 和其合作者 Chad Rikansrud 將介紹幾種開源工具來幫助安全研究人員探測大型主機軟件可能會被利用的安全漏洞。他們希望能引發一波大型主機的仔細檢查浪潮。

via technologyreview

雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。