Re: as400 + WIN2000

> Nonostante questo il cliente, piu' per motivi burocratici, sembra 
> deciso a proseguire verso questa strada, e il commerciale IBM ha 
> decantato le doti di AS400 in termini di sicurezza.

La sicurezza del server web e degli altri servizi erogati dal
sottosistema win200 sara' quella di IIS e non dell'AS/400. In
compenso potrebbero esserci complicazioni (che al momento non
saprei stimare) per cui la sicurezza del sistema complessivo,
AS+WIN, potrebbe essere inferiore a quella dei due sistemi da
soli. Una, ad esempio, e' che se le due macchine condividono
lo stesso MAC address ethernet (non so se sia cosi'), dal win
sarebbe facile vedere tutto il traffico diretto all'AS senza 
dover azzardare giochetti strani a livello ARP.

> pretto che di AS400 non so quasi nulla,
> esiste uno storico degli attacchi a questi sistemi, con quali 
> modalita'.

Quali sistemi? Gli attacchi di cui dovresti preoccuparti sono
quelli a IIS e a windows 2000 e la casistica e' ampia, direi.
Per quanto riguarda AS, mi son spesso chiesto se la decantata
sicurezza sia intrinseca del prodotto o se sia piu' che altro
dovuta alla scarsa "ricerca" su questo sistema operativo. Non
ho info.

> Esistono tool che una volta installate sulla macchina windows
> consentono di leggere partizioni AS400.

Gli AS recenti (almeno dalla V4R3) hanno netserver, un server
SMB che consente la condivisione delle proprie risorse con le
macchine che implementano questo protocollo su NBT, compresi,
quindi, samba e tutte le versioni di windows da 3.11 in poi.

Se quel che ti serve e' leggere dalla rete, puoi fare cosi'.

Se, invece, ti riferisci a un tool da usare dal windows che hai
installato nella partizione dell'AS per vedere le partizioni del
sistema ospite... non lo so, ma direi che non e' solo quello il
problema: chi entrasse nel windows verosimilmente sarebbe in LAN,
e il piu' sarebbe ormai fatto. Basta che usiate il client access
in chiaro, per esempio, per permettergli di catturare le password
ed accedere all'AS/400 via TCP/IP.

Fabio

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List