servernews - 195 (junio/julio 2009)

http://www.help400.com/asp/scripts/link.asp?name=19501

JUNIO-JULIO 2009 ServerNEWS 3

editorial

Suscripción: Anual (10 númerosal año, no en Julio y Agosto).España: 96 euros (IVA incluido).Se distribuye a final de mes.

© Publicaciones HELP400, S.L.Se prohibe la reproducción total o parcialde los artículos aparecidos en estenúmero sin la autorización expresa porescrito de la empresa editora, titular delCopyright. Todos los derechos reservadosen cualquier idioma.ServerNEWS es una publicaciónindependiente de grupos de usuarios y/ode distribuidores de marcas. De las ideasexpuestas en los artículos firmados sonresponsables sus autores. Corresponde allector el asegurar que las noticias,técnicas y procedimientos descritos sonadecuados para su instalación.Publicaciones HELP400 S.L. noasume ninguna garantía ni implícita niexplicitamente.Tirada: 4.000 ejemplares. La empresaeditora no se responsabiliza de laasiduidad en la distribución gratuita a lasempresas españolas equipadas conSystem i, iSeries o AS/400.

IBM y AS/400 son marcas registradaspor International Business Machines.

Imagen de portada: Mike Friehauf

Antonio Montí[email protected]

A

Protección dedatos

ctualmente, cuando se habla de las tecnologías de la informaciónse tiende a hablar de nuevos dispositivos de hardware, de nue-vas aplicaciones, de avances metodológicos para elaborar una in-formación más consistente aplicando tal o cual lenguaje o herra-

mienta, etcetera. Sin embargo se suele pasar por alto o se tiene muy asumidala base que hace posible la existencia de esos recursos. Esta base es la propiainformación contenida en los datos que procesan esos sistemas informáticos;sin duda, uno de los principales activos de cualquier empresa u organizaciónporque esta información se puede transformar en conocimiento y facilitar latoma de decisiones, es decir, dinero.

En el momento que se habla de dinero es cuando la información adquiereprotagonismo. La información es susceptible de ser perdida, deteriorada, re-velada o incluso robada. De ahí surge la legislación que protege los datos decaracter personal para garantizar los derechos fundamentales de las perso-nas; o para regular la veracidad de los datos económicos y establecer las me-didas de seguridad que se han de adoptar para preservar esa informaciónsegún su relevancia. Y de ahí, también, los Temas de portada de este número.

Debido a la naturaleza inherentemente segura de IBM i, muchas instala-ciones confían en los valores predeterminados del sistema para “proteger” losdatos de la empresa. Sin embargo, como veremos en el artículo “Protección dedatos de DB2: opciones y fundamentos”, los valores por defecto son realmenteinsuficientes. Para obtener la mejor seguridad se requieren cuidados regula-res y diligentes, estableciendo una adecuada política de perfiles y autorizacio-nes a diferentes niveles que protejan los recursos de la información. Un artí-culo largo pero esclarecedor cuyo artículo complementario nos permite saberqué pasos debemos seguir para salvar y recuperar con éxito la información deseguridad establecida para salvaguardar nuestros datos.

La continua evolución de las tecnologías de la información sin duda favore-ce el desarrollo económico y la eficacia administrativa, pero también facilitailimitadas posibilidades para recoger datos, tratarlos, conservarlos y trans-mitirlos... Desde la Redacción, y esperando que este número les ayude a de-terminar las funciones, niveles de acceso y responsabilidades para protejerlos datos de sus aplicaciones, les deseamos felices vacaciones.

mailto:[email protected]

4 ServerNEWS JUNIO-JULIO 2009

ANTES HELP400, LA REVISTA PARA EL PROFESIONAL DE LOS S/3X Y AS/400

equipo editorial

Director: Antonio MontíaRedacción: Carlos Bell, Alberto C. Blanch,Equipo internacional de iSeries NEWSColaboradores habituales: Jaime GustavoEstany, José Mª Martín, Lluís PeiretTraducciones: Pere J. Francisco Brumós

producción

Realización: Media Limits S.L.Impresión: Resmacrom S.L.Distribución: Unipost S.A.

administración

Suscripciones : Nuria NavarroPublicidad: Tel. 34- 932 310 049

Fax: 34-932 310 309Servicio HelpNet: www.help400.es

edita

PUBLICACIONES

Deposito legal: B-2757-90I.S.S.N. 1698-4501APTDO. DE CORREOS 8003 - 08080 BarcelonaGran Vía Corts Catalanes, 715, Entlo. 3ª08013 - BarcelonaTel.: 932 310 049E-mail: [email protected]

Director General: Alberto C. Blanch Llangostera

Publicado con la participación de

- iSeries NEWS www.pentontech.com

Group Publisher/Editor: Wayne MaddenGroup Editorial Director: Dale Agger

Penton Technology MediaDarrell C. Denny, President

Penton Media, Inc.David Nussbaum, Chief Executive Officer

LATINOAMERICA

distribuidores

Belice, El Salvador, Guatemala y HondurasVIACOMP6ª Avenida. "A" 2-83 Zona 10Ciudad de Guatemala, GUATEMALA 01010Telf. 502-360-0358 y 360-0350Fax 502-332-33694email: [email protected]

PerúCOMMON PERUBajada Balta 131, Of. 10, 2º PisoMiraflores Lima 18, PERUTelf. y Fax: 46 31 32

ParaguayANGEL LIERNUR E HIJOP.O. BOX 2448ASUNCION - [email protected]: [email protected]

sumario

en portada

10Protección de datos de DB2:opciones y fundamentospor Terry Ford y Kent MilliganEn seguridad, los valores predeterminados del sis-tema IBM i no son suficientes. Este artículo leayudará a determinar y delimitar las funciones,perfiles, niveles de accesos y responsabilidades queatañen a todos aquellos que tratan con sus basesde datos.

20Asegúrese de poder recuperar lainformación de seguridadpor Carol WoodburyEl objetivo de este artículo es garantizarle quepuede recuperar la información de seguridad, peropara que la recuperación tenga éxito, primero hayque salvar los datos adecuados.

opinión

8Manifiesto por el IBM i, un ejemplo a seguirpor Alberto C. BlanchEn el artículo “Seamos i-vangelistas del entorno AS/400”(Num.186) nos decíamos: Si IBM no proclama las virtudes de suIBM i es de suponer que es porque espera que lo hagamos noso-tros... En Japón, y al margen de sus rivalidades, 71 ISV’s y BP’sde IBM así lo han entendido y han pasado a la acción.

http://www.help400.es


http://www.pentontech.com


http://www.viacomp.net




www.help400.es


SECCIONESHABITUALES

33333 Editorial66666 Novedades

3232323232 Guia3434343434 Confidencial

forum.help400Forum.help400 es una lista de correospuesta a disposición de los lectores deServerNEWS en la que cada día, entre to-dos los participantes, se solucionan nume-rosos problemas. Hallará más informaciónen http://www.help400.es/forum.htm

ServerNews edición digital

Nº 195 JUNIO-JULIO 2009

programación y sistemas

24Utilice C# para consumir servicios webpor Craig PelkiePuede utilizar Visual Studio 2008 y Microsoft .NET Framework paradesarrollar y probar en muy poco tiempo una aplicación consumido-ra de servicios web, es decir, un programa que se ponga en contactocon un servicio web existente y que funcione con sus datos.

en directo

28Encuentros Power Systems 2009por Alberto C. BlanchEl pasado mes de Mayo, y después de una pausa de varios años, Soft-ware Greenhouse en colaboración con Common España organizó la3ª Edición de sus “Encuentros”. Por primera vez se convocaban con-juntamente usuarios de las plataformas “i” y “p”.

trucos y técnicas

30Llamar a un procedimiento con RPG de formato librepor Scott KlementCuando se presentó el formato libre, IBM dejó de dar soporte a loscódigos de operación CALL y CALLB, ya que los prototipos eran unaopción mucho mejor. Sepa como utilizarlos.

31Descarga rápida de todos los miembros fuente en un PCpor Scott KlementPara ello el autor propone dos formas fáciles de hacerlo. Para unahay que utilizar WDSc y para la otra FTP.

1IBM Systems Director Navigator para iPor Greg HintermeisterCon el “Systems Director Navigator para i” IBM proporciona a losusuarios una herramienta basada en web intuitiva, rápida y ro-busta para gestionar el sistema operativo IBM i. Si todavía no loconoce, éste es un buen momento para hacerlo.

9Restringir la informática móvilPor Erwin EarleyPocas organizaciones se toman en serio la seguridad de sus recur-sos informáticos móviles. Sin embargo, éstos cada vez son máscomunes y más frecuentes los incidentes. Su lectura es obligada yun buen complemento a los artículos de portada de este número.

http://www.help400.es

http://www.help400.es/forum.htm


novedades■■■■■ Los distribuidoreseuropeos de ASNA seagrupan en una solaempresa

Tenemos el placer de comunicar-les que desde el 1 de Junio de2009 ASNA Limited y la totali-dad de sus distribuidores en Eu-ropa hemos unido nuestras orga-nizaciones y hemos creado ASNAInternational.

Con esta nueva organización,ASNA Internacional ofrece a losclientes actuales y al mercado engeneral una mejora y una mayoreficacia en la coordinación delconjunto de sus servicios.

Carlos Valero, hasta la fechalíder de la organización en Espa-ña, Cacovai, dirige a partir deeste momento la totalidad de laorganización en Europa con elsoporte de Anne Fergusson en elárea de influencia inglesa (UK,Irlanda, Escandinavia, Islandia yPaíses Bajos), Francesco Dugardirector para las operaciones enItalia y Christian Niessl comoresponsable de los mercados deAlemania y Centro Europa.

Carlos Valero incorpora suamplia experiencia en la tecno-logía ASNA y en la modernizacióny migración de sistemas iSeriesy AS/400, y sus conocimientos enel mundo de la tecnología y de lasorganizaciones empresariales deuna amplia gama de sectores.

Tim Janssen, hasta ahora Di-rector Técnico de ASNA Limited,toma en la nueva organización laresponsabilidad de los equipostécnicos y de las áreas de servi-cio al cliente y formación. Por su-puesto, Sandra Brind seguirácomo responsable de operaciones.

ASNA Internacional incorporaen su estrategia el impulso de lacomunicación con las direccionestécnicas de sus clientes y tieneprevisto un plan de reuniones porpaíses que faciliten el conoci-miento de novedades y la parti-cipación de los clientes en laimplementación de las solucionesASNA, para la Modernización, In-novación y un óptimo aprovecha-miento de las herramientasASNA tan extendidas en el mer-cado.

Para más información,Telf.: 902.365.787

L

Los IBM Power Systems gestionan lasrecetas electrónicas de toda Extremadura

a Consejería de Sanidad y Dependencia de la Junta de Extremadura, a través del Ser-vicio Extremeño de Salud, ha finalizado la implantación de la receta electrónica en las

680 farmacias de Extremadura, tras 9 meses de trabajo conjunto con los Colegios de Farma-céuticos de la Región y con la empresa IBM. Actualmente, todos los centros de salud yfarmacias extremeños están informatizados y habilitados para prescribir y dispensar medi-camentos a través de la receta electrónica.

En este proyecto, IBM ha participado como socio tecnológico, proporcionando servicios deconsultoría e integración de sistemas, así como la plataforma tecnológica necesaria paraacometer la implantación. La plataforma tecnológica se compone principalmente de soft-ware de aplicaciones WebSphere y Sistemas Power, servidores de gama alta caracterizadospor su robustez, potencia de proceso y capacidades de virtualización.

Gracias a la apuesta de la Junta de Extremadura, de los Colegios de Farmacéuticos de laRegión e IBM por el uso de los estándares sanitarios, el sistema extremeño de receta elec-trónica ha podido diseñarse para que pueda conectarse con los sistemas de otras Comuni-dades Autónomas. El funcionamiento de la receta electrónica es sencillo y ofrece ventajastanto al médico como al paciente y oficinas de farmacia. Se procede de la siguiente manera:

1. El médico accede a JARA, el sistema de información de gestión sanitaria del ServicioExtremeño de Salud donde se aloja el historial clínico electrónico del paciente y cuyaimplantación también ha sido realizada por IBM.

2. JARA proporciona herramientas de ayuda a la prescripción y permite que el médicoprescriba un tratamiento de hasta un año de duración. Este tratamiento queda registra-do en el sistema, actualizándose el historial clínico electrónico del paciente.

3. Como ayuda al paciente, el médico le entrega un documento con los medicamentos pres-critos y la pauta que el paciente debe seguir. Este impreso cuenta con un código de barraso “marca de identidad” de ese tratamiento concreto para ese paciente.

4. En la oficina de farmacia, el farmacéutico visualiza en su ordenador, gracias a un lectorde código de barras, el tratamiento prescrito en el impreso. El farmacéutico sólo puedeacceder a ese tratamiento en concreto, garantizándose la confidencialidad de la informa-ción sobre el paciente.

Cada vez que el paciente necesite su medicamento, no tiene que volver al centro desalud a por nuevas recetas, ya que con su tarjeta sanitaria y ese documento con la marcade identidad, el farmacéutico podrá acceder al sistema de receta electrónica y dispensarlelo que indicó el médico, lo que ahorrará tiempo y desplazamientos innecesarios.

5. El farmacéutico anota en el sistema la entrega del medicamento. Esta información quedareflejada en el historial electrónico del paciente, de tal manera que el médico puede com-probar que el medicamento le ha sido dispensado.

6. El paciente puede consultar sus dudas al farmacéutico, las cuales quedan registradas enel sistema, que las enviará al médico que lleva a ese paciente en concreto.

La receta electrónica tiene ventajas para toda la sociedad. En primer lugar, proporcionauna mayor seguridad al ciudadano sobre su salud, ya que facilita el seguimiento y controlde los tratamientos. También mejora la calidad asistencial, ya que los médicos tienen mástiempo (hasta un 30%) para atender a los pacientes.

Además, los pacientes ahorran tiempo en desplazamientos y, por otro lado, la atenciónsigue siendo constante, porque pueden consultar cualquier duda al farmacéutico que estáen contacto directo con los profesionales de la salud a través del sistema informático. Tam-bién es beneficioso para los farmacéuticos, que eliminan burocracia y su función como agen-te sanitario adquiere más protagonismo.

Para más información, http://www.ibm.com/es/press

http://www.ibm.com/es/press


Si como proveedor posee alguna novedad relacionada con el entorno System i - iSeries -AS/400 de IBM, recuerde que en esta sección dispone de un espacio gratuito para darla aconocer a todos nuestros lectores.Puede enviar sus notas de prensa a Ser verNEWS mediante correo electrónico([email protected]), o bien a Gran Vía Corts Catalanes, 715, Entlo 3ª 08013 -Barcelona. Para la inclusión de fotografías o logos, agradeceríamos que las remitieran enformato electrónico.

■■■■■ Actualización de IBMAIX para prevenirvulnerabilidades enOpenSSL

IBM ha publicado una actualiza-ción para OpenSSL incluido enAIX, para corregir tres vulnera-bilidades que podrían ser explo-tadas por usuarios maliciososevitando restricciones de seguri-dad o provocando denegacionesde servicio. Esta era una soluciónmuy esperada debido a la impor-tancia que tienen las solucionesbasadas en SSL para la confiden-cialidad en general y comercioelectrónico en particular.

El primero de los problemascorregidos reside en la función"CMS_verify" de OpenSSL debi-do a que no maneja correctamen-te las condiciones de error al pro-cesar una estructura CMS noválida. Esto podría ser aprove-chado por un atacante remotopara evadir restricciones de se-guridad haciendo pasar por váli-do un certificado no válido.

También se ha corregido la fun-ción "ASN1_STRING_print_ex"de OpenSSL que no filtraba co-rrectamente la longitud de codi-ficación de las estructuras dedatos "BMPString" y "Univer-salString". Esto podría ser apro-vechado para causar una dene-gación de servicio.

Por último, se ha corregido unerror al procesar estructuras dedatos del tipo ASN.1 que podríaprovocar un acceso a memoria noválida. Esto permitiría a un ata-cante remoto causar una denega-ción de servicio a través de datosque contengan la estructura deltipo ASN.1 especialmente mani-pulada.

Son vulnerables todas las ver-siones de OpenSSL anteriores ala 0.9.8.803 en AIX 6.1, AIX 5.3y AIX 5.2.

Hallará más información en:http://aix.software.ibm.

com/aix/efixes/security/ssl_advisory.asc

■■■■■ Indra y Cisco se alíanpara el desarrollo denuevas tecnologías enseguridad y defensa

Indra, la multinacional de TInúmero 1 en España y una de lasprincipales de Europa, ha anun-ciado hoy la firma de un acuerdointernacional con Cisco para co-laborar en la investigación y eldesarrollo de nuevas tecnologíasy soluciones para las industriasde la defensa y la seguridad.

El “Memorándum de Entendi-miento” fue firmado por el Con-sejero Delegado de Indra, ReginoMoranchel, y el presidente deCisco para Europa, ChrisDedicoat, informó la compañíatecnológica.

El acuerdo permitirá a las doscompañías reforzar sus posicio-nes en mercados con un alto po-tencial de crecimiento en lospróximos años y se centrará ini-cialmente en tecnologías como la

■■■■■ Saytel recibe el IBMBusiness Partner Awardpor séptimo añoconsecutivo

Saytel, compañía del grupoSeidor especializada en solucio-nes de Infraestructuras de Siste-mas y de Negocio basadas en tec-nología IBM, ha sido distinguidapor séptimo año consecutivo conel premio IBM Business Partnerque IBM concede a sus socios denegocio, por su contribución a losresultados de la división de Sis-temas y Tecnología (STG) y su de-dicación e implicación en negocioscomplejos.

El galardón, cuya entrega tuvolugar en la XIII Conferencia Na-cional de BP’s, fue recibido porAntonio Sales, Director Generalde Saytel, de manos de Juan An-tonio Zufiria, Presidente de IBMpara España, Portugal Grecia eIsrael.

La concesión ha sido posiblegracias a los proyectos acometi-dos por Saytel en las áreas deConsolidación, Virtualización,Alta Disponibilidad, Integracióncon SAP y Mantenimiento deInfraestructuras IT. También hanjugado un papel decisivo las so-luciones de negocio de GestiónDocumental y BPM, integradasen un mismo escritorio a travésde soluciones de colaboración yportales empresariales.

En estos momentos de incerti-dumbre económica “La distinciónde IBM tiene para nosotros ungran valor en estos momentos ynos anima a seguir trabajando,buscando la máxima calidad y laexcelencia para nuestros clientes.Agradecemos la confianza depo-sitada por todos nuestros clientesy colaboradores en el último añoy nos comprometemos a seguirtrabajando en el camino de la in-novación”, declaró Antonio Sales.

Para más información,Telf.: 932.388.870http://www.saytel.es

movilidad, las redes inalám-bricas, los centros de datos mó-viles, la solución Telepresencia deCisco o la videovigilancia IP.

Bajo los términos del Memo-rándum de entendimiento, Indray Cisco podrán llevar la colabo-ración entre ambas en el futuro,a otros segmentos de mercados,tanto públicos como privados, enáreas como la sanidad o las ciu-dades inteligentes, donde yacuentan con una reconocida ex-periencia en innovación.

Regino Moranchel afirmó que“En situaciones como la actual,la sociedad y las empresas nece-sitan más que nunca la tecnolo-gía y la innovación para aprove-charse de las transiciones demercado. Estamos convencidos deque el acuerdo que hoy firmamoscon Cisco constituye una impor-tante iniciativa en este ámbito”.

Para más información,Telf.:914.805.000http://www.indra.es

http://aix.software.ibm.com/aix/efixes/security/ssl_advisory.asc

http://www.saytel.es

http://www.indra.es


opinión por Alberto C. Blanch

n repetidas ocasiones hemos escrito y divagadoen la revista sobre el futuro del entorno IBM i(AS/400) y ésta no es ninguna excepción. No te-níamos previsto volver a abordar el tema en este

número, pero una entrada reciente en el blog de ChrisMaxcer, (blogs.systeminetwork.com/isnblogs/maxedout/),el redactor de noticias de System iNEWS, nos hizo cam-biar de idea.

En su texto, Chris ponía de relieve la iniciativa empren-dida por una coalición japonesa de 71 ISV’s y BusinessPartners de IBM para revitalizar y promover activamen-te el IBM i en Power Systems y lograr incrementar subase instalada de clientes en Japón, el segundo mercadomás grande en Tecnologías de la Información. La prime-ra acción de esta iniciativa, conocida simplemente comoIBM i Manifest, fue publicar a principios de año el “Mani-fiesto por el IBM i” –cuya traducción literal reproducimosen la página adjunta, a partir de la versión inglesa dispo-nible en www.iforum.ne.jp – en un anuncio a página com-pleta en el diario Nikkei, el diario financiero más influ-yente de Japón, similar al Wall Street Journal, y cuyainserción, en EE.UU., habría costado unos 100.000 dóla-res.

Evidentemente, todo un alegato y un compromiso diri-gido a la opinión pública en favor del IBM i, detrás delcual se esconde la arquitectura del AS/400, especialmen-te creada para la gestión empresarial. Esta característicafue el elemento distintivo del sistema y lo sigue siendohoy en día: permite a las compañías “olvidarse” de los pro-cesos informáticos en sí mismos y centrarse en sus proce-sos de negocio para ser más efectiva, más competitiva yofrecer un mejor servicio a sus clientes, sin miedo a queun cambio en el sistema operativo o en la evolución tecno-lógica de sus máquinas, invaliden su inversión; por cier-to, un hecho que suele ser frecuente en otras plataformas.

Aquí, como en Japón, Europa o Estados Unidos...Sin embargo, el trasfondo de esta historia es debido a lafalta de interés demostrado por la propia IBM. Como co-menta en http://midmed.blogspot.com/ Martin Fincham,general manager de LANSA en Europa, citando a su cole-ga Gordon Davies, Vice Presidente de LANSA en Asia/Pacífico, “Los socios de la coalición japonesa han adopta-do esta insólita medida como respuesta a un cambio en el

Manifiesto por el IBM i,un ejemplo a seguir

E enfoque del marketing corporativo de IBM y del posicio-namiento de sus servidores. Ahora IBM, bajo sus campa-ñas mundiales de marketing (como Smarter Planet) pro-mueve antes sus ofertas de software y servicios que las desu hardware. El Grupo de Sistemas y Tecnología de IBMofrece una gama de plataformas de servidor con soportede sistemas operativos que en muchos casos también pro-mueven otros proveedores y colectivos –Linux, Unix (AIX)y Windows. Por contra, IBM i y z/OS son propiedad deIBM y por eso requieren unas estrategias de marketing,ventas y soporte distintas....” Concluye que, como la crudarealidad es que IBM ha descuidado sus responsabilida-des en ese campo, ahora es a la comunidad a quien lecorresponde asumirlas.

Seamos i-vangelistas del entorno AS/400Tiene razón. Todos nuestros lectores recordarán que en elnúmero de septiembre de 2008 (el 186) y bajo el títulogenérico de “Seamos i-vangelistas del entorno AS/400”,un riguroso estudio realizado por Robert Tipton a partirde los resultados económicos publicados por IBM desde elaño fiscal de 1997 hasta 2007, muestra claramente quedesde hace años la estrategia de IBM está centrada enlos servicios que, con gran diferencia, son los que más con-tribuyen en sus resultados.

Tras su lectura uno se preguntaba: ¿Por qué una com-pañía de servicios querría promocionar algo como el IBMi en el que todo está integrado y que, además, funciona?Por eso aquel legendario AS/400, creado para la gestiónempresarial, ha desaparecido víctima de si mismo y deun hardware genérico donde otros sistemas operativos sípueden requerir servicios. Y nos decíamos: Si IBM no pro-clama las virtudes de su IBM i es de suponer que es por-que espera que lo hagan otros... En Japón, y al margen desus rivalidades comerciales, 71 ISV’s y Business Partnersasí lo han entendido y han pasado a la acción.

Finalmente, si tiene intereses comerciales en el merca-do AS/400 y quiere cooperar en nuestro proyecto de “i-vangelización”, déjenos un comentario y su dirección e-mail en http://help400.blogspot.com/ y nos pondremos encontacto. ■

Alberto C. Blanch, con más de 25 años de experiencia en entornos medios deIBM, es el director y fundador de esta revista.

http://www.iforum.ne.jp

http://midmed.blogspot.com/

http://help400.blogspot.com/

http://blogs.systeminetwork.com/isnblogs/maxedout/


IBM i ManifestDeclaración conjunta de 71 Partners de IBM i en Japón

En respuesta a las expectativas del mercado sobre

la Gestión e Innovación empresarial

El año pasado, el IBM i cumplió veinte años. La plataforma se presentó ante

el mundo como AS/400 y ha cambiado de nombre varias veces, pero el concepto

básico y la arquitectura fundamental siguen siendo los mismos. Desde su

génesis, el IBM i se diseñó para ser un “sistema realmente útil para las

empresas” y siempre ha integrado ávidamente las tecnologías más avanzadas.

No conocemos otras máquinas aparte del IBM i que hayan protegido tan

decididamente los activos de sus usuarios durante veinte años y que seguirán

protegiéndolos en el futuro. Pensamos que tenemos la misión de divulgar sus

excelencias y su superioridad. Podemos describir el IBM i con razón como “un

milagro en la historia de los ordenadores”, especialmente si hablamos con

los responsables de la gestión empresarial, desde los ejecutivos hasta los

que trabajan en los departamentos de informática.

Todos los que trabajamos en el sector seguimos librando una feroz batalla,

para describirlo en pocas palabras, para innovar y crear novedades, en un

incesante proceso de innovación en la gestión y la explotación. De la

comunicación con muchos de nuestros clientes y de nuestra propia experien-

cia, creemos firmemente que no habrá progreso sin innovación en el campo de

las tecnologías de la información para apoyar a las empresas.

El IBM i es famoso por tener el mayor número de clientes que usa una única

familia de sistemas. Desde hace más de diez años ocupa la primera posición

en la “Encuesta de satisfacción del cliente” que realiza cada año en Japón

la revista Nikkei Computer: un brillante récord. La fiabilidad, estabilidad,

elasticidad y alto rendimiento de la inversión (ROI) de la plataforma

destacan por encima de las demás.Aprovechando la oportunidad que nos ofrece el vigésimo aniversario del IBM

i, hemos creado este Manifiesto por el IBM i para pedir a los usuarios que

vuelvan a reconocer el valor y los logros de la plataforma. Les pedimos que

renueven su confianza en el IBM i y su convicción de que es la mejor

infraestructura para respaldar la innovación en la gestión y la explotación.

Además, creemos que los méritos de este excelente sistema deben compartir-

los muchas más personas. Que se extienda más el uso del IBM i es la mejor

forma de que las corporaciones refuercen sus capacidades de gestión y su

potencia empresarial. Hemos puesto en marcha actividades para que se unan a

la comunidad de usuarios tantas empresas nuevas como sea posible. Los

miembros que apoyamos este Manifiesto por el IBM i estamos muy orgullosos de

haber ayudado a nuestros clientes durante muchos años con este producto tan

poco común, el IBM i. Actuaremos en todos los campos, de forma continua y

variada, para ayudar a los ejecutivos de las empresas a reconocer los

méritos, las excelencias y los logros del IBM i.

Los 71 miembros firmantes de este manifiesto estaremos al lado de los usua-

rios del IBM i en el futuro. Prometemos ofrecer soluciones en forma de produc-

tos y servicios que incrementen el valor corporativo de nuestros clientes.

Enero de 2009Comité Ejecutivo del Manifiesto por el IBM i (Japón)


oy en día, constantemente oímos noticias sobredatos que se han perdido. De hecho, sólo enlos Estados Unidos, han resultado comprome-tidos más de 250 millones de registros de da-

tos en unos mil incidentes desde el año 2005 (privacy-rights.org/ar/ChronDataBreaches.htm). ForresterResearch estima que el coste de remediar la situación esde entre 90 y 305 dólares por registro expuesto(informationweek.com/news/security/showArti-cle.jhtml?articleID=199000222). Es evidente que estasviolaciones de la seguridad le salen muy caras tanto a losindividuos que las sufren como a las compañías involu-cradas. Hasta la fortaleza que conocemos como DB2 esvulnerable, por lo que vamos a explorar las tecnologías ylas técnicas disponibles para proteger nuestras bases dedatos en IBM i.

Datos = ActivosMucha gente ve los “datos” únicamente como la entrada ysalida de los programas o como la información que sirvepara generar informes. Pero, si poner remedio a una vio-lación de los datos tiene un coste, será porque los datostienen valor, por lo que ya no son sólo información, sinoun activo. De hecho, el Data Governance Council de IBMrecientemente predijo que los datos se convertirán en unactivo más del balance y que el control de los datos seconvertirá en una obligación legal para las empresas(ibm.com/press/us/en/pressrelease/24585.wss). Si estofuera así, en los departamentos de informática tendremos

que cambiar la forma en que pensamos en la seguridadde los datos. Las empresas ya no deben banalizar los es-fuerzos que hay que hacer para proteger los activos, sinoreconocer que protegerlos es un gasto más de la empresa.

Fundamentos de la seguridadAntes de empezar a examinar las técnicas de seguridadde la base de datos, necesitamos examinar dos pasos fun-damentales para proteger los activos de información. Elprimero y más importante es la definición de la políticade seguridad de una empresa. Sin una política de seguri-dad, no es posible definir lo que es una práctica aceptablede usar, acceder y almacenar información, ni por parte dequién, qué, cuándo, dónde y cómo. Una política debe abor-dar mínimamente tres aspectos: confidencialidad, inte-gridad y disponibilidad. La supervisión y la conformidadcon la política de seguridad determinan si la estrategiade seguridad está funcionando. Con frecuencia, a los con-sultores de IBM les piden que realicen evaluaciones deseguridad para empresas sin tener en cuenta la política.Aunque esta evaluación puede ser útil para ver cómo estádefinido actualmente el sistema y cómo se accede a losdatos, no permite determinar el nivel de seguridad ya que,sin una política, realmente no es tanto una evaluacióncomo un punto de partida desde el que supervisar y captu-rar los cambios en las opciones de seguridad. Una políticade seguridad es la que define si el sistema y sus valoresson seguros (o no). Un consejo: la Ley de transferibilidady responsabilidad de seguros médicos (HIPAA) de 1996,

H

Protecciónde datos deDB2:opciones yfundamentosPara obtener la mejor seguridad serequieren cuidados regulares y diligentes

por Terry Ford y Kent Milligan

http://privacyrights.org/ar/ChronDataBreaches.htm

http://informationweek.com/news/security/showArticle.jhtml?articleID=199000222

http://www.ibm.com/press/us/en/pressrelease/24585.wss


el Estándar de seguridad de datos del sector de las tarje-tas de crédito (PCI DSS) y otros requisitos que debe cum-plir el sector, pueden requerir controles que invaliden lapolítica de seguridad de la empresa. Por lo tanto, deberíapermanecer atento a la legislación y a las normativas delsector y ajustar su política en consecuencia.

El segundo paso fundamental para proteger los activosde datos es el uso de la seguridad de los recursos. Si seaplica como es debido, la seguridad de los recursos estáestrechamente vinculada con la parte de la política deseguridad que define quién debe tener acceso a qué re-cursos de información. Un hacker puede ser lo bastantebueno como para atravesar los cortafuegos de la empresay colarse en el sistema, pero si no tiene acceso explícito ala base de datos, no podrá poner en peligro los activos deinformación.

Ahora que ya sabe cuál es la importancia que tiene pro-teger los activos de información, vamos a examinar losmétodos disponibles para proteger los recursos de la basede datos en IBM i.

La situación actual de la seguridad del i: los valorespredeterminados no son suficientesDebido a la naturaleza inherentemente segura de IBM i,muchos clientes confían en los valores predeterminadosdel sistema para “proteger” los datos de la empresa alma-cenados en DB2 para i. En la mayoría de casos, esto signi-fica que no hay ninguna protección ya que todos los usua-rios tienen autorización *CHANGE sobre los datos. Loque es más preocupante es que muchos clientes de IBM icontinúan así, a pesar de los titulares y de los elevadoscostes que supone una base de datos comprometida. Estaconfiguración predeterminada hace que poner en funcio-namiento políticas de seguridad básicas sea un auténticodesafío. Es necesaria una implementación más rigurosasi realmente quiere proteger uno de los activos más valio-sos de la compañía: sus datos.

Tradicionalmente, las aplicaciones de IBM han utiliza-do la seguridad basada en menús para contrarrestar laconfiguración predeterminada que ofrece acceso a los da-tos a todos los usuarios. La teoría es que los datos estánprotegidos por las opciones de menú que controlan quéoperaciones de base de datos puede realizar el usuario.Este método no es eficaz... ni siquiera si el perfil del usua-rio tiene restringida la ejecución de mandatos interactivos.La razón es que en el mundo interconectado de hoy en díahay multitud de interfaces en el sistema, desde navega-dores hasta clientes de PC, que se saltan completamentelos menús de las aplicaciones. Si no existen controles anivel de objetos, los usuarios de estas nuevas interfacestienen una puerta abierta a los datos.

Algunos clientes que utilizan la configuración predeter-minada han reforzado la seguridad de la base de datos

con soluciones de puntos de salida de otros proveedores.Los puntos de salida de IBM i permiten llamar a un pro-grama escrito por el usuario cada vez que se usa unainterfaz concreta (por ejemplo, FTP) o que se produce unsuceso determinado (por ejemplo, cada vez que se crea unperfil). Las herramientas de seguridad basadas en estospuntos de salida aumentan el nivel de seguridad de unsistema aislando las interfaces que no están controladaspor la seguridad basada en menús o por autorizacionesde las aplicaciones. Además, las soluciones de puntos desalida permiten que los clientes implementen controlesde seguridad más detallados, permitiendo, por ejemplo,acceder a los usuarios a la base de datos solamente du-rante ciertas horas del día.

Aunque las soluciones de puntos de salida pueden sermuy útiles, no son una alternativa al control a nivel deobjetos de las bases de datos. Las soluciones de puntos desalida ayudan a proteger las interfaces, pero no protegencompletamente los datos almacenados en los objetos deDB2. No existen puntos de salida para todas las interfacesde acceso a datos del sistema, de modo que si una aplica-ción utiliza una interfaz no protegida, la única cosa queprotegerá los datos será el control de acceso a nivel deobjetos. Si la implementación de la seguridad se basa to-talmente en los puntos de salida, deberá estar al tanto delas nuevas interfaces de datos que surgen a medida queIBM publica nuevas versiones y productos. Sólo así podrágarantizar que su solución de puntos de salida incorporalas interfaces nuevas.

Una solución de puntos de salida es una buena opciónpara las bases de datos que tienen agujeros de seguridaddebidos a la dependencia en la configuración de seguri-dad predeterminada o un control basado en menús. Sinembargo, el trabajo en la seguridad no debe finalizar aquí.Por el contrario, tendrá que seguir trabajando en una so-lución de seguridad completa que controle el acceso a da-tos en el nivel de objetos.

Métodos de seguridad de DB2Ahora que ya sabemos por qué son necesarios los contro-les a nivel de objetos, vamos a ver cuáles son los métodosutilizados normalmente para llevar a cabo una políticade seguridad. En el IBM i, las principales metodologíasconsisten en utilizar el modelo de autorización adoptadapor programa o definir autorizaciones privadas para cadaobjeto.

Método de la autorización adoptadaLa autorización adoptada por programa puede simplifi-car la planificación de la seguridad al reducir el númerode perfiles de usuario a los que hay que otorgar acceso aobjetos de DB2. Debido al bajo número de autorizacionesindividuales, este modelo de seguridad es el que más


■ EN PORTADA



fácilmente puede imponer el gestor de seguridad integra-do de IBM i. Con este método, el acceso público a los obje-tos de DB2 se desactiva especificando *EXCLUDE parala autorización *PUBLIC, por lo que el único usuario conderechos de acceso sobre un objeto es el perfil de usuarioque es propietario del programa.

Cuando un programa se ejecuta en el sistema y hacereferencia a objetos de DB2, el comportamiento predeter-minado del perfil de usuario del trabajo es validarse se-gún los controles de seguridad establecidos para el objetoal que se hace referencia. Por ejemplo, si APPUSER1 esel perfil de usuario que ejecuta el programa WORKAPP,cuando WORKAPP intente acceder a un objeto de DB2, elgestor de seguridad comprobará si el perfil APPUSER1tiene la autorización necesaria para realizar la operaciónsolicitada sobre ese objeto de DB2.

Con la autorización adoptada por programa, puede crear(o modificar) el programa de manera que utilice la autori-zación del propietario del programa. Para ello, especifi-que el parámetro USRPRF(*OWNER) en los mandatosCrear programa (CRTPGM) o Modificar programa(CHGPGM), como se ilustra en la Figura 1.

En el ejemplo, suponemos que PRFWRKAPP es el per-fil propietario del programa. Ahora, APPUSER1 inicia unasesión y ejecuta el programa WORKAPP. Con la autoriza-ción adoptada establecida, cada vez que WORKAPP hacereferencia a un objeto de DB2, se comprueban los privile-gios de los perfiles de usuario APPUSER1 y PRFWRKAPPpara determinar si el programa está autorizado para efec-tuar la operación de la base de datos especificada.

Además de cambiar el programa para que adopte laautorización del propietario, es necesario proporcionaralgunas autorizaciones de datos al propietario del pro-grama. Con la autorización adoptada por programa, lo

normal es que solamente tenga acceso a los objetos deDB2 el perfil de usuario del propietario del objeto y que elacceso público se restrinja con *EXCLUDE. Asimismo, losusuarios de la aplicación necesitan la autorización*EXECUTE sobre el objeto de tipo programa. En la Figu-ra 2 se muestra un ejemplo de los mandatos que hay quecombinar con los mandatos de la Figura 1 para completarla instalación de la autorización adoptada por programa.En este ejemplo se da por supuesto que WORKTAB es elúnico objeto de DB2 al que accede la aplicación.

Este ejemplo de autorización adoptada debería mostrarcómo la utilización de este modelo puede simplificar lainstalación de la seguridad de la base de datos. En lugarde otorgar acceso a la tabla WORKTAB a todos los usua-rios de la aplicación, solamente hay que proporcionar pri-vilegios al propietario del programa (PRFWRKAPP) parapoder cambiar y leer dicha tabla.

La autorización adoptada por programa parece asocia-da a la tecnología heredada del AS/400, por lo que puedeque se pregunte si puede usarse con tecnologías más re-cientes, como Java y SQL. La respuesta es sí. Cuando SQLestá incrustado en un programa, los precompiladores deSQL permiten especificar *OWNER en los parámetrosUSRPRF (Perfil de usuario) y DYNUSRPRF (Perfil deusuario dinámico). Las mismas opciones existen en la cláu-sula SET OPTION de los procedimientos, desencadenan-tes y funciones de SQL.

Las aplicaciones escritas en Java no están asociadascon los objetos de tipo programa del IBM i, de maneraque no hay objeto de tipo programa que pueda modificarse.Para estas situaciones, las aplicaciones pueden utilizarlas API de intercambio de perfiles para emular el modelode autorización adoptada. Las API de intercambio de per-files son Obtener handle de perfil (QSYGETPH), Esta-blecer perfil (QWTSETP) y Liberar handle de perfil(QSYRLSPH). Las API de intercambio de perfiles se eje-cutan al principio de la aplicación para intercambiar elperfil de usuario que ejecuta la aplicación por un perfil deusuario que tiene las autorizaciones sobre la base de da-tos que precisa la aplicación.

Cuando la aplicación termina de ejecutarse, se usan lasAPI de intercambio de perfiles para liberar el perfil deusuario y volver al perfil original. Esta técnica es pareci-da al proceso de la autorización adoptada por programa:una vez que finaliza la llamada a programa, al usuarioque ejecuta la aplicación se le devuelven las autorizacio-nes de su perfil de usuario.

Hasta aquí, hemos explicado solamente las ventajas delmodelo de autorización adoptada. Ahora, vamos a ver cuá-les son los inconvenientes. Uno es el riesgo que existe si elprograma que se ejecuta con autorización adoptada pre-senta al usuario una línea de mandatos. Por ejemplo, pue-de que la aplicación WRKAPP proporcione capacidades

FIGURA 1Configuración de un programa para instalar la autorizaciónadoptada

CHGOBJOWN OBJ(WORKAPP) OBJTYPE(*PGM) NEWOWN(PRFWRKAPP)CHGPGM PGM(WORKAPP) USRPRF(*OWNER)

/* Authorize application user to run application */GRTOBJAUT OBJ(WORKAPP) OBJTYPE(*PGM) USER(APPUSER1) AUT(*EXECUTE) /* Authorize program owner to access DB2 table */ GRTOBJAUT OBJ(WORKTAB) OBJTYPE(*FILE) USER(PRFWRKAPP) AUT(*CHANGE) RVKOBJAUT OBJ(WORKTAB) OBJTYPE(*FILE) USER(*PUBLIC) AUT(*ALL)

/* Here is SQL version of Grant & Revoke for DB2 table */GRANT ALL ON worktab TO prfwrkappREVOKE ALL ON worktab FROM PUBLIC

FIGURA 2Instalación de la autorización adoptada completada


■ EN PORTADA

de impresión y una opción de menú que lleve al usuario ala interfaz Trabajar con archivos en spool (WRKSPLF).La interfaz de WRKSPLF presenta una línea de manda-tos. Las operaciones que ejecuta APPUSER1 desde estainterfaz de línea de mandatos también incluyen las nue-vas autorizaciones añadidas con la autorización adopta-da (PRFWRKAPP). El usuario de la aplicación es libre deusar estas autorizaciones adoptadas desde la línea demandatos de la manera que mejor le parezca. Para mini-mizar este riesgo, puede utilizar el parámetro USE-ADPAUT en el mandato CHGPGM. No obstante, es evi-dente que la implementación de la autorización adoptadapor programa necesita planificarse cuidadosamente paraeliminar cualquier posibilidad de que el usuario puedautilizar dicha autorización fuera de la aplicación.

El modelo de autorización adoptada por programa tam-bién exige poder modificar los atributos del objeto pro-grama o el propio código del programa, pero si utiliza pro-gramas de IBM o de otros proveedores no podrá hacerestas modificaciones. Piense en el caso de un usuario quedesea crear un informe utilizando Consulta/400 o IBMDB2 Web Query para i. En este caso, es necesario algo deprogramación para que el método de la autorización adop-tada funcione. Por ejemplo, puede escribir en CL un pro-grama de envoltura que adopte la autorización necesariapara que funcione el informe de Consulta/400. DB2 WebQuery puede pedir que una llamada a un procedimientoalmacenado le devuelva un conjunto de resultados, por loque podría escribir un procedimiento almacenado queadoptara la autorización. ¿Su personal tiene recursos su-ficientes para crear un programa para cada informe quese le solicite? ¿Qué hacer si es imposible crear una envol-tura para las herramientas de otros proveedores como porejemplo System i Navigator? Tendrá que investigar el soft-ware de terceros y las interfaces de la base de datos queno pertenecen a la aplicación de su compañía antes dedepender excesivamente de las autorizaciones adoptadaspara proteger las bases de datos DB2.

Método de la autorización privadaPara aplicar el método de la autorización privada hay quearremangarse para hacer el trabajo duro de analizar yproteger cada objeto de DB2 del sistema con las autoriza-ciones pertinentes. En vez de definir derechos de accesopara cada perfil de usuario del sistema, en IBM i se pue-den usar perfiles de grupo y listas de autorizaciones parareducir el número de privilegios de seguridad que debenotorgarse. El método de la autorización privada proba-blemente parece demasiado trabajoso. Sin embargo, si suempresa y usted ven los datos almacenados en las basesde datos DB2 como uno de los activos más valiosos de laorganización, es fácil justificar el esfuerzo de protegerloseficazmente.

El método de la autorización privada tiene la virtud deproporcionar una seguridad difícil de vulnerar... inclusoa medida que con el tiempo van apareciendo nuevasinterfaces y aplicaciones. La razón de que su seguridadsea tan eficaz es que con este método se protegen los obje-tos de la base de datos en lugar de los programas o lasinterfaces. Como mencionaba antes, el reto es el tiemponecesario para definir y gestionar todas las autorizacio-nes privadas para cada objeto de DB2. Además, con estametodología el rendimiento se resiente ligeramente ya queel gestor de seguridad de IBM tiene que procesar y vali-dar más autorizaciones individuales. El impacto en el ren-dimiento dependerá de varios factores, incluyendo el nú-mero de objetos y de autorizaciones.

Para simplificar la administración de esta política deseguridad, puede utilizar perfiles de grupo y listas deautorizaciones. Primero veamos los perfiles de grupo. Losperfiles de usuario de IBM i pueden pertenecer a uno ovarios grupos. Con esta característica se pueden otorgarautorizaciones a un grupo de usuarios, en lugar de tenerque definir autorizaciones para cada perfil de usuario. Porejemplo, puede que haya un perfil de grupo para la basede datos de ventas (GPSales) y otro perfil de grupo parala base de datos de la nómina (GPPay). Pueden añadirseperfiles de usuario individuales a estos grupos y, a conti-nuación, otorgar autorizaciones sobre el objeto de la basede datos a los perfiles de grupo. Los perfiles de grupo sue-len asignarse en función del departamento o del puestode trabajo que ocupa el usuario (por ejemplo, departa-mento técnico o cajero).

En la Figura 3 se puede ver un ejemplo de cómo seconfigura un perfil de grupo. Observe en este ejemplo queno hay ningún mandato para crear un perfil de grupo. Unperfil de usuario se transforma implícitamente en un perfilde grupo cuando se hace referencia al perfil de usuario enlos parámetros de perfil de grupo –es decir, Perfil de gru-po (GRPPRF) y Complementar perfil de grupo (SUPGR-PPRF)– de los mandatos CRTUSRPRF o CHGUSRPRF.Generalmente, estos perfiles de grupo se crean conPASSWORD(*NONE), como en este ejemplo, por lo queningún usuario individual puede usar el perfil de grupopara iniciar una sesión.

Observe en el ejemplo que APPUSER3 pertenece a am-bos perfiles de grupo. Un perfil de usuario puede pertene-cer a un máximo de 16 perfiles de grupo. Los perfiles degrupo no pueden pertenecer a otros grupos. El primer gru-po siempre debe especificarse en el parámetro GRPPRF ylos grupos adicionales en el parámetro SUPGRPPRF. Laprincipal diferencia entre estos dos parámetros de grupoes que los valores de los parámetros OWNER, GRPAUT yGRPAUTTYP del perfil de usuario individual sólo sonaplicables para el perfil especificado en el parámetroGRPPRF. Estos parámetros controlan la forma en que se


asigna la propiedad de un objeto cuando un perfil de usua-rio que pertenece a un grupo crea un objeto.

El gestor de seguridad de IBM i no suma las autoriza-ciones de perfiles individuales o de grupo cuando tieneque determinar si el perfil de usuario está autorizado pararealizar una operación de la base de datos. El gestor exa-mina las credenciales del perfil de usuario y del perfil degrupo por separado. Si se utilizan perfiles de grupo, nor-malmente lo mejor es que los perfiles de usuario indivi-duales no tengan autorizaciones (ni siquiera *EXCLUDE)sobre los objetos de DB2; las autorizaciones sobre el obje-to se le otorgan al grupo, como se ve en la Figura 3. Otroconsejo para configurar perfiles de grupo es usar el man-dato Cambiar grupo primario de objeto (CHGOBJPGP),que se muestra en la Figura 4, para mejorar el rendi-miento. Este mandato mejora el rendimiento ya que guar-da la información sobre la autorización del perfil de gru-po especificado en el propio objeto de tipo tabla.

Las listas de autorizaciones también permiten simplifi-car la gestión de las autorizaciones privadas y se usan deforma parecida a los perfiles de grupo. Las listas propor-cionan un medio de agrupar objetos con requisitos de se-guridad comparables. Por ejemplo, supongamos que undata warehouse contiene varias tablas que incluyen da-tos históricos de ventas para ser analizados. En este caso,cada analista que use el data warehouse necesita accedera todas las tablas. En vez de otorgar autorizaciones pri-vadas sobre cada tabla, puede crearse una lista de autori-zaciones que proporcione a los usuarios la autorizaciónnecesaria sobre cada tabla asociada con la lista.

Se puede pensar que las listas de autorizaciones contie-nen una lista de perfiles de usuario y la autorización quecada usuario tiene sobre los objetos de DB2 asociados conla lista. En la Figura 5 se muestra una lista de autoriza-ciones en la práctica. El primer paso consiste en crear elobjeto con el mandato Crear lista de autorizaciones(CRTAUTL). El parámetro AUTHORITY de este manda-to no es la autorización que cada perfil de usuario tienesobre los objetos de DB2 asociados con la lista. Si un obje-to de DB2 asociado tiene *AUTL como valor de su autori-zación pública, el valor del parámetro AUTHORITY(*EXCLUDE, en la Figura 5) se usa como el valor de laautorización pública del objeto de DB2. El paso siguiente esponer el objeto de base de datos bajo el control de seguridadde una lista de autorizaciones. Esto se hace con el mandatoGRTOBJAUT. Un objeto de IBM i sólo puede asociarse conuna lista de autorizaciones a la vez.

El último paso consiste en dar a los usuarios la autori-zación sobre la lista de autorizaciones. Hecho ésto, los per-files de usuario tendrán la autorización especificada sobrecualquier objeto protegido por esa lista. Puede realizareste paso con el mandato Añadir entrada en lista de auto-rizaciones (ADDAUTLE); ninguna sentencia de SQL per-mite realizar esta tarea. En este ejemplo, a los dos prime-ros usuarios se les ha dado autorización *USE sobre losobjetos de DB2 protegidos por la lista, y al último (unadministrador) se le otorga la autorización *CHANGE.El resultado es que BIZUSER1 y BIZUSER2 tienen auto-rización *USE sobre todos los objetos de DB2 asociadoscon la lista de autorizaciones, mientras que el perfil deusuario DWADMIN tiene autorización *CHANGE.

Lo que hay que entender es que la autorización del usua-rio la define la lista de autorizaciones, no los objetos indi-viduales protegidos por la lista. Si la lista de autorizacio-nes protege un objeto de DB2 nuevo, los usuarios de lalista automáticamente tendrán autorizaciones sobre esteobjeto. Este comportamiento facilita la protección de ob-jetos nuevos que tienen los mismos requisitos de seguri-dad que otros ya existentes.

Cuando se protege una tabla de DB2 con una lista, pue-den cambiarse las autorizaciones aunque la tabla esté

FIGURA 3Ejemplo de perfil de grupo

/* Create “group” user profiles */CRTUSRPRF USRPRF(GPSALES) PASSWORD(*NONE) TYPE(*USER)CRTUSRPRF USRPRF(GPPAY) PASSWORD(*NONE) TYPE(*USER)/* Add user profiles to the groups */CHGUSRPRF USRPRF(APPUSER1) GRPPRF(GPSALES)CHGUSRPRF USRPRF(APPUSER2) GRPPRF(GPPAY)…CHGUSRPRF USRPRF(APPUSER3) GRPPRF(GPSALES) SUPGRPPRF(GPPAY)

/* Authorize group profiles to DB2 tables */GRTOBJAUT OBJ(PAYTAB) OBJTYPE(*FILE) USER(GPPAY) AUT(*USE)GRTOBJAUT OBJ(SALESTAB) OBJTYPE(*FILE) USER(GPSALES) AUT(*CHANGE)

/* SQL version of granting table access to group profiles */GRANT SELECT ON paytab TO gppayGRANT SELECT,INSERT,UPDATE,DELETE salestab TO gpsales

FIGURA 4Ejemplo de CHGOBJPGP

CHGOBJPGP OBJ(paytab) OBJTYPE(*FILE) NEWPGP(GPPAY)

ç /* Create authorization list */CRTAUTL AUTL(HSALESAL) AUT(*EXCLUDE)/* Associate tables with authorization list */GRTOBJAUT OBJ(HSALESTB1) OBJTYPE(*FILE) AUTL(HSALESAL)…GRTOBJAUT OBJ(HSALESTBN) OBJTYPE(*FILE) AUTL(HSALESAL)

/* Give users access to the authorization list */ADDAUTLE AUTL(HSALESAL) USER(BIZUSER1) AUT(*USE)ADDAUTLE AUTL(HSALESAL) USER(BIZUSER2) AUT(*USE)

/* Administrator needs update capabilities for tables on authorizationlist */ADDAUTLE AUTL(HSALESAL) USER(DWADMIN) AUT(*CHANGE)

FIGURA 5Ejemplo de lista de autorizaciones


abierta. Con los perfiles de grupo y los perfiles de usuarioindividuales, no es posible otorgar o revocar las autoriza-ciones de un objeto abierto. Este hecho puede llevarle apreguntarse si una lista de autorizaciones es mejor queun perfil de grupo. La respuesta es que ninguno es mejorque el otro. La elección realmente se reduce a qué opciónresuelve mejor su problema. De hecho, es posible añadirun perfil de grupo a una lista de autorizaciones de la mis-ma forma que se añade un perfil de usuario individual.Muchos departamentos informáticos usan las dos opcio-nes indistintamente.

Como pasa con la autorización adoptada por programa,una implementación de seguridad que usa el método dela autorización privada debe reducir la autorización pú-blica a *EXCLUDE, si es posible. Negar a todos los usua-rios el acceso a un objeto de DB2 es mucho más seguroque dejar la puerta abierta al objeto de forma predeter-minada. También es posible usar una combinación deautorizaciones adoptadas y privadas para reducir las ta-reas de administración de la seguridad de la base de da-tos, empleando autorizaciones privadas únicamente pararesolver la cuestión de las interfaces que no son fáciles deresolver mediante autorización adoptada.

Aunque la autorización privada exige más tiempo paraimplementarla y para gestionarla, proporciona defensasde seguridad que protegen los datos en todas las interfaces.Esta protección incluye las interfaces que existen hoy endía y las que aparezcan en el futuro. Conociendo los dosmétodos básicos de seguridad de DB2, podemos exami-nar cuestiones de seguridad más detalladas relativas alas interfaces y los objetos de la base de datos.

Controles a nivel de conexión y de interfazProteger la base de datos en el nivel de interfaz era unaopción que hemos mencionado cuando hablábamos de losprogramas de puntos de salida que permiten desactivar olimitar el acceso de los usuarios a la base de datos desdeinterfaces de datos como por ejemplo las conexiones ODBCy FTP. Sin embargo, con este tipo de soluciones es imposi-ble una protección completa porque no existen puntos desalida para todas las interfaces de acceso a datos.

Aunque la base de datos esté protegida a nivel de objetocon autorizaciones privadas, hay que tener en cuenta losdatos de la empresa que se transmiten por la red. Si unusuario tiene autorización sobre los datos, los controlesde seguridad de la base de datos y de las interfaces noofrecen protección para los datos que se van a transpor-tar sin cifrar por la red. A continuación le ofrecemos unascuantas opciones disponibles en IBM i para proteger lastransmisiones de estos datos:

Seguridad de la capa de transporte (TLS) y Capade sockets segura (SSL). TLS y su predecesor SSL sontecnologías que pueden instalarse para proteger los da-

tos de la empresa que van a transmitirse por la red. TLSy SSL protegen la transmisión de los datos cifrándolos.Se necesitan recursos adicionales del sistema para cifrarlas transmisiones de los datos, pero IBM ofrece una tarje-ta criptográfica para aliviar a los procesadores principa-les de la carga del proceso de cifrado de TLS y SSL.

Red privada virtual (VPN) segura. Una VPN segu-ra utiliza protocolos criptográficos como Seguridad IP(IPSec) para ofrecer comunicaciones seguras a través deredes desprotegidas. Para proporcionar la protección dedatos necesaria, una VPN debe diseñarse e implementarsecon políticas de seguridad claramente definidas.

Shell seguro (SSH) y OpenSSH. SSH es un protocolode red que permite transferir de forma segura datos en-tre sistemas. Un gran número de sistemas operativos soncompatibles con este protocolo.

Cifrado interno. Las aplicaciones pueden usar los ser-vicios criptográficos de IBM i para cifrar los datos antesde enviarlos a través de la red y dejar al sistema de desti-no que se encargue de descifrarlos. Este método requierededicar una considerable cantidad de recursos de progra-mación para implementar los procesos de cifrado y desci-frado, además de un mayor trabajo de administración paragarantizar que programas de utilidad como FTP accedanúnicamente a objetos cifrados.

Controles a nivel de esquemaQuizá piense que se puede simplificar la gestión de loscontroles de acceso a nivel de objeto simplemente defi-niendo autorizaciones en el nivel de esquema (biblioteca).Un esquema es un contenedor de todos los objetos de DB2,por lo que controlar el acceso al objeto que los contieneparece una forma lógica de controlar el acceso a los obje-tos que forman parte de él. Desgraciadamente, esto es falsoporque los controles a nivel de esquema ofrecen un nivelde detalle insuficiente. Un perfil de usuario necesita comomínimo la autorización *USE para acceder a los objetosde DB2 de un esquema. A continuación, se utilizan lasautorizaciones de datos definidas a nivel de tabla o deobjeto para determinar si un usuario puede acceder real-mente a los datos almacenados en un objeto de DB2. Enconsecuencia, la gestión de la seguridad en el nivel deesquema no representa ningún atajo: los perfiles de usua-rio tienen que tener autorizaciones otorgadas tanto en elnivel de esquema como en el nivel de objeto.

Un esquema de SQL y una biblioteca de IBM i son obje-tos equivalentes; no obstante, la autorización pública pre-determinada que se da a los objetos respectivos es distinta.Con el mandato CRTLIB, el parámetro CRTAUT controlala autorización pública predeterminada. El valor por omi-sión es *SYSVAL, lo que significa que el valor del sistemaQCRTAUT determina la política de acceso público. El valorpredeterminado del sistema es *CHANGE, razón por la

■ EN PORTADA


que IBM i otorga a todos los usuarios acceso *CHANGE asus bases de datos. Para remediar este problema, IBMrecomienda cambiar QCRTAUT a *EXCLUDE o *USEen la mayoría de los casos para limitar el acceso público alos objetos de base de datos. Lo más probable es que nece-site hacer algunos cambios en el entorno y los programaspara adaptarlos al nuevo valor del sistema QCRTAUT.

La sentencia Crear esquema de SQL crea una bibliote-ca con una autorización pública distinta cuando se utili-za el convenio de denominación de SQL (*SQL). Elparámetro de formato de denominación está disponiblepara todas las interfaces de SQL que permiten el conve-nio de denominación de SQL o del sistema (*SYS). Si usael convenio de denominación del sistema, el comportamien-to de la autorización pública seguirá la semántica deCRTLIB. Con el convenio de denominación de SQL, unabiblioteca (y todos los objetos de SQL) se crean con la au-torización pública *EXCLUDE. De modo que el conveniode denominación de SQL nos obliga a otorgar explícita-mente acceso público al objeto o a definir autorizacionesprivadas. De nuevo, este comportamiento sigue las direc-trices generales de IBM de negar de forma predetermina-da el acceso público al esquema.

Controles a nivel de tablaAunque un usuario necesita privilegios a nivel de esque-ma para poder cambiar o añadir datos, los controles deacceso a nivel de tabla son la clave para proteger los da-tos de la empresa. Este detalle es cierto si la implemen-tación de la seguridad usa autorizaciones privadas o adop-tadas por programa.

La propiedad de los objetos es uno de los aspectos de laseguridad de los datos que todavía no hemos tratado.Cuando se crea una tabla de DB2 (archivo físico), la pro-piedad de ese objeto se le asigna a un perfil de usuario. Elpropietario de una tabla de DB2 puede realizar cualquieroperación con esa tabla. Obviamente, deben planificarsecuidadosamente los niveles de acceso de los propietariosde cada objeto de la base de datos.

La manera de asignar la propiedad de un objeto depen-de de la interfaz que se use. Con las interfaces que no sonSQL, la propiedad se le asigna al perfil de usuario o algrupo del perfil de usuario del trabajo que crea el objetode base de datos. Con las interfaces SQL el comportamien-to de la propiedad de un objeto se controla utilizando elparámetro del formato de denominación (como en el casode la autorización pública). Para las tablas de DB2 que se



■ EN PORTADA

crean con el convenio de denominación del sistema, lapropiedad del objeto se asigna de la misma forma que paralas interfaces que no son SQL. Cuando se crea una tablacon el convenio de denominación de SQL, el propietariode la tabla es el perfil de usuario que tiene el mismo nom-bre que el esquema en que se ha creado el objeto. Por ejem-plo, si se crea la tabla TAB1 en un esquema denominadoUSER1, el propietario del objeto TAB1 será USER1. Siningún perfil de usuario coincide con el nombre del es-quema, el propietario del objeto será el perfil de usuario ode grupo del trabajo que ha creado la tabla. Asignar lapropiedad de un objeto a un perfil de grupo es poco acon-sejable, ya que permite que todos los miembros del perfilde grupo hereden la autorización del propietario del obje-to creado.

Controles a nivel de columna y a nivel de filaAlgunas implementaciones de la seguridad de la base dedatos no ofrecen a los usuarios acceso directo a la tabla.En su lugar, los usuarios sólo tienen acceso a vistas (esdecir, archivos lógicos) definidas para las tablas. Como dehecho las vistas pueden contener un subconjunto de co-lumnas (es decir, campos) de una tabla, las vistas puedenreforzar la seguridad de la base de datos al permitir ocul-tar al usuario las columnas que contengan datos confi-denciales.

El ejemplo de la Figura 6 utiliza SQL para mostraresta técnica de seguridad en la práctica. Esta técnica tam-bién puede aplicarse usando archivos lógicos y los man-datos de seguridad de CL. En este ejemplo, EMP_TAB esla tabla de DB2 que contiene datos sobre los trabajadores.El primer paso es definir una vista de SQL, EMPVIEW,que omite de su definición la columna confidencial dondese muestra el sueldo. El acceso a la tabla subyacente seevita con la sentencia REVOKE y a los usuarios “normales”sólo se les otorgan autorizaciones sobre los datos de lavista con la sentencia GRANT. El resultado es que USER1está autorizado para acceder únicamente al ID y al nom-bre del trabajador, puesto que son las únicas columnasdefinidas en la vista.

Creamos una segunda vista para los usuarios del de-partamento de Recursos Humanos (RRHH), que necesi-tan acceder a la columna del sueldo. Observe que aunqueel perfil de usuario de RRHH no tiene privilegios paraacceder a la tabla, el acceso nuevamente está limitado ala vista, empview_hr. Si se añaden nuevas columnas a latabla subyacente, habrá que otorgar a los usuarios de lavista acceso expreso a los datos de las columnas nuevas,ya que a los usuarios autorizados para acceder a la tablano se les otorga automáticamente acceso a las columnasnuevas.

En vez de ocultar columnas confidenciales, tambiénpuede usar vistas para enmascarar datos en columnas

confidenciales, como en el ejemplo siguiente:

CREATE VIEW empview_mask AS

SELECT empid, empname, -999999.99

salmask FROM emp_tab

Además, si necesita restringir el acceso de los usuariosa un subconjunto de filas de la tabla, podría añadir predi-cados de selección a la definición de la vista, como se mues-tra en este ejemplo:

CREATE VIEW empview_hrsub AS

SELECT empid, empname, empsalary

FROM emp_tab

WHERE empsalary < 1000000

El principal inconveniente de esta estrategia es quecrear vistas adicionales significa que habrá más objetosde DB2 que gestionar y administrar. Si utiliza solamentevistas de SQL y archivos lógicos que no están ordenadospor clave, el impacto sobre el rendimiento de las aplica-ciones es nulo, ya que estos objetos de DB2 no contienendatos que tengan que mantenerse si la tabla subyacentecambia. Si se utiliza un archivo lógico ordenado por clavepara esta finalidad, existirá una pequeña actividad gene-ral porque DB2 tiene que actualizar el archivo lógico cadavez que la tabla subyacente cambia.

DB2 para i también permite definir autorizaciones dedatos a nivel de columna. Sin embargo, apenas se utilizaesta posibilidad debido a que en este nivel solamente pue-den controlarse las operaciones de actualización y no lasde lectura. Poder controlar las operaciones de actualiza-ción a nivel de columna puede ayudarnos en situacionesen las que hay que dejar que los usuarios actualicen algu-nas columnas, pero no todas. Así, en la Figura 7, al perfilde usuario HRADMIN se le otorga acceso para poder reali-

FIGURA 6Ejemplo de vista

CREATE TABLE emp_tab (empid INTEGER, empname VARCHAR(30), empsalary DECIMAL(9,2));CREATE VIEW empview AS SELECT empid, empname FROM emp_tab;REVOKE ALL ON emp_tab FROM user1;GRANT INSERT,UPDATE,DELETE,SELECT ON empview TO user1;

CREATE VIEW empview_hr AS SELECT empid, empname,empsalary FROM emp_tab;REVOKE ALL ON emp_tab FROM hruser1;GRANT INSERT, UPDATE, DELETE, SELECT ON empview TO hruser1

GRANT INSERT, UPDATE, DELETE, SELECT ON emp_tab TO hradminGRANT UPDATE(empid,empname), SELECT ON emp_tab TO hruser

FIGURA 7Ejemplo de seguridad de nivel de columna


zar operaciones con los datos de todas las columnas de latabla emp_tab. Por el contrario, el perfil HRUSER está limi-tado a actualizar las columnas empid y empname y a leerlas filas de la tabla. La seguridad a nivel de columna sólo esposible para las sentencias GRANT y REVOKE de SQL.

Protección de datos mediante cifrado¿Por qué no he mencionado el cifrado de datos hasta aho-ra? La razón es que el cifrado ofrece una protección míni-ma si una base de datos no se ha protegido antes con con-troles de acceso a nivel de objeto. Esto es particularmentecierto si está utilizando una solución en la que la aplica-ción cifra y descifra automáticamente los datos cada vezque se accede a ellos: todos los usuarios autorizados soncapaces de ver la versión sin cifrar de los datos. La mejorinversión en seguridad es proteger la base de datos a ni-vel de objeto antes incluso de pensar en el cifrado de da-tos, en parte debido a que una buena implementación delproceso de cifrado también requiere un plan de control deacceso, cuestión que describiremos enseguida.

Debido a que la legislación y los auditores obligan a quese cifren los datos confidenciales almacenados en los dis-cos, muchos clientes de IBM i están buscando sistemas decifrado “automáticos”. A consecuencia de esta demanda,IBM presentó el cifrado de agrupaciones de almacena-miento auxiliar (ASP) en IBM i 6.1. Esta capacidad per-mite que IBM i cifre automáticamente los datos que segraban en una ASP básica o en una ASP independiente(IASP). Cuando el sistema operativo o una aplicación leelos datos de una ASP cifrada, los datos se descifranautomáticamente. Este tipo de sistema de cifrado ofrecevarias ventajas:

• una implementación rápida que satisface los requisitosde muchos auditores de seguridad

• protección de los datos en caso de robo de la unidad• protección de los datos en caso de que una unidad de-

fectuosa deba sustituirse y retornarse al proveedor

El inconveniente del cifrado automático es que los datosse le presentan sin cifrar a todos los usuarios autorizadosdel sistema. Así que no sirve para reducir el número de usua-rios de la aplicación que pueden consultar el número de sutarjeta de crédito o de la Seguridad Social. Además, estemétodo exige la creación de una ASP y el trasladado de losdatos existentes a la ASP cifrada. Para implementar el ci-frado a nivel de ASP en el sistema, debe adquirir e instalarel programa producto bajo licencia de IBM i 5761SS1 Op-ción 45 - Habilitación de ASP cifrada.

Una solución más segura implica el descifrado selectivode datos. Con este método, deberá mejorar las aplicacio-nes para que examinen quién está intentando consultaruna columna que contiene datos cifrados y determinar siestá autorizado para ver la versión sin cifrar. El método

es parecido a los controles de acceso necesarios paraproteger bases de datos a nivel de objeto. Lo ideal seríaque las aplicaciones exigieran alguna forma de autenti-cación del usuario, por ejemplo, mediante una contraseñao una lectura biométrica, para determinar si tiene las cre-denciales necesarias para acceder a los datos cifrados. Enalgunos casos, podría ser más práctico eliminar los datosconfidenciales de los informes en vez de preocuparnos porcómo hay que descifrarlos. Ya debería ser obvio que unabuena implementación requerirá una cantidad considera-ble de cambios en el código de la aplicación y las interfaces.Además, puede que sea necesario realizar una actualizacióndel sistema dada la sobrecarga de CPU que exigen losalgoritmos de cifrado.

El cifrado basado en la aplicación también necesitamanejar de un modo seguro la gestión de las claves decifrado y el acceso a éstas. Una vez cifrados los datos, laclave es tan valiosa como la versión descifrada de los da-tos. Sería preferible guardar la clave en un dispositivo dehardware distinto y recuperarla mediante programa paralograr la máxima protección. Las API de gestión de cla-ves presentadas en el release V5R4 pueden ayudar a losprogramadores a proteger y gestionar claves de cifrado.

Mantener la clave de cifrado separada de los datos ci-frados es una cuestión importante y esto también es cier-to para las copias de seguridad cifradas de la base de da-tos. Para proteger verdaderamente las copias de seguridadcifrándolas, asegúrese de guardar la clave de cifrado enun soporte distinto al de los datos cifrados.

Aunque el cifrado puede añadir otra capa de proteccióna la base de datos, ya ve que es necesaria una gran canti-dad de trabajo para configurar una solución de cifradocompleta para las aplicaciones y las bases de datos. En elLibro rojo Protecting i5/OS Data with Encryption(www.redbooks.ibm.com/Redbooks.nsf/Redpiece-Abstracts/sg247399.html) hallará más detalles.

Un esfuerzo constanteAhora ya debería tener un buen conocimiento de las téc-nicas y tecnologías disponibles para proteger las bases dedatos del IBM i. Como ha visto, no hay una sola herra-mienta o implementación de tecnología que proteja com-pletamente los recursos de información. Deberá prestar-les cuidarlos con regularidad y diligencia. Proteger dichosrecursos es una tarea permanente que requiere planifi-car, supervisar e implementar las soluciones propuestas...si no desea que su empresa salga en las noticias. ■

Tom Ford empezó a trabajar como programador en 1982 y en 1988 entró enIBM como ingeniero de sistemas, y luego pasó al laboratorio de Rochester. Ahoraejerce de responsable de medidas de seguridad de los STG Lab Services.Kent Milligan es un consultor en DB2 para i del equipo ISV Enablement paraIBM i de IBM. Los ocho primeros años que trabajó para IBM formó parte delequipo de desarrollo de DB2, en Rochester.

http://www.redbooks.ibm.com/Redbooks.nsf/Redpiece-Abstracts/sg247399.html


■ IBM SYSTEMS DIRECTOR 6.1

l objetivo de este artículo es garantizarle que pue-de recuperar la información de seguridad, peropara que la recuperación tenga éxito, primero hayque salvar los datos adecuados. Al final, explica-

ré como recuperar o restaurar los datos de seguridad, peroantes, veamos qué es lo que hace falta salvar.

El primer asunto que hay que entender es cómo se al-macena la información de seguridad en el IBM i. Ciertainformación de seguridad (como los archivos, las bibliote-cas y los directorios) se guardan con el propio objeto. Ex-presado más técnicamente, cierta información se almacenaen la cabecera del objeto. En ésta se almacena la autori-zación *PUBLIC del objeto, el propietario y la autoriza-ción de éste, el grupo primario y la autorización de éste, elvalor de auditoría del objeto y el nombre de la lista deautorizaciones que protegen al objeto. Cuando usted sal-va archivos, ejecuta el mandato SAV o salva las bibliote-cas que no son del sistema, ésta es la información de se-guridad de la que se hace una copia de seguridad.

Algún lector puede que se pregunte qué es lo que ocurrecon las autorizaciones privadas otorgadas a los objetos.¿Cómo se hace copia de seguridad de éstas? ¿Y qué pasacon las listas de autorizaciones? Las autorizaciones pri-vadas y las listas de autorizaciones se salvan cuando sesalvan perfiles de usuario. Y para salvar perfiles de usua-rio hay que ejecutar los mandatos Salvar datos de seguri-dad (SAVSECDTA) o Salvar el sistema (SAVSYS). La cla-ve para recuperar la información correctamente o con elmenor esfuerzo posible depende de lo actuales que seanlos datos de seguridad que se van a utilizar para llevar acabo la recuperación. En otras palabras, ¿cuándo ejecutópor última vez el mandato SAVSECDTA?

Asegúrese depoder recuperarla informaciónde seguridad

Para poder restaurar el sistema, primero es necesario salvar los datos adecuados

Epor Carol Woodbury

¿Con qué frecuencia deben salvarse los datos deseguridad?En realidad, la frecuencia con que debe ejecutarseSAVSECDTA depende de la frecuencia con que se crean,modifican y eliminan perfiles de usuario del sistema. Tam-bién deberá tener en cuenta la frecuencia con que se otor-gan o se eliminan autorizaciones privadas sobre objetosindividuales y listas de autorizaciones, y cuántas veces secrean o eliminan listas de autorizaciones. Por ejemplo, sisolamente salva los datos de seguridad a principios demes y a finales de mes tiene que recuperar el sistema,¿cuántos perfiles de usuario tendrá que volver a crear?(suponiendo que guarde documentación de todas las soli-citudes que se hayan presentado durante ese mes). Ade-más, deberá tener en cuenta los perfiles de usuario quehaya eliminado del sistema y que volverán a aparecer encuanto restaure los perfiles de usuario durante el procesode recuperación. Asimismo, no se olvide de las solicitudespara añadir un usuario a otro grupo, para otorgar a unusuario autorización en las listas de autorizaciones parapoder descargar archivos concretos, o para cambiar lapropiedad sobre objetos del IFS.

Tras reconsiderar todo esto (así como si se dispone delos documentos necesarios para satisfacer todas esas soli-citudes), tal vez decida que su organización necesita salvarla información de seguridad con mucha más frecuencia.Por último, si está en proceso de cambiar la configuraciónde la seguridad (es decir, modificar la autorización*PUBLIC sobre los objetos, proteger archivos con listasde autorizaciones, eliminar las autorizaciones especialesexcesivas de algunos usuarios, etcétera), le interesarásalvar los datos de seguridad con la frecuencia suficiente


como para no perder todas estas importantes actualiza-ciones de la configuración.

El orden importaAhora que ya tiene en cuenta lo que debería salvar y conqué frecuencia debería hacerlo, vamos a centrarnos en larestauración de los datos de seguridad. Para tener algu-na esperanza de que la recuperación tenga éxito, la infor-mación debe restaurarse en el orden que se recomiendaen el manual Recuperación del sistema del release 6.1,que se puede descargar de publib.boulder.ibm.com/infocenter/iseries/v6r1m0/topic/rzarm/sc415304.pdf. (Enreleases anteriores, el manual se denominaba Copia deseguridad y recuperación y se encuentra disponible enpublib.boulder.ibm.com/infocenter/iseries/v5r4/topic/books/sc415304.pdf) ¡No se desvíe del orden descrito eneste manual! En general, el manual le indica que restau-re la información de seguridad usando Restaurar perfilde usuario (RSTUSRPRF (*ALL)), a continuación, los ob-jetos y, por último, que ejecute el mandato Restaurar au-torización (RSTAUT). Restaurar los perfiles de usuarioen primer lugar garantizará la existencia de todos losobjetos que poseen perfiles y listas de autorizaciones an-tes de que los objetos se restauren en el sistema.

Ejecutar el mandato RSTUSRPRF antes de restaurarlos objetos es vital. Si los objetos se restauran antes quelos perfiles de usuario, todos aquellos objetos que poseenperfiles que no son de IBM acabarán siendo propiedad deQDFTOWN. Por lo tanto, si realiza los pasos en ordeninverso, tendrá que volver a empezar. Una vez estableci-da la propiedad de los objetos, permanecerá así a menosque se suprima el objeto y se vuelva a restaurar... estavez con todos los perfiles en el sistema antes de que losobjetos se restauren. Por supuesto, es un proceso arduo,pero esta es la única forma de corregir la propiedad de losobjetos.

Restaurar perfiles de usuario en primer lugar tambiénsignifica que las listas de autorizaciones que protegen losobjetos deben existir en el sistema. Cuando se restauraun objeto protegido por una lista de autorizaciones en elsoporte, pero esa lista de autorizaciones no existe en elsistema, IBM i cambia el objeto de modo que ya no estáprotegido por una lista de autorizaciones (establece la lis-ta de autorizaciones en *NONE) y cambia la autorización*PUBLIC por *EXCLUDE. Estos cambios de configura-ción pueden parecer rigurosos, pero hacer cualquier otracosa tiene el potencial de permitir el acceso público a losdatos cuando se supone que deberían estar fuertementeprotegidos. Nota: la única forma de restaurar una lista deautorizaciones es restaurar todos los perfiles de usuario(es decir, RSTUSRPRF *ALL).

Una vez restaurados los perfiles de usuario (y las listasde autorizaciones) ya pueden restaurarse los objetos. Tras

ésto, querrá llevar a cabo un último paso: necesitará eje-cutar RSTAUT *ALL para todos los perfiles. Cuando serestauran perfiles de usuario en el sistema se crea unobjeto temporal que contiene las autorizaciones privadasdel perfil. Una vez restaurados los objetos y tras ejecutarRSTAUT, IBM i lee este objeto temporal y otorga todaslas autorizaciones privadas que tenía el perfil de usuariosobre los objetos y listas de autorizaciones. Si no realizaeste paso, cuando ejecute el mandato Visualizar perfil deusuario (DSPUSRPRF), verá el mensaje CPD2206, “Nose han restaurado las autorizaciones privadas”, que esuna indicación de que no se ha ejecutado RSTAUT. Esteimportante paso no debe soslayarse. Si se pasa por alto,puede que algunos usuarios no tengan la autorizaciónsobre ciertos objetos que necesitan para hacer su trabajo.O, tal vez, puede que sean capaces de acceder a objetos alos que no deberían acceder.

Receptores de diario de auditoríaAdemás de la información de seguridad que ya se ha des-crito, deberá tener en cuenta otras consideraciones rela-cionadas con la seguridad. Por ejemplo, he observado que,en la mayoría de organizaciones, la manera de salvar losreceptores de diario de auditoría no está bien pensada.Desde un punto de vista legal, si no salvamos los recepto-res de diario de auditoría puede que estemos incumpliendola ley. Por ejemplo, el Estándar de seguridad de datos delsector de las tarjetas de crédito (PCI DSS) exige que lainformación de auditoría se conserve en el sistema du-rante 90 días o, al menos, que sea fácil de recuperar. Igual-mente, la información de auditoría debe guardarse du-rante un año, como mínimo. Algunos sectores, como elfinanciero, tienen requisitos de conservación de los da-tos que pueden obligarle a conservar los receptores dediario de auditoría durante siete años. Según su estrate-gia actual de salvar receptores de diario de auditoría, ¿estácumpliendo las leyes y normativas establecidas por suorganización?

Cuando piense sobre su estrategia de salvar, imagíneselo fácil o difícil que sería recuperar la información deauditoría de un día de trabajo. Algunas organizacionesconsideran que es más fácil generar un nuevo receptor yluego salvar todos los receptores de diario del día ante-rior hasta la hora de la operación de salvar. De esta for-ma, saben que tienen toda la información de un día deter-minado. Algunas organizaciones salvan sus receptores dediario de auditoría en el mismo soporte que el resto de lainformación de salvar. Otras empresas salvan los recep-tores de diario de auditoría en soportes distintos. No exis-te una única “forma correcta”. Lo importante es asegu-rarse de que los receptores de diario se salvan de modoque sea posible restaurarlos fácilmente en caso de quefuera necesario investigar algún problema.

■ EN PORTADA

http://publib.boulder.ibm.com/infocenter/iseries/v6r1m0/topic/rzarm/sc415304.pdf

http://publib.boulder.ibm.com/infocenter/iseries/v5r4/topic/books/sc415304.pdf


CifradoLos efectos del cifrado también deben ser tenidos en cuentadurante una situación de recuperación. Si ha puesto enmarcha un sistema de cifrado o está contemplando la po-sibilidad de hacerlo (por ejemplo, para cifrar las comuni-caciones SSL o TLS, o los campos de una base de datos,cifrándolos por software o por hardware, o para cifrar laspropias copias de seguridad), tendrá que estudiar deteni-damente lo que tiene que habilitar o instalar en el siste-ma de alta disponibilidad del local de seguridad para ga-rantizar que la recuperación se realiza correctamente.

A continuación se ofrece una lista de comprobación rá-pida e incompleta de lo que debe asegurarse de tener:

• certificados digitales adecuados para hacer posible unacomunicación segura

• unidades de cinta capaces de descifrar los soportes decopia de seguridad cifrados

• la capacidad (es decir, que sabe cómo hacerlo) de recu-perar el almacén de claves (el lugar en que se guardanlas claves de cifrado)

• el software, las tarjetas de cifrado o el hardware de des-cifrado instalados necesarios para descifrar o cifrar la

información de los archivos de base de datos de las apli-caciones

• el ID de usuario y la contraseña del administrador conel que debe iniciarse sesión en la tarjeta de cifrado dehardware instalada en la máquina del local de seguri-dad, si este es el método de cifrado que se va a usar

Aunque a nadie le gusta pensar en tener que recuperarun sistema o investigar un problema de seguridad, to-marse el tiempo necesario para valorar la información deseguridad que se está salvando implica que en su mo-mento podrá disponer de la información necesaria parainvestigar esos problemas o recuperar el sistema. ■

Carol Woodbury es cofundadora de SkyView Partners, Inc ., firma especializadaen la gestión de la conformidad en cuestiones de seguridad, en software deevaluación, y en servicios de seguridad. Antigua arquitecta jefe de seguridad delAS/400 en el laboratorio de Rochester (Minnesota) de IBM, se ha especializadoen los campos de la consultoría, el diseño y la arquitectura de seguridad desdehace más de 16 años. Es una conferenciante de renombre mundial en distintoscampos de la seguridad y coautora del libro Experts’ Guide to OS/400 andi5/OS Security (29th Street Press).

¡¡Suscríbete a la edición digital!!Más de doce números gratuitos

www.help400.es/suscripcion.htm

http://www.help400.es/suscripcion.htm

▲▲▲

Pro

gram

ació

n y

sist

emas


unto con IBM y Sun Microsystems, Microsoft fueuna de las compañías que participaron en la espe-cificación original de los servicios web. Era de espe-rar que las herramientas de Microsoft ofrecieransoporte para desarrollar y consumir servicios web

y, efectivamente, puede encontrar todo lo necesario en elproducto Visual Studio de la compañía. Puede utilizar Vi-sual Studio 2008 y Microsoft .NET Framework para de-sarrollar y probar en muy poco tiempo una aplicación con-sumidora de servicios web (es decir, un programa que seponga en contacto con un servicio web existente y quefuncione con sus datos). Es una de las técnicas de conexiónmás sencillas que existen. Puede enlazar un servicio web.NET con la base de datos de IBM i utilizando los provee-dores ODBC, OLE DB o .NET de System i Access. Lasherramientas para trabajar con servicios web en VisualStudio 2005 son prácticamente idénticas a las de la ver-sión 2008, de modo que también puede usarse este entor-no de desarrollo. En este artículo explicaremos cómo darlos primeros pasos.

Para desarrollar una aplicación consumidora de serviciosweb primero hay que conocer el URL que apunta al docu-mento del lenguaje de descripción de servicios web (WSDL).En este ejemplo, utilizaré el servicio web meteorológicodisponible en http://webservicex.net/WCF/Service-Details.aspx?SID=44). Proporciona una función para re-cuperar el parte meteorológico de los próximos siete días paraun determinado código postal de los Estados Unidos.

Cuando se genera una aplicación consumidora de ser-vicios web puede usarse cualquier tipo de programa paraacceder al servicio web. Por ejemplo, un consumidor deservicios web podría ser una aplicación web, un formula-rio de Windows o un programa de servicio de Windows.En este ejemplo he desarrollado una aplicación de conso-la que utiliza como entrada y salida una sencilla “sesiónDOS”. Aunque puede parecer inusualmente limitado usarVisual Studio y .NET para desarrollar aplicaciones deconsola retro, es sumamente productivo utilizar estas apli-caciones como bancos de pruebas de técnicas nuevas. Unavez logre que el código funcione en la consola, sólo tendráque copiarlo y pegarlo en la aplicación real en la que senecesita la función.

Añadir una referencia de servicioPara añadir una referencia de servicio, en primer lu-gar he creado una nueva aplicación de consola deWindows para el entorno de programación C#. Si tra-baja con Visual Basic, sepa que dispone de las mismasherramientas y que, por lo tanto, puede conseguir losmismos resultados.

En el Explorador de soluciones de Visual Studio, pul-se con el botón derecho del ratón en la opción References(Referencias) y seleccione la opción de menú AddService Reference (Agregar referencia de servicio), comose muestra en la Figura 1. En el recuadro de diálogoAgregar referencia de servicio (Figura 2), escriba elURL del documento de WSDL y pulse el botón Go (Ir).Al cabo de unos segundos, se extrae la lista de servi-cios del WSDL y se muestra. En la parte inferior de laFigura 2 puede verse que Visual Studio propone el nom-bre de un espacio de nombres que se usará en el código.El nombre puede aceptarse o modificarse. En este ejem-plo, he cambiado el nombre propuesto por Web-servicex.WeatherForecast. Una vez especificada la di-rección y el nombre del espacio de nombres, pulse elbotón Aceptar.

Puede verse que la referencia de servicio está disponi-ble en el proyecto, como se muestra en la Figura 3. Acontinuación, hay que escribir el código para trabajar conla referencia de servicio.

J

Utilice C# para consumirservicios web

Pruebe una de las técnicas de conexión más sencillas que existen

por Craig Pelkie

FIGURA 1Menú Agregar referencia de servicio

http://webservicex.net/WCF/Service-Details.aspx?SID=44

▲▲▲

Program

ación y sistemas



▲▲▲

Pro

gram

ació

n y

sist

emas


Código para trabajar con la referencia de servicioEn la Figura 4 se muestra el código que he escrito en C#para probar el servicio. Para facilitar el trabajo con lasclases expuestas por la referencia de servicio, he añadidouna segunda sentencia using, que define el espacio denombres del servicio. ConsoleApplication1 no es un granpunto de partida para el espacio de nombres; en un entor-no de desarrollo real, crearía un proyecto y le asignaríaun indicativo de espacio de nombres de los servicios queme interesan en mis aplicaciones. En esta aplicación heusado tres clases del servicio:

• WeatherForecastSoapClient proporciona métodos quepueden llamarse para obtener el parte meteorológicode un código postal.

• WeatherForecasts contiene datos del pronóstico meteo-rológico para el código postal seleccionado.

• WeatherData incluye datos detallados del pronósticopara una fecha concreta.

El código empieza especificando el objeto wfsc, una ins-tancia de la clase WeatherForecastSoapClient. Luego uti-liza el método GetWeatherByZipCode de esta clase paradevolver un objeto de WeatherForecasts (wfs). En cuantotermina de ejecutarse el método GetWeatherByZipCodeya dispongo de los datos para el código postal especifi-cado, que se muestran usando las sentencias Conso-le.WriteLine.

La propiedad wfs.Details es una matriz de objetos deWeatherData que contienen datos del pronóstico del tiem-po ordenados por día, empezando por el día de hoy. Elbucle foreach me sirve para repetir el proceso para cadaobjeto de WeatherData. Dentro del bucle extraigo e im-primo el día, la temperatura mínima y máxima en gradosCelsius y la temperatura mínima y máxima en gradosFahrenheit. Puede ver el resultado de acceder al servicioweb en la Figura 5.

Basándose en la salida visible y el código, puede vercómo alcanzar el servicio y los datos que proporciona.Grabar los datos del servicio en un archivo de base dedatos debería ser bastante fácil. Si quiere capturar losdatos meteorológicos y grabarlos en el IBM i, puede utili-zar el proveedor .NET de IBM, el proveedor OLE DB o elcontrolador ODBC.

Proveedores de servicios web en .NETAunque el objetivo de este artículo es mostrar cómo pue-den desarrollarse aplicaciones consumidoras de serviciosweb usando Microsoft .NET Framework y Visual Studio,también debería saber que Visual Studio proporciona he-rramientas para desarrollar aplicaciones proveedoras deservicios web. Por ejemplo, puede crear programas escri-tos en C# o Visual Basic para llamar a servicios web des-

de otras aplicaciones. Para crear un proveedor de servi-cios web en Visual Studio, basta con iniciar un nuevo pro-yecto web y seleccionar un subproyecto de tipo servicioweb. Los proveedores de la base de datos que se utilizancon las aplicaciones consumidoras de servicios web tam-bién pueden usarse para el IBM i cuando se desarrollauna aplicación proveedora de servicios web con el fin deobtener datos del sistema para ponerlos a disposición enforma de servicio web.

La forma más fácil de conectarseCuando empiece a estudiar los servicios web puede quese sienta abrumado por toda la terminología y las técni-cas relativamente complicadas que se usan. Pero pienseen el ejemplo que le acabo de mostrar desde el punto devista de lo que no tiene que hacer. No tiene que preocu-parse por los sockets TCP/IP; no tiene que crear o anali-zar código XML; y no tiene que configurar programas que

FIGURA 2Recuadro de diálogo Agregar referencia de servicio

FIGURA 3Referencia de servicio

▲▲▲

Program

ación y sistemas


se ejecutan en un servidor web. Con Visual Studio y .NET,lo más difícil de crear una aplicación consumidora de ser-vicios web es encontrar el URL del documento de WSDL.Por suerte, todos los proveedores de servicios web lo po-nen fácil. Después de todo, les interesa que accedamos asus servicios. De hecho, hacer uso de servicios web utili-zando herramientas como las que ofrece Visual Studio esuna de las técnicas de conexión más sencillas que exis-ten. ■

Craig Pelkie ha trabajado muchos años como programador de equiposmidrange de IBM. También ha escrito profusamente y ha dado muchas conferen-cias sobre distintas tecnologías del AS/400 y el System i, como por ejemplo laprogramación cliente-servidor, Client Access, Java, WebSphere, las aplicaciones.NET para el System i y el desarrollo web.

using System;using ConsoleApplication1.Webservicex.WeatherForecast;

namespace ConsoleApplication1 { class Program { static void Main(string[] args) {

WeatherForecastSoapClient wfsc = new WeatherForecastSoapClient();

WeatherForecasts wfs = wfsc.GetWeatherByZipCode(“92082”);

Console.WriteLine(“PlaceName: {0}”, wfs.PlaceName); Console.WriteLine(“StateCode: {0}”, wfs.StateCode); Console.WriteLine(“Latitude: {0}”, wfs.Latitude); Console.WriteLine(“Longitude: {0}”, wfs.Longitude);

String heading = new String(‘ ‘, 30); heading = heading.Insert( 1, “Date”); heading = heading.Insert(31, “Min/Max C”); heading = heading.Insert(41, “Min/Max F”);

Console.WriteLine(heading);

foreach (WeatherData wd in wfs.Details) {

String daily = new String(‘ ‘, 30);

daily = daily.Insert( 1, wd.Day); daily = daily.Insert(31, wd.MaxTemperatureC + “/” +wd.MaxTemperatureC); daily = daily.Insert(41, wd.MinTemperatureF + “/” +wd.MaxTemperatureF);

Console.WriteLine(daily); }

Console.WriteLine(“Press ENTER to end”); Console.ReadLine(); } }}

FIGURA 4Código escrito en C# para probar una referencia deservicio

FIGURA 5Resultado de acceder al servicio web

Os presentamos el Blog dela revista ServerNEWS

Un nuevo espacio de opiniónparticipativa promovido porPublicaciones Help400 para po-tenciar el IBM i en PowerSystems como la mejor opcióny plataforma informática dis-ponible en el ámbito de la ges-tión empresarial.

Participa en los comentarios:tu opinión también cuenta.

http://help400.blogspot.comhttp://help400.blogspot.com

http://help400.blogspot.com

▲▲▲

En d

irec

to


Dpor Alberto C. Blanch

espués de una pausa de varios años, SoftwareGreenhouse, esta vez en colaboración conCommon España y con el patrocinio de VisionSolutions, organizó en el pasado mes de Mayo

en Madrid y Barcelona la 3ª Edición de sus “Encuentros”.Por primera vez se convocaban conjuntamente usuariosde las plataformas “i” y “p”.

El evento contó con la colaboración de nuestra revista ycon la de IBM España, Laboratorios Almirall y USP Hos-pitales que proporcionaron ponentes para algunos de lostemas abordados en las reuniones. Los eventos tuvieronlugar en Madrid en el Hotel Meliá Castilla y en Barcelo-na en el Hotel Miramar.

El entorno Power de IBM, desde el año pasado unifica-do en una misma plataforma de hardware sobre la que esposible ejecutar AIX, Linux, e IBM i (antes OS/400), si-gue más que vivo. A pesar de no haber tenido la presenciaen los medios que en justicia merece, la plataforma dispo-ne de una oferta integrada y completa. La fusión de pla-taformas ha permitido además a proveedores como Soft-ware Greenhouse aproximarse con la oferta para elentorno AIX.

Sobre los IBM Power SystemEl evento contó con la presencia de Eduardo López Jacob,Director de Canal para Power Systems de IBM para elOeste y Sur de Europa, quien en su intervención destacóla larga colaboración entre IBM y Vision Solutions, el único“Premier Business Partner” en el campo de alta disponi-bilidad. A continuación hizo un resumen de las novedadesmás recientes de IBM, en lo que la compañía ha definidocomo “The New Power Equation”, la nueva familia de equi-pos Power 6 que permiten ejecutar diferentes sistemasoperativos. Esta nueva gama, en palabras de López Jacob,“pretende responder a tres retos fundamentales que tie-nen nuestros clientes, como son la dificultad de la gestión,escasez de espacio y costes energéticos”.

Para López Jacob, además, el 70% de los costes de pro-piedad de los sistemas corresponden a la gestión y admi-nistración de los sistemas, mientras que el 30% restantese deriva del coste de adquisición y consumo energético.El objetivo de IBM es atacar ese 70% de los costes con unnuevo hardware unificado y una plataforma de virtua-

lización que se denomina PowerVM. “El 65% de los nue-vos equipos Power incorpora PowerVM”, prosiguió LópezJacob. Entre las funcionalidades de PowerVM, destacó suhipervisor, particiones lógicas dinámicas, servidor de en-trada/salida virtual, la posibilidad de ejecutar aplicacio-nes Linux x86 sin necesidad de migración, la posibilidadde mover máquinas virtuales de una máquina física a otray por último, la capacidad de asignar memoria a las VMde forma dinámica.

Para finalizar, Eduardo López Jacob afirmó que la pla-taforma “i” tiene mucho futuro por delante. “Con la fusióndel hardware bajo el nombre Power, IBM i se va a benefi-ciar de las mejoras continuas de la plataforma”, insistió.

Vision SolutionsEl siguiente ponente fue Alan Arnold, CTO de VisionSolutions, empresa que ofrece a los clientes IBM solucio-nes de Alta Disponibilidad, Recuperación de Desastres yProtección Continuada de Datos, las cuales conjuntamenteaportan resiliencia a los Sistemas Informáticos de lasEmpresas. Alan Arnold insistió en la necesidad de tenermuy claro el impacto de la inactividad de los sistemas,tanto en partidas tangibles como las menos tangibles –pero muy importantes– como pérdida de posibles clien-tes, de facturación, de la satisfacción de clientes y dañosen la imagen de la compañía.

Mencionó la amplia gama de productos diseñados paragarantizar la resiliencia de los sistemas Power, tanto “i”como AIX. “Vision, trabajando en colaboración con IBM,ofrece al mercado una nueva generación de solucionesresilientes. IBM ha efectuado muchas mejoras a sus siste-mas operativos, bases de datos, aplicaciones middleware,servidores y subsistemas de discos que han permitido aVision crear las mejores soluciones del mercado”, afirmóArnold. De hecho, aseguró el directivo, “Vision es respon-sable de más del 80% de la facturación de IBM enhardware asociada a la alta disponibilidad, y se encuen-tra entre los 5 mayores ISV que generan más facturacióna IBM en el mundo”.

Caso práctico de cliente VisionEl evento también contó con la presencia de Joan Ventu-ra, Director de Operaciones TIC de Laboratorios Almirall,

Encuentros Power Systems 2009

▲▲▲

En directo


usuaria desde hace diez años de las soluciones resilientesde Vision Solutions para IBM i. Joan Ventura es elresponsable de un funcionamiento armónico de unos 240servidores, con más de 200 aplicaciones instaladas. Entreellas se destaca SAP R/3 sobre IBM i con 500 usuarios ycon la conexión de todas las farmacias de España.

En su exposición, Ventura explicó que dos veces al año,prueban un “cambio de rol” (conocido en otras platafor-mas como failover) de las aplicaciones. Una de estas prue-bas se hace públicamente, lo que demuestra la confianzaque tiene Laboratorios Almirall en las soluciones deresiliencia de Vision. La presentación acabó con la invita-ción por parte de Laboratorios Almirall para todos los co-legas que deseen asistir a la próxima prueba que se reali-zará en el otoño de 2009.

La nueva solución para la plataforma AIXLa presentación del producto fue realizada por el Directorde Cuentas de Software Greenhouse, Juan José Garrido.La solución, lanzada en el año 2008 con gran éxito en losEE.UU., ha alcanzado en su primer año una venta de 5millones de dólares. La parte más destacada del productoes el módulo denominado EchoStream que replica datosa un servidor remoto, aportando a la empresa la Recupe-ración frente a Desastres. EchoStream también ofrece unade las más avanzadas soluciones de CDP, permitiendorecuperar pérdidas accidentales de ficheros o reversar fi-cheros que han sido contaminados por errores de progra-mación o un ataque viral. EchoStream es un complemen-to ideal para el producto HACMP de IBM que provee AltaDisponibilidad local vía cluster.

PHP nativo en la plataforma Power.Santiago Raventós, CIO, Socio y miembro del Comité deDirección Corporativo de USP Hospitales, realizó la últi-

ma presentación del acto exponiendo las experiencias dela empresa con el desarrollo de aplicaciones en PHP so-bre IBM i. Como clientes AS/400 desde 1993, han seguidola evolución de la plataforma, desde el interfaz 5250 enmodo carácter hasta sus primeros desarrollos en PHP,lenguaje que se encuentra de forma nativa en IBM i. PHPdebido a esta característica mejora el rendimiento delacceso a la base de datos de un 40% frente a ODBC. Ade-más, la aplicación permite ofrecer a sus usuarios en másde 40 centros hospitalarios y dispensarios aplicacionesmás ricas, accesibles desde cualquier navegador web yque permiten integrar imágenes como radiografías, ta-blas fácilmente visibles con las constantes vitales de lospacientes, etcétera.

Santiago Raventós destacó también la firme intenciónde la empresa de seguir invirtiendo en el IBM i, comoplataforma sólida y robusta que hoy día ofrece amplioabanico de posibilidades para el desarrollo de aplicacio-nes, mucho más allá del tradicional RPG.

En resumen...Las dos reuniones tuvieron unos animados coloquios y, engeneral, los participantes con quienes pudimos inter-cambiar opiniones durante los cafés y el aperitivo finalquedaron muy satisfechos con el contenido de las reunio-nes. Lejos de ser un típico evento de marketing de unproveedor, estos “Encuentros” se han convertido en unacita de profesionales, donde en un marco muy distendidose intercambian opiniones y experiencias útiles para lagestión de las instalaciones y toma de decisiones tecnoló-gicas. ■

Alberto C. Blanch, con más de 25 años de experiencia en entornos medios deIBM, es el director y fundador de esta revista.

Una instantánea del encuentro celebrado en el hotel Miramar de Barcelona

Truc

os y

téc

nica

s

▲▲▲

30 ServerNEWS MAYO 2009

Llamar a un procedimientocon RPG de formato libre

P Necesito llamar al procedimiento principal de un mó- dulo desde RPG de formato libre. Lo hago desde RPGde formato fijo usando CALLB, pero en RPG de formatolibre no se permite usar el código de operación CALLB.Para colmo, las normas de mi empresa prohíben la cons-trucción /End-Free, CALLB, /Free. ¿Cómo puedo llamar aun procedimiento usando RPG de formato libre?

R Cuando se presentó el formato libre, IBM dejó de dar soporte a los códigos de operación heredados

CALL y CALLB, ya que los prototipos eran una opciónmucho mejor. Por ejemplo, puede escribir el siguiente pro-totipo:

D MIMODULO PR

D Parm1 10a

D Parm2 9p 2

Este prototipo llama a un procedimiento denominadoMIMODULO y le pasa dos parámetros: Parm1 y Parm2.Las definiciones de Parm1 y Parm2 no son variables. Unprototipo no contienen definiciones variables, sino que leindica al compilador de RPG el nombre de la rutina (porejemplo, MIMODULO) y el tipo de parámetros que acep-ta la rutina. El compilador usa esta información cada vezque se llama a MIMODULO para verificar que el paso delos parámetros es correcto.

Además, procure utilizar nombres que le permitan re-cordar fácilmente qué se le pasa al procedimiento que seestá llamando. El prototipo de ejemplo siguiente

D ORX108R4 PR

D NUMREF 10aD PRECIO 9p 2

llama a un procedimiento denominado ORX108R4, cuyoprocedimiento principal también se llama ORX108R4.Aquí, uso NUMREF y PRECIO para ayudarme a recor-dar lo que tengo que pasar para cada parámetro. Si deseollamar al procedimiento principal del módulo ORX108R4,escribiría lo siguiente en RPG de formato libre:

ORX108R4( MiNumRef : MiPrecio );

Para proteger el código contra errores, el compilador deRPG verifica que la variable MiNumRef se puede pasarlegalmente como un valor 10A y que MiPrecio se puedepasar legalmente como una variable 9p 2. Mejor aún, enel prototipo puedo especificar un nombre distinto deldel procedimiento (o módulo) subyacente real añadien-do la palabra clave ExtProc() al prototipo (Figura 1).

Debido al límite de diez caracteres de los nombres deobjetos en nuestro sistema operativo, mucha gente utili-za abreviaturas de difícil comprensión como ORX108R4para los nombres de los módulos, etcétera. Pero “cambiarel nombre” del módulo en el interior del código facilita sulectura.

Si no se especifica ExtProc(), la opción predeterminadaconsiste en llamar a un procedimiento que tenga el mis-mo nombre que el prototipo. Naturalmente, los prototipostambién pueden reemplazar el código de operación CALL,lo que permite llamar a otros programas además de lla-mar a procedimientos. Para llamar a un programa, debeespecificar la palabra clave ExtPgm en lugar de ExtProc(Figura 2).

Tenga en cuenta que ExtPgm llama a un programa envez de a un subprocedimiento. En el programa puedo ha-cer referencia a la rutina AP_GET_CHECK_DATE***(1)pero, en el disco, el objeto *PGM se denomina APZ994R4.Esta llamada funciona igual que si se hace con CALL/PARM o ejecutando el mandato CALL de CL.

En la Figura 2, también he puesto la palabra claveCONST en los dos primeros parámetros, de modo que larutina a la que se llama no puede modificar esteparámetro. En este caso resulta práctico, ya que mejorala legibilidad del código. Como tanto VENDOR comoCHECKNO los he marcado como CONST, es obvio que seutilizan como parámetros de entrada. El parámetro DATEno es CONST para dejar claro que APZ994R4 lo utilizarápara devolver datos.

— Scott Klement

D GETPRICE PR ExtProc(‘ORX108R4’)D SKU 10aD PRICE 9p 2 . . GetPrice( MySKU : MyPrice );

D AP_GET_CHECK_DATE...D PR ExtPgm(‘APZ994R4’)D VENDOR 4p 0 constD CHECKNO 9p 2 constD DATE 8p 0 . . AP_GET_CHECK_DATE( VendNo: CheckNo: Date );

FIGURA 1Utilización de ExtProc para especificar un nombre distintoen el prototipo

FIGURA 2Especificando ExtPgm para llamar a un programa

Trucos y técnicas

▲▲▲


Descarga rápida de todos losmiembros fuente en un PC

P Necesito descargar todos los miembros fuente de un determinado archivo físico fuente en mi PC. Me

gustaría que fueran legibles en el PC, por lo que no mesirve la sugerencia de que use un archivo de salvar. Megustaría editar los miembros fuentes en el PC con herra-mientas normales y poder subirlos de nuevo más tarde.

R Se me ocurren dos formas fáciles de hacerlo. Para la una hay que utilizar WDSc y para la otra FTP.

WDSc proporciona una herramienta que permite acce-der a los miembros fuente fuera de línea. Por ejemplo, sidesea trabajar en el código fuente mientras viaja en avión,puede utilizar la opción Poner disponible fuera de líneapara descargar el código en el portátil. Luego, puede edi-tar el código con WDSc y actualizar los cambios cuandose pueda volver a conectar con el System i.

Para ello, pulse en el Explorador de sistemas remotosla opción Objetos|Trabajar con objetos del iSeries, y bus-que el archivo fuente que desea descargar en el PC. Siselecciona un archivo físico fuente, puede pulsar sobre élcon el botón derecho del ratón, elegir Poner disponiblefuera de línea y WDSc automáticamente descargará to-dos los miembros en el PC para poderlos consultar poste-riormente.

No es necesario descargar todos los miembros. Si deseadescargar un miembro concreto, puede pulsar con el bo-tón derecho del ratón en el miembro para poder acceder aél fuera de línea. Cuando esté listo para devolver el miem-bro fuente al System i, pulse sobre él con el botón derechodel ratón en la vista de iSeries Project Navigator y elijaAcciones remotas|Insertar cambios.

La segunda opción, FTP, tiene un mandato denominadomget que permite recuperar todos los archivos que ten-gan determinado nombre. Pueden usarse comodines, porlo que es fácil descargar todos los miembros de un miem-bro fuente dado. De forma predeterminada, FTP hace unapausa antes de descargar cada archivo y pregunta al usua-rio si realmente desea descargarlo, algo que puede resul-tar engorroso. Sin embargo, se puede utilizar otro man-dato de FTP, denominado prompt, para indicarle a FTPque no pregunte por cada miembro. Para usar la técnicabasada en FTP, siga estos pasos:

1. Abra el Bloc de notas en Windows. Escriba el códigosiguiente en él:

klemscot <— aquí ponga su ID de usuario

grandullon <— aquí ponga su contraseña

quote site namefmt 0

prompt off

cd SRCLIB

ascii

mget QRPGLESRC.*

quit

2. Guarde el archivo en c:\FTPTEST.TXT (o en cual-quier otro sitio).

3. Abra un indicador de mandatos (o la interfaz demandatos de MS-DOS) y escriba el siguiente mandato deDOS:

ftp -s:C:\FTPTEST.TXT as400.ejemplo.com

Debería conectarse automáticamente con (en este ejem-plo) as400.ejemplo.com, cambiar a la biblioteca SRCLIBy descargar todos los miembros del archivo QRPGLESRC.

Si desea que el mandato se ejecute automáticamentecuando un usuario pulse un icono, puede crear un accesodirecto al programa FTP y configurarlo para que ejecutela secuencia de mandatos. Para ello, siga estos pasos:

1. Pulse con el botón derecho del ratón en el escritorio yelija Nuevo|Acceso directo.

2. Cuando se le pida que “Escriba la ubicación del ele-mento”, escriba simplemente “ftp” (por ahora) y pulseSiguiente.

3. Cuando se le pida que “Escriba un nombre para esteacceso directo”, especifique algo del estilo “Descargartodos los miembros fuente de SRCLIB” y pulse Finali-zar.

4. Ahora habrá un acceso directo en el escritorio. Pulsesobre él con el botón derecho del ratón y elija Propie-dades. En la pestaña Acceso directo, en el recuadro detexto Destino, dice:

%windir%\system32\ftp.exe

5. Cámbielo de modo que diga

%windir%\system32\ftp.exe -s:C:\FTPTEST.TXT

as400.ejemplo.com

Asimismo, cambie el valor de “Iniciar en” por el direc-torio en el que desea que se descarguen los miembrosfuente (por ejemplo, C:\DESCARGAS).

6. Pulse Aceptar para guardar los cambios.

Ahora, cuando efectúe una doble pulsación en el iconodel escritorio, debería ejecutarse automáticamente la se-cuencia de mandatos FTPTEST.TXT para descargar to-dos los miembros fuente en la carpeta especificada.

— Scott Klement


GUIA



GUIA

Pere IV 78-82, 7º 3ª08005 - Barcelona (Spain)

T. 34 934 854 427 Fax 34 934 850 168

Mantenimiento / Alquiler y

Brokerage / Venta / Redes

Backup Center

MANTENIMIENTO Y BROKERAGEINFORMÁTICO, S.L.

P.T.A. Edificio CENTRO EMPRESAS 29590 Málaga

http://www.help400.com/asp/scripts/link.asp?name=19533 A

http://www.help400.com/asp/scripts/link.asp?name=19533 B


Como sabes, esta información es estrictamente confidencial. Aunque nosotrosneguemos haberlo dicho o escrito, te autorizo a que obres en consecuencia

confidencial por Carlos Bell

INDICE DE ANUNCIANTES JUNIO/JULIO 2009Empresa Página

AMERICAN TOP TOOLS ......................... Interior portadaAMERICAN TOP TOOLS ........... Interior contraportadaBARTECH ...................................................................................... 7CACOVAI .................................................................................... 25EXICON ....................................................................................... 12GUÍA ..................................................................................... 32, 33IBM ......................................................................ContraportadaSIRIO INFORMATICA ............................................................ 21SUSCRIPCION ServerNEWS ................................................. 23TRENTISA .................................................................................... 15

LOS ROBOS DE DATOS SUBEN COMO LA ESPUMA

A propósito de los Temas de portada de este número, lacifra récord que alcanzan los robos de números de tarje-ta de crédito y de otros valiosos datos digitales pareceburlarse de las medidas de seguridad adoptadas paraprotegernos. Tal parece que ni los informáticos más cui-dadosos en esta materia pueden impedir que las mafiassaqueen digitalmente una entidad financiera o cualquierotra empresa, ya que penetran en su red por un agujeroolvidado, pero fácil de aprovechar, para inyectar pro-gramas maliciosos encargados de robar esos datos.

Según el informe “Data Breach Investigations Report2009” de Verizon Business (accesible desde la direcciónsituada al pie de la figura), en 2008 los ladrones se apo-deraron de unos 285 millones de registros, más de loque Verizon Business había encontrado en los cuatroaños anteriores combinados. La compañía basó su in-forme en investigaciones públicas y otras privadas delos principales robos reportados en compañías impor-tantes, para lo cual se centraron en aquellos ataquesdonde los delincuentes tuvieron éxito y se hicieron conlas numeraciones de tarjeta de crédito u otro tipo dedatos valiosos.

Los responsables de la mayoría de robos son ladronesen busca de ganancias: “El 91 por ciento de todos losregistros robados en 2008 se atribuye a la actividaddelictiva organizada”, indica el informe que tiene encuenta las direcciones IP usadas en los robos, ademásde los arrestos efectuados y los que se harán como re-sultado de las investigaciones, coordinadas frecuente-mente con agencias policiales como el FBI y ScotlandYard. De los 90 allanamientos estudiados como funda-mento del informe, 68 procedían de una dirección IPconcreta; Europa del Este fue la fuente más común, se-guida por Asia Oriental y por América del Norte.

Hoy, los ladrones de datos en línea no se limitan sim-plemente a ejecutar rastreos automáticos para aprove-charse de cualquier agujero que encuentran en las redes.Lo más probable es que primero seleccionen un blancoespecífico cuyos datos puedan ser convertidos en dineroefectivo, y después planifican cómo entrar. Con frecuen-cia encuentran un punto fácil para hacerlo, por ejemplo,una conexión de acceso a Internet que emplea una contra-seña predeterminada. Incluso en los pocos casos dondelos piratas se enfocaron en un agujero específico de soft-ware, no atacaron nuevas fallas potencialmente descono-cidas por los informáticos. De los seis casos en los queVerizon Business atribuye un ataque centrado en el soft-ware, cinco aprovecharon vulnerabilidades que ya teníancorrecciones disponibles desde hacía más de un año; lasolución para el sexto existía desde hacía seis meses.

No sólo son los bancos. Según informaba el pasado 11de junio el diario escocés Sunday Herald, un ataque per-petrado a uno de los principales grupos hoteleros occiden-tales ha permitido el robo de datos de identidad (direccio-nes, números de teléfono, detalles de tarjetas de crédito ylugar de empleo) de unos ocho millones de clientes de di-cha empresa. Según la noticia, un hacker indio desconoci-do habría logrado burlar la seguridad del grupo a travésdel sistema de reservas on line para, posteriormente, ven-der la información sobre cómo acceder a una red clandes-tina controlada por la mafia rusa.

En fin, espero que no os veáis afectados ni a nivel labo-ral ni personal por uno de esos robos y que nadie os amar-gue las vacaciones... Eso es todo, hasta septiembre. ¡Ah, ycuidado con la tarjeta de crédito! ■

www.verizonbusiness.com/resources/security/reports/2009_databreach_rp.pdf

http://www.verizonbusiness.com/resources/security/reports/2009_databreach_rp.pdf

JUNIO-JULIO 2009 PowerNEWS 1

Suplemento digital del número 195 de ServerNEWS Junio-Julio 2009

55

La sensación que me produce la versión 6.1 deIBM Systems Director Navigator para i (desde ahora, simplemente “Navigator para i”) es

parecida al orgullo que siento cuando uno de mis cua-tro hijos realiza algo verdaderamente excepcional. Loque hemos proporcionado a los usuarios es una he-rramienta basada en web intuitiva, rápida y robustapara gestionar el sistema operativo IBM i. ¿No cono-ce Navigator para i?

Bueno, todo empezó con Operations Navigator, unaaplicación basada en Windows que permitía gestionarun puñado de tareas del sistema operativo OS/400.Cuando más adelante le cambiamos el nombre poriSeries Navigator, le añadimos Management Central,que ofrece funciones de gestión centralizada relacio-nadas con la supervisión, los arreglos (PTF’s) y losusuarios, además de otras tareas. En el proceso, nues-tro objetivo era ir migrando Navigator a una interfazbasada en web porque sabíamos que los usuarios noquerían depender de una aplicación de Windows ins-talada en el centro de datos para gestionar sus siste-mas operativos.

En las versiones 5.3 y 5.4 empezamos a añadir ta-reas basadas en web que se basaban en las tareas deNavigator. Ahora, en el release 6.1, tenemos más de300 tareas basadas en web que pueden ejecutarsecon la misma facilidad que con System i Navigator,pero ahora desde Navigator para i.

Comparación entre el viejo y el nuevo NavigatorAntes de empezar a describir las funciones deNavigator para i, me gustaría comentar las diferen-

cias entre éste y System i Navigator. Esta es la defi-nición de cada una.

Navigator para i. Esta consola basada en webestá incrustada en todas las instancias del sistemaoperativo IBM i. No hay que instalar nada. Tenemosa nuestra inmediata disposición más de 300 tareascon sólo apuntar el navegador web a http://nombre-sistema:2001.

System i Navigator. Esta consola instalada enWindows utiliza mandatos remotos y API para accedera varios sistemas operativos IBM i. Se incluye conSystem i Access y precisa configurar los sistemas quese quieren gestionar antes de poder acceder a ellos.

A continuación se describe lo que se puede gestio-nar con cada versión:

Navigator para i. Como esta consola está incrus-tada en el sistema operativo IBM i, puede gestionarsolamente esta instancia. Hay unas cuantas excep-ciones: el usuario puede utilizar Navigator para i paragestionar instancias remotas de IBM i mediante lainstancia actual (mediante el asesor de URL), ade-más de gestionar los servidores Windows y Linuxintegrados.

System i Navigator. Como esta consola está ins-talada en una máquina Windows remota, puede ges-tionar un puñado de instancias de IBM i directamenteo muchas instancias de IBM i usando la funciónManagement Central.

Las capacidades exclusivas de cada una son las si-guientes:

Navigator para i. Las dos funciones principalesdisponibles únicamente en Navigator para i son

IBM Systems Director Navigator para iTareas basadas en web para gestionar el IBM i

Por Greg Hintermeister

2 PowerNEWS JUNIO-JULIO 2009

IBM Systems Director Navigator para i

Perforación Data Investigator y HighAvailability Solutions Manager (HASM).Además, también se incluyen mejoras enla facilidad de uso, como la posibilidadde especificar una página de inicio exclu-siva y de personalizar las tareas favori-tas.

System i Navigator. Las funciones deManagement Central sólo están disponi-bles en System i Navigator. Sin embargo,muchas de las cosas que ofrece Mana-gement Central también están disponiblesen IBM Director y se mejorarán en el próxi-mo release de IBM Systems Director (ex-plicaré más cosas sobre este tema en unpróximo artículo). Asimismo, Navigatorpara i no incluye funciones de la base dedatos que impliquen el uso de gráficos ydiagramas, vistas gráficas de la gestión delos discos ni diagramas de capacidad.

Le propongo que utilice Navigator para ipara las tareas específicas de IBM i quehan de realizarse diariamente y que utili-ce System i Navigator o IBM Director paralos trabajos de supervisión, actualizacióne inventario.

Para empezarPara empezar a utilizar Navigator para isólo tiene que apuntar el navegador a ladirección web: http://nombresistema:2001.Navigator para i forma parte de la opción3 del sistema operativo base (5761SS10003).

Navigator para i necesita algunos progra-mas, pero estos productos ya deberían es-tar en nuestro sistema. Sin embargo, si tiene algúnproblema, puede echar mano de esta lista:

• IBM HTTP Server para i5/OS (5761DG1)• QShell (5761SS1 opción 30)• PASE (5761SS1 opción 33)• IBM Developer Kit para Java (5761JV1)

• J2SE 5.0 de 32 bits (5761JV1 opción 8)• IBM Toolbox para Java (5761JC1)• Host Servers (5761SS1 opción 12)

Si necesita resolver algún problema relacionado conel trabajo servidor que ejecuta Navigator, busque lostrabajos Admin de QHTTPSVR. En la Figura 1,

FIGURA 1

System i Navigator mostrando trabajos del servidor QHTTPSVR

FIGURA 2

Página de bienvenida con las tareas principales a la izquierda

FIGURA 3

Página de resumen de las tareas del sistema


puede ver varios trabajos Admin de QHTTPSVR. Elprimero ejecuta HTTP Web, LDAP, Web Navigator yfunciones de IPP. Admin2 ejecuta IBM Systems Di-rector Navigator, Secure Perspective, Cluster Servicesy HASM. El trabajo Admin3 ejecuta IBM Access paraWeb. Puede finalizar y reiniciar el servidor HTTP des-de los trabajos del servidor TCP/IP.

Primer contacto: moverse por Navigator para iCuando abra Navigator para i verá un montón detareas parecidas, como las que se se muestran en laFigura 2. Le alegrará saber que no hemos elimina-

do el puerto 2001. Navigator para i se apo-deró del puerto para el portal de gestión.El enlace a la antigua página de tareas dei5/OS que aparecía antes en el puerto 2001ahora es la página de bienvenida.

En el área de navegación de la izquierdaverá tareas que se parecen mucho a lascarpetas de System i Navigator. Si pulsaen una obtendrá un resumen de las tareasmás utilizadas, con un botón debajo paraconsultar todas las tareas de esta catego-ría.

En la Figura 3 puede verse un buenejemplo: en el marco de navegación de laizquierda pulse en Work Management(Gestión de trabajos) para ver la páginade resumen que le guiará por las tareasmás habituales. Aquí también puede des-plazarse hasta tareas más detalladas.

Si dese ejecutar una tarea, pulse el en-lace para abrir una pestaña nueva. Cadapágina que se abre en una pestaña pue-de guardarse como página de inicio; porlo tanto, en cuanto inicie la sesión,Navigator automáticamente abrirá lastareas principales. En la Figura 4 semuestran cuatro de mis tareas favoritas:Users (Usuarios), Server Jobs (Trabajosde servidor), TCP/IP Servers (ServidoresTCP/IP) y System Status (Estado delservidor).

Como todas las tareas que se muestran enNavigator para i en su propia pestaña pueden guar-darse como una página de inicio, tiene una gran va-riedad de tareas entre las que elegir. Para eliminaruna página de inicio o cambiar la que aparece en pri-mer lugar, simplemente seleccione My Startup Pages(Mis páginas de inicio), en la zona de navegación dela izquierda.

La experiencia del usuario normalAhora es el momento de dar un vistazo rápido a al-gunos de los controles más habituales que verá. Como

FIGURA 4

Página de estado del sistema que muestra valores en tiempo real

FIGURA 5

Tabla de trabajos del servidor


se puede observar en la Figura 4, las páginasde propiedades pueden tener varias pestañas.Se comportan de la misma forma que las pá-ginas de propiedades de System i Navigatory, de hecho, ¡se trata de los mismos archivosbinarios! Pulse en las pestañas que le apetez-ca consultar.

Aunque las tablas tienen un aspecto algo dife-rente, siguen teniendo prácticamente las mis-mas funciones. Como se puede ver en la Figura5, la tabla muestra varias páginas. Desde la es-quina superior derecha del portlet (el icono dellapicero), se puede editar el número de filas quese mostrarán en cada página. El valor predeter-minado es de 15 filas, pero puede cambiarsehasta un máximo de 100. También se puedenañadir o eliminar columnas. La ordenación porcolumnas funciona bien y a la derecha de cadanombre hay un widget de menú contextual. Pul-se en el widget para obtener el menú contextual,tal como haría en System i Navigator.

Casi todo lo demás es muy parecido a lo queestá acostumbrado a ver. Los asistentes pare-cen asistentes y los recuadros de edición, las lis-tas desplegables y los botones de selección tam-bién son parecidos.

Un característica exclusiva de Navigator parai es que mediante un URL es posible accederdirectamente a cualquier tarea, no importa lodetallada que sea. En el URL se pueden esta-blecer opciones personalizadas, como criterios deinclusión (por ejemplo, ver solamente los traba-jos de Andrés). Además, el asesor de URL le ayu-dará a componer el URL que la aplicación nece-site crear.

Introducción a las funciones del productoAhora, vamos a profundizar un poco en cada fun-ción. De algunas funciones simplemente haré unresumen; de otras daré más detalles porque tie-nen características nuevas. En artículos futu-ros profundizaré aún más sobre algunas de es-tas posibilidades.

FIGURA 6

Ejecución de un mandato en IBM i

FIGURA 7

Mostrar todas las tareas de gestión de trabajos



Gestión del sistema permite llevar a cabotareas generales del sistema. Ejemplos de es-tas tareas son el estado del sistema, las anota-ciones históricas y el estado del disco. En la ca-tegoría Sistema la función Ejecutar mandato(Figura 6) es nueva. Esta función no es igualque una línea de mandatos interactiva. Se ne-cesita una sesión 5250 para ejecutar una líneade mandatos interactiva. Pero Ejecutar man-dato permite escribir un mandato, consultar losmandatos anteriores e incluso solicitar losparámetros de un mandato. Después de ejecu-tar un mandato, el sistema nos indica si se haejecutado correctamente. En caso contrario, lafunción muestra un mensaje de error para queel usuario sepa qué ha sucedido. Para ver lasalida o detalles de un mandato, puede consul-tar las anotaciones del trabajo del usuario ac-tual.

Operaciones básicas permite gestionarmensajes, la salida de la impresora, impresorasy los trabajos del usuario. Estas tareas son pa-recidas a las de System i Navigator.

Gestión de trabajos permite gestionar lostrabajos de IBM i, las colas de trabajo, las co-las de salida, los subsistemas y las agrupacio-nes de memoria. Como pasa con las páginas deresumen, la página de gestión de trabajos tie-ne un botón en la parte inferior que permitemostrar todas las tareas de esta categoría. Eneste caso, el botón se denomina Mostrar todaslas tareas de gestión de trabajos. En la Figura7 aparece la pantalla resultante, que muestratodas las tareas de la categoría Gestión de tra-bajos en formato de árbol. Aquí, se ha abiertola categoría de tareas Jobs (Trabajos) y semuestran todas las tareas que pueden ejecu-tarse para un trabajo. Si selecciona una tareay pulsa Aceptar, ésta se ejecutará. En el casode algunas tareas, como Active Jobs (Trabajosactivos), la ventana de la tarea se abre inme-diatamente. En el de otras, como Hold Job

FIGURA 8

Servidores TCP/IP del sistema

FIGURA 9

Interfaz de usuario de Detección de intrusiones del release 6.1

FIGURA 10

Página de resumen de bases de datos


(Retener trabajo), Navigator solicita al usuarioinformación adicional antes de ejecutar la tarea.

Configuración y servicio permite llevar acabo la configuración del sistema. Desde aquí,puede gestionar valores del sistema, husos ho-rarios y el reloj del sistema. Una función basadaen web nueva en este release permite gestionarlas unidades de disco. Desde aquí, pueden verselas unidades de disco y las agrupaciones de dis-cos, y añadir tanto unidades de disco como agru-paciones de discos nuevas. Como ocurría conSystem i Navigator, es necesario un ID usuarioy una contraseña de las DST. Si tiene una cuen-ta, se le pedirá el ID y verá la tabla de unidadesde disco. Si no tiene ninguna, recibirá un mensa-je con un enlace a una página del InformationCenter en que se ofrecen instrucciones sobrecómo añadir el ID.

Le recuerdo que la vista gráfica, donde puedenverse imágenes de las torres y de dónde se en-cuentran las unidades de disco, no está disponi-ble en Navigator para i. Para disponer de estaposibilidad tendrá que seguir usando System iNavigator.

Gestión de red permite gestionar TCP/IP eInternet. Se incluyen tareas para redes IPv4 eIPv6, líneas, servidores DNS, IBM Tivoli Direc-tory Server (LDAP) y una de mis favoritas, Ser-vidores TCP/IP. En la Figura 8 puede verse latabla TCP/IP Servers que muestra uno de losmenús contextuales del servidor. Teniendo estatarea como una de las páginas de inicio, es fácilgestionar el entorno TCP/IP.

Administrador del servidor integrado per-mite gestionar los servidores alojados en el IBM.Esta característica permite ejecutar ni más nimenos que 37 tareas distintas. Puede gestionarlos servidores integrados y los servidores iSCSI, asícomo los discos virtuales y los que usan los servido-res integrados. Asimismo, puede gestionar el servi-dor de red, los adaptadores del sistema principal ylos procesadores de servicio, así como la inscripciónen dominios de Windows.

Seguridad permite configurar y gestionar la con-figuración de seguridad del sistema. Algunas de lastareas que se incluyen son la gestión de listas de au-torizaciones, el cambio de permisos sobre objetos, lagestión de servicios criptográficos y claves, y la confi-guración del coprocesador criptográfico.

FIGURA 11

Visión general del entorno de la base de datos

FIGURA 12

Tarea Investigar datos con distintas perspectivas



na puede mostrar datos en tiempo real o históri-cos.

Sistemas de archivos permiten gestionar el sis-tema de archivos. Esta función incluye tareas comola consulta del contenido del sistema de archivos y lagestión de los permisos de los objetos del sistema dearchivos. También permite gestionar compartimien-tos de archivos (es decir, carpetas compartidas).Navigator para i proporciona un árbol y una tablapara explorar el sistema de archivos, además de unafunción de búsqueda para buscar en todas las colum-nas de la tabla.

Tareas de configuración de Internet incluye lagestión y configuración de los servidores HTTP y losservidores de aplicaciones, la gestión de certificadosdigitales, la configuración de IBM IPP Server, la ad-ministración del servidor de ayuda basada en web yel uso del asistente de configuración de Internet paraconfigurar el entorno de Internet.

Desde esta ventana también se puede acceder alasesor de URL de System i Navigator, que permiteañadir tareas de Navigator para i en sus propias apli-caciones web.

Plug-ins adicionalesAdemás de todas las funciones base, existen otrosplug-ins, incluidos estos:

Gestión del rendimiento permite gestionar ser-vicios de recogida, los objetos de datos y la frecuen-cia con que recogen los datos. Una vez recopiladoslos datos, esta función permite investigar los datosde rendimiento del sistema. En la Figura 12 se mues-tra la tarea Investigar datos.

Esta tarea tiene docenas de perspectivas entre lasque elegir. Las tareas le ayudarán a centrarse en losdatos de rendimiento de maneras especiales. Estacaracterística ofrece una descripción de cada pers-pectiva y, a continuación, permite elegir qué objetode recogida utilizar a la hora de visualizar la pers-pectiva. Yo he elegido CPU Utilization and WaitsOverview (Visión general de utilización de CPU ytiempos de espera) y he especificado los datos de losservicios de recogida más recientes. En los resultados

Una de las nuevas interfaces de usuario disponi-bles en el release 6.1 es Detección de intrusiones.Permite configurar y gestionar políticas para notifi-car al usuario si se detectan intrusiones en el servi-dor. Esta nueva característica es más fácil de utili-zar que en versiones anteriores porque no es necesariousar el Supervisor de intrusiones ni el diario deauditoría. Todo lo necesario está en la interfaz deusuario Detección de intrusiones, tal y como se ve enla Figura 9.

Gestión de usuarios y grupos permite gestionarlos usuarios y grupos del IBM i. Esto incluye consul-tar todos los usuarios y grupos así como los usuariosque no pertenecen a un grupo. Desde aquí tambiénse pueden crear usuarios o grupos. Si está familiari-zado con la interfaz de usuario de grupos de Systemi Navigator, observará un gran parecido. Lo único quehay que recordar es que sólo es la lista directa deusuarios y grupos, como una conexión directa con unainstancia del IBM i. En Navigator para i no se dispo-ne de ninguna de las funciones de Management Cen-tral que sirven para buscar usuarios, editar múlti-ples usuarios, enviar usuarios o realizar un inventariode usuarios.

Gestión de la base de datos permite especificarqué base de datos desea que usen todas las tareas dela base de datos. Basta con pulsar el botón SetDatabase|Schema to Use with Database Tasks (Es-tablecer base de datos|Esquema a utilizar con lastareas de base de datos) que se ve en la parte inferiorde la Figura 10. Una vez establecida la base de da-tos correcta, ya es posible trabajar con objetos, ta-blas, vistas e índices.

Además, en Navigator para i existen supervisoresdel rendimiento de la base de datos y Database HealthCenter. Database Health Center proporcionaindicadores históricos y en tiempo real del estado dela base de datos. Por ejemplo, en la Figura 11 semuestra la visión general del entorno de la base dedatos.

También hay vistas de actividades que permitenconsultar la actividad actual, así como las páginasde límites de entorno, tamaño y diseño. Cada pági-


de la Figura 13 se muestra la perspectiva seleccio-nada y la leyenda que explica que la gráfica repre-senta un periodo de tiempo de doce horas. Una fun-ción permite activar la ayuda flotante y, al pasar elratón sobre el gráfico, se ven detalles de los valores,así como una explicación de cada recuadro del gráfi-co. Cuando acabe de analizar esta perspectiva, pue-de cerrar el gráfico o guardarlo como una perspecti-va personalizada.

Servicios BRM (BRMS) es un viejo conocido delos usuarios de i. Nos ayuda a gestionar las copias deseguridad más complejas y cruciales, incluyendo lascopias de seguridad en línea de los servidores Lotus.También permite recuperar el sistema completamen-te en caso de siniestro o de un error de hardware.

Servicios de recurso de clúster permite configu-rar y gestionar la solución de alta disponibilidadcreando y gestionando clusters, grupos de recurso declúster, dominios de dispositivo, dominios de admi-nistración de clúster y realizar conmutaciones.

High Availability Solutions Manager permiteseleccionar, configurar y gestionar la solución de altadisponibilidad. Incluye una licencia de evaluaciónpara poder ver si cubre sus necesidades. Como sepuede ver en la Figura 14, puede dar unos cuantospasos con la licencia de evaluación, incluso verificarqué solución de alta disponibilidad desea y validar sitiene el hardware necesario. Así, cuando esté listopara dar el salto, podrá adquirir la licencia completay, seguidamente, instalar y gestionar su solución dealta disponibilidad.

Habrá másNavigator para i tiene algunas funciones nuevasasombrosas. Y ahora es más rápido, es personalizabley está basado en web.

En el futuro inmediato, verá todas estas funcionesintegradas de manera transparente en IBM SystemsDirector, la herramienta estratégica multiplataformaque permite gestionar de forma centralizada los mu-chos sistemas de su entorno. En IBM Systems Direc-tor, encontrará funciones de supervisión, automa-tización, gestión de actualizaciones (PTF y firmware)

y virtualización, no sólo del IBM i, sino de otras pla-taformas que usted o sus colegas gestionan.

Para obtener más información, consulte elInformation Center de IBM (publib.boulder.ibm.com/iseries) o el sitio web de IBM Systems DirectorNavigator para i (ibm.com/systems/i/software/navigator). ●

Greg Hintermeister trabaja en IBM como inventor y diseñador de mecanismos deinteracción con el usuario. Tiene amplia experiencia en el diseño de mecanismos deinteracción con el usuario para los productos de gestión de sistemas y virtualización deIBM, aplicaciones inalámbricas y numerosas aplicaciones web. Es un conferenciantehabitual en grupos de usuarios y congresos técnicos.

FIGURA 13

Perspectiva Visión general de utilización de CPU y tiempos de espera

FIGURA 14

Página de resumen de High Availability Solutions Manager


http://publib.boulder.ibm.com/iseries

http://www.ibm.com/systems/i/software/navigator


La situación siguiente se ha producido tantasveces que ya no es ni siquiera un poco excepcio-nal. Sólo tiene que escoger de entre las opcio-

nes que se proponen para obtener alguna de las noti-cias publicadas recientemente: “Un trabajador de [unpequeño subcontratista/una gran corporación/un or-ganismo gubernamental] se deja [el ordenador por-tátil/la unidad de disco duro/el telé-fono móvil] en [un coche/un taxi/unabiblioteca/una cafetería/un parquepúblico] y [lo pierde/se lo roban/esabducido por extraterrestres]. Des-graciadamente, el dispositivo encuestión contiene [10.000/100.000/2,1 millones de] registros confiden-ciales [personales/de la empresa/delgobierno] de naturaleza [personal/criminal/financiera/relativa a la se-guridad nacional]. Los datos no es-taban cifrados, por lo que si alguienencuentra el dispositivo perdido, nu-merosas entidades deberán gastar-se [miles/millones/miles de millones]de euros en compensar el daño cau-sado a las personas [inocentes/cul-pables] afectadas.”

La razón de que esta historia serepita una y otra vez es simple: po-cas organizaciones se toman en serio la seguridad desus recursos informáticos móviles. Sorprendente-mente, apenas hay castigos graves por cometer estasbarbaridades con los datos. Puede que se despida aalguien, pero a nadie se le multa y, a menos que se ledeclare culpable de robar realmente los datos, nadieva a la cárcel. Sin embargo, muchísima gente resultaperjudicada. Los datos perdidos pueden acabar

Restringir la informática móvilProteja sus dispositivos informáticos portátiles antes de que acaben con su empresa

Por Mel Beckman

convertidos en cuentas bancarias vacías, pensionesde jubilación evaporadas, identidades robadas, bene-ficios fiscales desaparecidos e incluso en empresascerradas. La perdida de información confidencial,cuando protegerla es tan trivial, es una negligenciaque tiene espantosas consecuencias pero no un casti-go como se merece.

Lamentablemente, los informáti-cos somos culpables en gran medi-da de esta falta de interés. Somoslos responsables de desplegar cien-tos e incluso miles de dispositivosmóviles en nuestras organizacionesy, aún así, muchos de nosotros (in-cluido un servidor) ponemos la se-guridad en un segundo plano. Nodebería ser así. Los profesionales dela informática pueden adoptar unpapel protagonista en este asuntomostrando a los ejecutivos los ries-gos de poner en peligro un disposi-tivo móvil y proporcionándoles op-ciones de cifrado factibles. Latecnología está de nuestro lado; lasvelocidades de los procesadores y delas comunicaciones son tan rápidasque el rendimiento no ha de ser unproblema con la tecnología de cifra-

do móvil. A continuación, vamos a explicar cómo sepueden limitar los recursos móviles y las responsa-bilidades legales hoy en día.

Algo es mejor que nadaLa protección de la información es un compromisoentre seguridad y conveniencia. Cuanto mayor seala seguridad, más engorrosas serán las interacciones


Restringir la informática móvil

de los usuarios con los ordenadores. Sin embargo, in-cluso un poco de seguridad es mejor que nada. Puedeque no le proteja en todas las situaciones, pero puedepaliar las vulnerabilidades más graves. Por desgra-cia, muchos profesionales de las TIC detestan insta-lar las medidas de seguridad más simples porqueestán trabajando en un sublime plan maestro de pro-tección máxima. No caiga en esta trampa tan simple.Haga lo que tenga que hacer enseguida y siga luegoprogresando en sistemas de protección más sofis-ticadas.

Algunos de los descuidos más comunes con los dis-positivos móviles son los más fáciles de evitar. Unusuario pierde un ordenador portátil o un teléfonomóvil mientras estaba conectado, lo que significa quecualquiera que encuentre el dispositivo podrá exa-minarlo atentamente y extraer su contenido. Las pro-tecciones simples contra estos riesgos son sencillas:imponer buenas contraseñas de hardware (BIOS) ysoftware (sistema operativo), tiempos cortos de inac-tividad para las sesiones interactivas y la obligato-riedad de iniciar sesión para salir de la modalidadde suspensión. Las conexiones VPN nunca debe al-macenar contraseñas y deben requerir autenticaciónde dos factores.

Un dispositivo perdido es un problema grave entanto siga perdido. Lo ideal sería recuperar la uni-dad o destruir su contenido para garantizar que losdatos no caen en malas manos. De lo contrario, debe-rá suponer lo peor y actuar en consecuencia (y, asi-mismo, del modo más costoso). Una característica deseguridad útil y barata que puede instalar tanto enportátiles como en teléfonos móviles es un softwarede rastreo y recuperación de robos de tipo “Lo-Jack”(http://en.wikipedia.org/wiki/LoJack). El programa derastreo de robos automáticamente informa a una cen-tral cada vez que tiene acceso a Internet; las direc-ciones IP mediante las que se conecta se registranpermanentemente y pueden ayudar a los responsa-bles de seguridad a localizar el dispositivo. Algunosprogramas de rastreo tienen la capacidad de conver-tirse en una “píldora de cianuro”: una vez advertidala desaparición del dispositivo, se le puede solicitar

que él mismo borre su contenido la próxima vez quese conecte. Prácticamente todos los teléfonos móvi-les tienen esta opción.

Las VPN solían ser una tecnología compleja ysofisticada. En la actualidad, las funciones de las VPNforman parte de la mayoría de los ordenadores por-tátiles y móviles y actualmente las utilizan mucholos empleados que pasan mucho tiempo fuera de laempresa. Es fácil pasar por alto el riesgo que repre-senta esta tecnología: una conexión VPN comprome-tida es un túnel que conecta directamente con el co-razón de la red empresarial. Este riesgo exigeaumentar el nivel de protección hasta las cotas men-cionadas antes: la autenticación de dos factores (2FA).Esto se considera una medida simple porque la au-tenticación 2FA actualmente es omnipresente, aun-que algo desaprovechada. Todo lo que hay que haceres activarla. La 2FA más primitiva usa mensajes SMSde móvil para transmitir una contraseña de un solouso cada vez que un usuario se conecta con la VPN.Un intruso debería hacerse con el ordenador portá-til, la contraseña de la VPN y un teléfono móvil parapoder conectarse. Otros métodos 2FA más sofisticadosusan fichas de un solo uso, sensores biométricos comopor ejemplo lectores de huellas digitales o una com-binación de ambos.

Si ejecuta Active Directory de Windows en la redcorporativa, existe la posibilidad de que los ordena-dores portátiles y, en algunos casos los smart phones,estén controlados por las políticas de AD. Esto sim-plifica la tarea de poner en marcha una seguridadbásica porque basta con activar estas políticas másseguras en los ordenadores portátiles cuando se co-necten al dominio de la sede central. También tienela opción de impedir que los usuarios modifiquenvalores de configuración como por ejemplo el tiempode espera de sesión o el almacenamiento local de con-traseñas.

“¡Un momento!”, protestará ese hacker que llevadentro. “Estas medidas pueden detener a un ladrónincidental, pero cualquier hacker que se precie pue-de saltárselas fácilmente con sólo iniciar el sistemamediante un disco de recuperación”. Tiene toda la

http://en.wikipedia.org/wiki/LoJack


razón. Y es por ello que estos pasos sencillos no pue-den ser nuestro último destino, pero al menos permi-ten reducir el riesgo hasta que se instalen proteccio-nes más sofisticadas. Si no está aplicando todos estosmétodos hoy en día, deje de leer y apúntese en algúnsitio que de esta semana no pasa. Después, siga le-yendo para averiguar cómo llevar la seguridad a unnuevo nivel.

La clave está en el cifradoPerdóneme por el juego de palabras, pero no se olvi-de de la idea. Aunque las medidas básicas arribamencionadas son un comienzo, no existen datos real-mente protegidos en un dispositivo móvil a menosque estén cifrados. Pero el problema con el cifrado esque es incómodo. Debe aprender su funcionamientoy enseñárselo a sus usuarios, y tendrá que ocuparsedel temible problema de la distribución de las claves.

La formación no puede obviarse cuando hablamosde cifrado. Los usuarios deben entender qué datosnecesitan cifrarse, cómo cifrarlos y descifrarlos, cómosaber que están cifrados cuando no se están utilizan-do y cómo proteger las claves de cifrado que permi-ten acceder a los datos. Los usuarios sin este conoci-miento están condenados a poner en peligro lasprotecciones criptográficas sin darse cuenta. La for-mación lleva tiempo y, como todos sabemos, el tiem-po es oro. Deberá prever gastar algo de dinero enmedidas de seguridad, al menos en formación.

Las tecnologías de cifrado en sí son baratas. Lamayoría de sistemas operativos móviles (WindowsXP/Vista, Mac OS X y Linux) incluyen funciones decifrado de datos. Microsoft ofrece el sistema de cifra-do de archivos (EFS), Apple ofrece FileVault, y tantoLinux, como Windows y Mac OS X son compatiblescon la herramienta de cifrado de datos de código li-bre OpenPGP (Open Pretty Good Privacy). Todas es-tas técnicas son variaciones de un mismo tema: agru-par los archivos para protegerlos en una carpetacomún y luego cifrar toda la carpeta mediante unacontraseña para generar una clave de cifrado segurautilizando un algoritmo de cifrado fuerte como AES.Debido a la fortaleza de los modernos estándares

abiertos de cifrado, este método de protección de da-tos es seguro, con tal de que los usuarios cooperenmanteniendo los archivos confidenciales dentro dela carpeta cifrada, manteniendo en secreto la contra-seña y descifrando los archivos solamente cuando seanecesario. La formación de los usuarios y las políti-cas publicadas han llegado muy lejos con objeto desatisfacer esta necesidad. Dependiendo de la antigüe-dad de los dispositivos móviles, el rendimiento no severá afectado. Los ordenadores portátiles conprocesadores de doble núcleo probablemente no su-frirán ninguna ralentización durante los cálculosasociados con el cifrado y descifrado porque uno delos procesadores puede dedicarse a ello. Algunos por-tátiles integran aceleradores de cifrado o se les pue-de añadir, en caso de que el rendimiento sea un fac-tor crítico.

Los productos comerciales pueden ampliar las ca-pacidades básicas de cifrado de archivos del sistemaoperativo para añadir una característica denomina-da discos seguros virtuales. Mediante esta estrate-gia, el programa de utilidad monta el contenido deun almacenamiento de archivos cifrados como unaunidad de disco virtual (por ejemplo, la unidad K:)después de que el usuario especifique la contraseñacorrecta. El usuario lee y graba datos en este discovirtual como si fuera uno real. En cuanto el usuariose desconecta, el sistema operativo desmonta el dis-co y vuelve a ser seguro.

Una tercera opción es utilizar almacenamiento ex-terno cifrado por hardware en forma de unidad dememoria USB o de disco duro portátil. Con este mé-todo, es el hardware especial de la unidad extraíbleel que realiza todas las tareas de cifrado y descifrado-generalmente, sin que el rendimiento se vea afecta-do- usando una clave codificada permanentementeen un chip del dispositivo. Los dispositivos puedenprogramarse con varias contraseñas de usuario demodo que más de una persona (un trabajador y sujefe, por ejemplo) puedan acceder a los mismos da-tos. El dispositivo generalmente utiliza proteccionesfísicas especiales que impiden que pueda extraerseel chip con la clave codificada del soporte de datos,


La protección de la información es un compromiso entre

seguridad y conveniencia.

sea éste una memoria flash o una unidad de disco. Sise extrajera, la clave se autodestruiría, con lo que nopodrían recuperarse los datos. Algunos productos in-cluyen incluso servicios cifrados de copia de seguri-dad en red, lo que permite que los usuarios manten-gan una copia de seguridad segura de los datos sintener que hacer una copia intermedia sin cifrar.

Quizá piense que el cifrado de archivos puede ofre-cer toda la seguridad que se necesita y tal vez esté enlo cierto, siempre que confíe en sus usuarios y queuse contraseñas seguras. En el campo de la seguri-dad no se ha encontrado ninguna forma real de ex-plotar una vulnerabilidad para burlar el cifrado dearchivos. No obstante, en ensayos de laboratorio seha demostrado la existencia de una vulnerabilidadteórica relacionada con la seguridad de la clave utili-zada durante el cifrado de los archivos.

Recuerde que la contraseña que utiliza el usuariopara desbloquear un archivo cifrado no es la clavereal sino solamente la “clave de la clave”, como si di-jéramos. La clave de cifrado real se conserva en me-moria, donde permanece a disposición de loscontroladores de cifrado. Si alguien pudiera recupe-rar esa clave de la memoria, podría acceder a todoslos datos cifrados. A pesar de las concienzudas medi-das de seguridad tomadas por los proveedores de so-luciones de cifrado, los investigadores descubrieronque es posible extraer las claves de la memoria, in-cluso con el ordenador apagado. Resulta que la me-moria RAM “volátil” no es tan etérea como se pensa-ba. Los chips de memoria conservan su contenidoentre unos pocos minutos y algunas horas, aunquese va degradando gradualmente con el paso del tiem-po. Así, aunque el ordenador esté apagado, un exper-to podría peinar la memoria en busca de las valiosas

claves de cifrado. El tiempo disponible para recupe-rar las claves podría ampliarse enfriando el equipomediante refrigerantes líquidos comerciales.

Por suerte, esta vulnerabilidad sigue siendo pura-mente teórica y exigiría un gran esfuerzo por partede un hacker. Sin embargo, como pasa con todas lascuestiones tecnológicas, el esfuerzo y el dinero nece-sarios para sacar partido de esta vulnerabilidad se-rán cada vez menores. De manera que el cifrado dearchivos está bien hoy en día, pero debería empezara barajar otras posibilidades para el futuro.

Nada de nada es igual a nadaAunque usted no esté pensando en el futuro, afortu-nadamente otros sí lo han hecho: los miembros delTrusted Computing Group (TCG). Puede que no sepaquiénes son, pero indudablemente debería importar-

le. No venden productos a los usua-rios finales sino que desarrollan y pu-blican estándares para fabricantes deequipos originales (OEM) quienes, asu vez, fabrican los productos que in-corporan esos estándares. Cuando losusuarios adquirimos esos productosobtenemos acceso a las capacidades de

protección desarrolladas por el TCG.El principal objetivo del TCG es la especificación

del circuito integrado (chip) denominado TrustedPlatform Module (TPM) que pueden integrar los fa-bricantes para ofrecer la función de cifrado completodel disco (FDE) para un almacenamiento conectado,como por ejemplo una memoria flash o una unidadde disco. El “trusted” (seguro, de confianza) de TPMhace referencia al hecho de que la seguridad se leconfía únicamente al chip TPM que presumiblemente(y hasta ahora puede demostrarse que así es) es aprueba de manipulaciones. Cada chip TPM contieneuna clave raíz de almacenamiento (SRK) permanen-te a partir de la que se obtiene la clave de cifradoreal. El TPM usa la clave de cifrado obtenida paracifrar todos los datos del almacenamiento asociado...incluido el sistema operativo en el caso de una uni-dad de arranque. El chip TPM está físicamente

Restringir la informática móvil


protegido para impedir su extracción por fuerza bru-ta y si se intentara manipular simplemente destrui-ría la clave, convirtiendo los datos almacenados enun montón de números aleatorios.

A un sistema operativo conectado, la unidad de discoduro le parece simplemente otro disco duro; cuandose usa con una unidad de disco que incluye algúnsistema de cifrado integrado, el TPM modera todaslas operaciones de cifrado y descifrado entre la uni-dad y el ordenador. Si el sistema incluye hardwarede aceleración de las funciones de cifrado (normal-mente incluidas en la unidad de disco duro), el cifra-do se lleva a cabo a la velocidad máxima del disco.Los programas de utilidad denominados conjunto deaplicaciones FDE, que se ejecutan en el sistema opera-tivo, interactúan con el TPM para almacenar los ID deusuario y las contraseñas que se necesitan para acce-der al disco cuando se pone en marcha el ordenador.

El TPM incorpora un sistema de cifrado de clavepública, de manera que puede autenticar de formasegura el ordenador en que está instalado. En casode que el disco o el módulo TPM se separaran delequipo físico, los datos cifrados dejarían instantánea-mente de ser legibles. Por lo tanto, un atacante nopuede sacar el disco duro y leerlo en otro ordenador.El módulo TPM pide al usuario una contraseña du-rante el inicio de la BIOS (denominada autentica-ción previa al inicio). Sin la contraseña correcta, no sepuede desbloquear la clave obtenida, no se puede desci-frar la unidad y no se puede iniciar el ordenador.

Vale la pena indicar que la protección medianteTPM cumple un objetivo normalmente inalcanzable:mejorar la seguridad a la vez que la simplifica. Laprotección mediante TPM es sólida y a prueba de erro-res de usuario. Los usuarios finales sólo tienen queescribir una contraseña antes del inicio (posiblementecon un segundo factor de autenticación) para poderacceder a todos los datos. Si el equipo se reinicia poralguna razón o se utiliza algún soporte (por ejemplo,un CD o un DVD) la unidad se vuelve a bloquearinstantáneamente hasta que se suministra la con-traseña correcta para el módulo TPM. El TPM impo-ne estrictos intervalos de tiempo antes de poder volver

a especificar la contraseña, lo que hace prácticamen-te inviables los ataques por fuerza bruta para obte-ner la contraseña. Además, es posible programar elTPM para que destruya la clave maestra después dedeterminado número de intentos no válidos de espe-cificar la contraseña. Sin embargo, una vez se iniciael ordenador, el contenido de la unidad es perfecta-mente legible, por lo que sigue siendo vital solicitarcontraseñas al finalizar el tiempo de espera de se-sión para impedir que nadie utilice el ordenador sise deja solo.

El TPM también resuelve uno de los problemas másmolestos para los responsables de informática: ladestrucción de datos de forma fiable en dispositivosmóviles retirados del servicio activo o que se van adedicar a otros propósitos. Borrar los datos magnéti-cos de un disco físico no es tan fácil como se piensa.Incluso después de sobrescribir varias veces un dis-co, quedan suficientes señales magnéticas residualescomo para recuperar mucha información útil. Demanera que simplemente inicializar o borrar un dis-co no es un método fiable de borrar datos confiden-ciales si un ordenador se retira del servicio o se va adedicar a otros propósitos. Incluso la destrucción fí-sica de una unidad de disco duro es difícil: se hanrecuperado datos de unidades quemadas a altas tem-peraturas. El TPM elude elegantemente este proble-ma al permitir que el propietario del sistema simple-mente genere una clave nueva, destruyendo la quehabía antes y, por lo tanto, perdiendo los datos deldisco para siempre.

Otro quebradero de cabeza administrativo que eli-mina el TPM es el de mantener el control de los dis-positivos protegidos mediante TPM. La primera vezque se inicializa un equipo compatible con TPM sepuede establecer una contraseña maestra que ten-drá el control último sobre todas las funciones de TPMy, a continuación, proporcionar al usuario una con-traseña secundaria con la que podrá iniciar sesión.El usuario final no puede cambiar la clave de TPMaunque sí puede cambiar la contraseña personal. Losadministradores siempre podrán desbloquear el or-denador usando la contraseña maestra.


Internamente, el TPM es bastante complejo, perolos distribuidores de sistemas operativos han cogidoel toro por los cuernos y han simplificado el uso delTPM integrándolo con herramientas de cifrado denivel de archivos tradicionales. El cifrado de unida-des basado en BitLocker de Microsoft en WindowsVista y Windows Server 2008 pueden utilizar TPMpara cifrar un volumen del sistema operativo del equi-po y proporciona un control absoluto de la ruta deinicio. Varios conjuntos de aplicaciones FDE de otrosproveedores también son compatibles con TPM.

Pero, ¿cómo puede adquirirse TPM? Desde el año2006, muchas empresas han integrado TPM versión1.2 en las placas base de muchos ordenadores portá-tiles nuevos. La mayoría de smart phones tambiénincorporan TPM en sus arquitecturas. A la tecnolo-gía TPM se la conoce como propiedad intelectual enel argot de los desarrolladores de chips. Esto signifi-ca que los proveedores pueden licenciar unaimplementación concreta de TPM y luego integrarlaen sus propios chips –circuitos integrados de aplica-ción específica (ASIC) o conjuntos de puertas lógicasprogramables (FPGA)– e incluso incrustarlo en elnúcleo de una CPU. Cualquier producto con el logotipode TPM cumple los rigurosos requisitos de certifica-ción de TPM, incluyendo la resistencia a la manipu-lación y es una plataforma TPM fiable.

Aunque el hardware TPM está integrado en lamayoría de los ordenadores portátiles, debe usar unprograma suministrado por el sistema operativo o unconjunto de aplicaciones FDE de terceros para acti-varlo. En Windows XP Pro, Vista (Enterprise yUltimate) y 2008 Server, el programa BitLocker deMicrosoft ofrece esta capacidad. El conjunto de apli-caciones FDE permite configurar el TPM, asignar con-traseñas maestras y de usuario, y establecer una rutade cifrado que usa el procesador del ordenador parael cifrado. Este nivel de cifrado proporciona una bue-na protección ante todos los atacantes menos los máscapacitados. Los proveedores de conjuntos de aplica-ciones FDE también ofrecen aplicaciones de gestiónde categoría empresarial que permiten gestionar lasclaves de un gran número de usuarios finales.

Para obtener todas las ventajas de seguridad queofrece TPM debe utilizarse con soportes de almace-namiento compatibles con TPM, una combinaciónresistente a todos los métodos de ataque conocidos.Una unidad de disco duro compatible con TPM, porejemplo, integra hardware de cifrado de gran veloci-dad que usa la clave suministrada por el TPM paracifrar datos sin que resulte afectado el rendimientode la unidad. Una unidad compatible con TPM tam-bién es más segura ya que la clave obtenida no pue-de compartirse con el sistema operativo y, por lo tan-to, hace inútil el proceso de recuperación de la RAMdescrito antes. Aunque no existían unidades compa-tibles con TPM en la presentación de la tecnología enel año 2006, actualmente hay una gran oferta y confrecuencia pueden adaptarse a ordenadores compa-tibles con TPM más antiguos.

¿Es seguro?Se dice que para que la información esté perfecta-mente protegida hay que apagar el ordenador, ence-rrarlo en una habitación y tirar la llave. Estomaximiza tanto la seguridad como los inconvenien-tes. Los profesionales de la informática deben buscarun camino intermedio y esto significa que, en primerlugar, tendrán que incorporarse al camino.

Si no ha puesto en marcha las medidas mínimas derestricción de la seguridad móvil esbozadas al iniciode este artículo, significa que ni siquiera ha salidodel garaje. Debería dar estos pasos inmediatamentey, a continuación, tendría que empezar a hacer pla-nes para disponer de las mejores prácticas de seguri-dad a la hora de cifrar datos: primero archivos pero,gradualmente y en última instancia, el objetivo se-ría el cifrado completo del disco basado en TPM. Sino lo hace, pronto lo veremos en las noticias. ●

Mel Beckman es redactor técnico de ServerNEWS.

servernews - 195 (junio/julio 2009)

Documents