TSO : Time Sharing Option (IBM z/OS)
Infrastructure
TSO : Time Sharing Option, environnement interactif en ligne de commande des grands systèmes IBM sous z/OS. « La porte d'entrée par laquelle un humain parle directement au mainframe », par analogie avec la loge du concierge, d'où l'on voit tout l'immeuble et qu'on oublie volontiers de fermer à clé.
Origine : Apparu au début des années 1970 comme option de partage de temps du système d'exploitation OS/360 d'IBM, d'où son nom. Sa forme actuelle, TSO/E (Extensions), fait partie de z/OS ; l'interface à menus ISPF (Interactive System Productivity Facility) s'exécute par-dessus et sert à la plupart des tâches d'exploitation.
Pouvoirs : Depuis une session TSO, un utilisateur soumet des travaux par lots, édite des jeux de données, lance des scripts REXX et, selon ses droits, administre RACF (Resource Access Control Facility) ou émet des commandes d'opérateur. C'est donc un accès d'administration au sens plein, même s'il ressemble à un terminal de 1985.
Contrôle d'accès : RACF autorise l'ouverture de session TSO par un segment TSO dans le profil de l'utilisateur et protège les autorités sensibles par des classes de ressources dédiées. Les accès se font en général par émulation de terminal 3270, à chiffrer en TLS comme n'importe quel flux d'administration.
Homonyme : En réseau, TSO signifie aussi TCP Segmentation Offload, la délégation à la carte réseau du découpage des segments TCP.
Ce qui arrive si on s'en passe
Un accès TSO protégé par un simple mot de passe, souvent limité à huit caractères sur les configurations anciennes, est la cible idéale : le compte permet de soumettre des travaux, de lire les jeux de données de production et parfois de modifier RACF lui-même. Sans authentification à facteurs multiples ni flux 3270 chiffrés, un mot de passe intercepté ou deviné suffit à prendre la main sur le cœur du système d'information. Les comptes techniques dotés d'un segment TSO qu'ils n'utilisent jamais élargissent encore la cible, dans un silence que l'on appelle, sur mainframe, la stabilité.
Explication de la marmotte
Les mainframes sont de très gros ordinateurs utilisés par les banques ou les assurances. TSO est l'outil qui permet à un administrateur de se connecter au mainframe et de lui donner des ordres en tapant des commandes. Comme ces commandes peuvent tout modifier, il faut protéger cet accès avec plus qu'un mot de passe et limiter le nombre de personnes autorisées.
Où ce terme est utilisé
- Comment sécuriser un mainframe qu’on n’ose plus toucher (1 occurrence)
- Configurer Suricata sur un segment réseau critique (1 occurrence)
- Virtualisation réseau, NFV et data planes ouverts (1 occurrence)