如何在IBM大型机的COBOL程序中安全存储密码等敏感信息？

在IBM大型机环境下，把关键凭证存在明文文本文件里直接读取，确实是高风险的不安全实践——哪怕程序不显示凭证，文件本身的权限管控漏洞、存储介质泄露等都可能导致凭证暴露。下面是几个大型机生态里经过验证的标准安全方案，按推荐优先级排序：

1. 基于IBM RACF的集中凭证管理 #

RACF（Resource Access Control Facility）是z/OS系统的核心安全组件，也是存储和管控凭证的首选方案：

• 可以将用户凭证关联到RACF用户配置文件，或者创建专用的RACF资源类来存储应用级凭证
• COBOL程序通过调用RACF提供的服务（比如使用CALL 'IRRXUTIL'调用RACF实用程序，或者通过安全API接口）来获取凭证，全程不需要直接接触明文
• 配合RACF的权限控制，只有授权的程序或用户ID才能访问这些凭证，同时RACF会自动记录所有访问操作的审计日志，方便追溯

2. 使用z/OS Keyring（密钥环）存储加密凭证 #

z/OS密钥环是专门用于存储加密密钥、证书和敏感凭证的安全容器，由系统安全框架统一管理：

• 可以将应用所需的密码、API密钥等加密后存入密钥环，COBOL程序通过System SSL的API来访问这些凭证
• 整个访问过程都是加密的，明文凭证只会在极小的内存范围内临时存在，使用后会被立即清除，大幅降低泄露风险
• 密钥环支持与RACF集成，权限管控和审计同样有保障

3. 加密存储+动态密钥管理（仅当必须本地存储时） #

如果因为业务限制必须存储凭证（不推荐，优先用集中管理方案），可以采用加密存储配合动态密钥的方式：

• 使用COBOL的ENCRYPT/DECRYPT语句（需要启用编译器的加密支持选项）对凭证加密后，存储到VSAM数据集或者DB2数据库中
• 绝对不要硬编码加密密钥：密钥要存储在RACF或密钥环中，程序运行时动态获取密钥进行解密
• 同时要通过RACF严格限制存储凭证的数据集/数据库的访问权限，只允许授权程序读取

4. 安全环境变量/系统参数（临时场景备选） #

如果是临时需求，可以利用z/OS的安全环境变量机制：

• 通过z/OS的系统配置，设置只有授权进程能读取的环境变量，将凭证存入其中
• COBOL程序通过GET ENVIRONMENT VARIABLE语句获取凭证值，避免直接读取文件
• 注意：这个方案的安全性低于前面几种，必须配合RACF对进程的权限管控，且不要长期使用

额外最佳实践 #

• 最小权限原则：给程序和用户分配访问凭证所需的最低权限，绝不赋予多余权限
• 内存清理：程序使用完凭证后，立即用随机值覆盖存储凭证的变量内存，防止内存dump泄露
• 禁用明文日志：确保程序的任何日志输出都不会包含明文凭证
• 定期审计：通过RACF或z/OS审计工具，定期检查凭证的访问记录，及时发现异常操作

内容的提问来源于stack exchange，提问作者mllamazares