Wie immer: Wer zu allem offen ist, kann nicht ganz dicht sein !

Das "Umgehen der Anmeldung" ist über den Systemwert QSIGNON (o.ä.) wieder abschaltbar (*FRCSIGNON).
SSL-Verschlüsselung für CA gibt es seit mindestens V4R3 sowoh auf OS als auch auf der Client-Seite.

Der Datenstrom, der da analysiert wurde ist der 5250-Datenstrom, der nun mal Bildschirmfelder überträgt.

Zu den Sicherheitsproblemen:
Seit der Einführung von Client-PC's an der AS/400 gibt es diese "Probleme", die eigentlich gar keine sind !!!
Bei konsequenter Umsetzung des Berechtigungssystems der AS/400 lassen sich alle Probleme abschalten, so dass der Benutzer nur noch das darf, wozu er berechtigt ist.

Mittels REXEC kann man auf jedem System (Windows/Linux/OS400/...) Befehle ausführen, wenn man eine gültige Anmeldung hat und für die Befehle berechtigt ist.
Auch auf den Windows-Servern ist das möglich wenn ich weiß wie es geht.

Die AS/400 ist da um keinen Deut besser, wenn man sich nicht darum kümmert.

Für alle, die sich mit der Berechtigung der AS/400 nicht herumschlagen wollen, gibt es dann Tools wie PCSACC/400, die die Kotrolle der Remote-Zugänge übernehmen.

Dies hat also nichts mit der CA-Version oder dem OS/400 zu tun, sondern damit, wie man seine Systeme per Berechtigungssystem schützt.

Im Intranet sollten ja eh nur vertrauenswürdige Personen Zugang habe, die sich nicht mit krimineller Energie um das Ausspionieren von Daten bemühen.
Man sollte auch seine Mitarbeiter anweisen, den PC immer zu sperren, wenn man mal zur Pause oder aufs Klo geht. Es könnte ja sonst ein Mitarbeiter kommen und mit meiner gültigen Anmeldung Unfug treiben.
Was nützt mir da SSL und verschlüsselte Autentifizierung wenn die Mitarbeiter so nachlässig sind und die einfachsten Sicherheitsregeln nicht beherzigen ?

Ich schreib meine Geheimzahl ja auch nicht auf die Rückseite meiner EC-Karte.