IBM System Storage-Kompendium

Es können auf der 3592 Kassette bis zu zwei verschlüsselte
EEDKs mit zwei unterschiedlichen Private Keys abgespeichert
werden. Der erste Key gehört zum EKM, der den Schlüssel
erzeugt hat, und der zweite Key kann einem anderen EKM
gehören, der aufgrund des dort verfügbaren Private Keys
den zweiten EEDK in den orginalen Schlüssel umwandeln
kann. Mit zwei Keys auf der Kassette zu arbeiten ist dann
sinnvoll, wenn in verschlüsselter Form Datenträgeraustausch
zwischen zwei unterschiedlichen Lokationen durchgeführt
wird. Das Laufwerk schickt immer den ersten EEDK
zum EKM. Kann der EKM damit nichts anfangen, wird automatisch
der zweite EEDK zu dem vorhandenen EKM übertragen.
Mit der Ankündigung der LTO4­Laufwerke im April 2007
wurde für LTO4 auch Encryption angekündigt. LTO4­Lauf­
werke arbeiten wie TS1120 Laufwerke auch mit der AES
256­Bit­Verschlüsselungstechnik. Der Unterschied zu
TS1120 liegt darin, dass keine verschlüsselten Schlüssel
(EEDK) auf der LTO4­Kassette abgespeichert werden, sondern
nur der Key Identifier, also der Schlüsselanhänger. Die
Key­Verwaltung und Key­Abspeicherung erfolgt über den
EKM. Soll eine verschlüsselte Kassette ausgelesen werden,
überträgt das LTO4­Laufwerk den Identifier zum EKM, der
dann in der Lage ist, den richtigen Originalschlüssel dem
Identifier zuzuordnen.
Der EKM wurde im Mai 2007 mit dem EKM Release 2 so
erweitert, dass er sowohl das Key­Handling für TS1120,
TS1130 als auch für LTO4 durchführen kann. Damit können
beide Technologien mit demselben EKM gemanagt werden.
Das neue TS1130 Bandlaufwerk, das als Nachfolger der
TS1120 im September 2008 verfügbar wird, ist mit derselben
Verschlüsselungstechnik ausgestattet. Die Bandkassetten
bleiben gleich, d. h., das neue TS1130 Laufwerk verwendet
dieselben Kassetten. Das Abspeichern der Keys auf
den Kassetten ist identisch.
TKLM – Tivoli Key Lifecycle Manager
Im Frühjahr 2008 steht als neue Software zur Keyverwaltung
der TKLM (Tivoli Key Lifecycle Manager) zur Verfügung, der
denselben Funktionsumfang wie der EKM hat und darüber
hinaus auch das Key­Handling für Encryption auf Platte
(Disk) zur Verfügung stellt und eine einfach zu bedienende
Oberfläche besitzt. Der TKLM kann als offizielles IBM
Programmpaket bezogen werden.
IBM bietet drei Encryption­Implementierungs­Möglichkeiten
auf Tape an:
Die Anwendung selektiert die Daten, die mit Encryption auf
Band geschrieben werden müssen, und stellt die Keys
dem TSM zur Verfügung. Der TSM Tivoli Storage Manager
verwaltet dann als Backup-Server die Encryption-Key-
Datenbank.
Im Mainframe-Umfeld kann über System Utilities des
DFSMS im z/OS-Betriebssystem über neue Data-Class-
Parameter selektiert werden, was mit Encryption verarbeitet
werden soll. Ähnlich können Policies für Encryption
auch im ‘AIX Tape Device Driver’ eingerichtet werden. In
beiden Fällen verwaltet der neue Enterprise Key Manager
(EKM) die Encryption-Key-Datenbank.
Die dritte Option geht über die Library selbst. Sowohl die
3494 als auch die TS3500 Library etabliert entsprechende
Policy-Regeln, welche ‘VolSers’ oder welche logischen
Libraries mit Encryption verarbeitet werden sollen. Die
Verwaltung der Encryption-Key-Datenbank wird durch
den neuen Enterprise Key Manager (EKM) durchgeführt.
1952 – 1961 1962 – 1974 1975 – 1993 1994 – 1998 1999 – 2005 2006 – 2010 Software Anhang
•
•
•
Alle drei Optionen lassen sehr flexible, unternehmensweite
und über Unternehmensgrenzen hinausgehende Verschlüsselungslösungen
auf Tape mit einem zentralen Key Management
zu und sind einmalig in ihrer Lösungsform.
Encryption auf Tape sichert die auf Bandkassetten
geschriebenen Daten vor Missbrauch und bietet einen
neuen Sicherheitsstandard auf Tape, der die geschriebenen
Daten vor unautorisiertem Zugriff schützt.
155