Mit dem Datenaustausch und der Speicherung von sensiblen Daten steigt auch die Anforderung hinsichtlich des Datenschutzes. Dieser Schutz bezieht sich nicht nur auf das Speichern der Daten, sondern auch auf deren Übertragung und die Datensicherung. Letztlich muss in jedem Fall vermieden werden, dass sensible Unternehmensdaten Unberechtigten in die Hände fallen und damit von diesen ausgelesen, missbraucht oder manipuliert werden können.

IBM bietet seit Jahren die Option der Datenverschlüsselung an. Dabei lassen sich unterschiedliche Bereiche der Datenbank, der Speicherung, der Datenübertragung und der Datensicherung mit standardisierten Verschlüsselungsoptionen gegen ebendiesen unberechtigten Zugriff absichern.

Die Verschlüsselung basiert auf dem Einsatz von Schlüsseln. Diese dienen dazu, die nativen Informationen zu sichern bzw. zu verschlüsseln, diese aber im Gegenzug mit der entsprechenden Berechtigung auch für die Einsicht/Verarbeitung zu entschlüsseln.

Die Verschlüsselung von Banddaten kann in Verbindung mit dem System i und geeigneten Bandlaufwerken hardwareseitig durchgeführt werden. Größere Bandlaufwerke verfügen zum Teil optional über Mechanismen, mittels derer die Verschlüsselung der Bandinhalte durchgeführt wird. Diese hardwareseitige Verschlüsselungsoption findet sich indes aber nicht bei den kleineren Bandlaufwerken. Hier bietet IBM eine softwaregestützte Verschlüsselung auf Ebene des kostenpflichtigen Lizenzprogramms BRMS an. Hinsichtlich der dort zu definierenden Sicherungssteuergruppen kann optional angegeben werden, ob dieser Bereich der Datensicherung mit einer Verschlüsselung versehen werden soll. Dafür ist die vorherige Festlegung der Master- und der zu verwendenden Schlüssel durchzuführen.

Wenn die notwendigen Schlüssel auf dem System existieren, dann kann die softwaregestützte Verschlüsselung von BRMS für den Schutz der Banddaten genutzt werden. Sollen die auf diese Weise gesicherten Informationen später wieder auf dasselbe System zurückgespeichert werden, dann ist dies mit Hilfe weniger Zusatzschritte zum eigentlichen Restore-Befehl relativ leicht möglich. Was aber ist, wenn mittels einer Software-Verschlüsselung gesicherter Bandinhalt auf einem anderen System, das kein BRMS verwendet, wiederhergestellt werden muss?

Die Antworten lauten:

  1. Mit Hilfe von Rückspeichern der notwendigen Schlüssel.
  2. Mit Hilfe von Rückspeichern der verschlüsselten Bandinformationen.

Doch ist gerade Punkt 1 nicht so leicht durchzuführen.

Hier hat IBM nicht nur den mutmaßlichen unberechtigten Zugreifern so manches erschwert, indem der Schlüssel den Bandinhalt schützt, sondern hat auch berechtigten Benutzern eine Bürde auferlegt – denn es gibt keinen einfachen Befehl, mit dessen Hilfe Schlüsselinformationen, mit denen der Bandinhalt auf einem System A gesichert wurde, auf ein System B zurückgespeichert werden kann. Hier ist ein ausgeklügeltes Verfahren anzuwenden, vor allem dann, wenn die verschlüsselten Bandinformationen von einem System A auf ein System B gespielt werden müssen.

Dieses Verfahren soll hier geschildert werden.

Die Teilschritte dazu gliedern sich wie folgt:

  1. Prüfen, ob ein Master Key vorhanden ist
  2. Anlegen der Master-Key-Bereiche
  3. Aktivieren der Master Key
  4. Übertragen der Schlüsselinformationen auf das Zielsystem
  5. Aktivieren der Schlüsselinformationen auf dem Zielsystem
  6. Erstellen eines Datenbereichs für die Nutzung der Schlüssel in Verbindung mit dem Band, das die zurückzuspeichernden Informationen beinhaltet
  7. Anpassen des zuvor erstellten Datenbereichs mit den Bandspezifika
  8. Zurückspeichern der Daten

Um die verschlüsselten Informationen auf einem anderen System wiederherstellen zu können, muss zunächst die Schlüsseldatei auf das neue System übertragen werden. Dazu ist wie folgt vorzugehen:

Auf beiden Maschinen muss zunächst ein temporärer Master Key angelegt werden. Dabei ist zu beachten, dass die Passphrase auf den beiden Maschinen gleich eingegeben wird.Bevor der Master Key angelegt wird, muss geprüft werden, ob der Schlüssel verwendet werden kann. Dazu wird der Befehl „Check Master KVV – CHKMSTKVV“ genutzt. Ein Beispiel hierfür ist in Abbildung 1 zu sehen.

Abbildung 1

Mit dieser Eingabe sollte als Ergebnis eine Meldung folgenden Inhalts erfolgen:

„Version 1 of master key x is not set.“ Ein Beispiel dazu findet sich in Abbildung 2.

Abbildung 2

Diese Befehlsausführung muss auf dem Quell- und dem Zielsystem angewandt werden!

Jetzt muss der Master Key dem System hinzugefügt werden, ein Schritt, der auf beiden Systemen durchgeführt werden muss. Achten Sie darauf, dass die Passphrase auf beiden Systemen gleich eingegeben wird. Der zu verwendende Befehl ADDMSTPART verfügt über die folgenden Parameter:

  • Master Key,
  • Passphrase,
  • Passphrasenlänge.

Nach dem Anlegen des Master Key wird dieser gesetzt. Dazu wird der Befehl SETMSTKEY verwendet. Mit dem Befehl wird der Wert für den Master Key angegeben, der zuvor bereits angewendet wurde – im Beispiel Master Key 3 (Abbildung 3).

Abbildung 3

Damit sind die Voraussetzungen geschaffen, dass die Schlüssel auf beiden Systemen eingesetzt werden können. Die Informationen befinden sich in der Bibliothek QUSRBRM auf dem Quellsystem. Diese sind jetzt auf das Zielsystem zu übertragen. Für die Übertragung kann der Befehl CRTDUPOBJ oder jede andere Form der Objektübertragung von einem System i zu einem anderen (zum Beispiel mittels SAVF) verwendet werden.

Die Schlüsseldatei befindet sich in der Bibliothek QUSRBRM (die nur dann auf dem System existiert, wenn auch BRMS darauf installiert ist). Der Dateiname lautet Q1AKEYFILE.

Die Schlüsseldatei kann zum Beispiel mittels einer SAVF auf das zweite System übertragen werden (Abbildung 4).

SAVOBJ OBJ(Q1AKEYFILE) LIB(QUSRBRM) DEV(*SAVF) SAVF(ZEIG/SAVF1)

Abbildung 4

Übertragen Sie die Sicherungsdatei anschließend auf das Zielsystem und speichern Sie dort die gesicherte Datei Q1AKEYFILE zurück.

Nach dem Übertragen des Schlüsselspeichers muss dieser in die zuvor erstellte temporäre Master-Key-Datei übertragen werden. Diese Übertragung bzw. Umsetzung wird mit dem Befehl TRNCKMKSF durchgeführt. Dabei muss der Master Key angegeben werden, der zuvor gesetzt wurde – im Beispiel Master Key 3 (Abbildung 5).

Abbildung 5

Nun muss auch die umgesetzte Keystore File auf das Zielsystem übertragen werden. Auch dazu kann erneut eine SAVF verwendet werden.

Stellen Sie diese Datei ebenfalls auf dem Zielsystem her.

Jetzt muss auf dem Zielsystem die Zuweisung erfolgen. Dazu wird erneut der Befehl TRNCHKMKSF verwendet.

Damit sind die Schlüssel auf beiden Systemen so definiert, dass das Zurückspeichern der verschlüsselten Bandinformationen auf dem Zielsystem möglich ist.

Bevor das eigentliche Rücksichern erfolgen kann, sind nachfolgende Teilschritte erforderlich:

Anlegen eines Datenbereichs mit dem verbindlichen Namen QTADECRYPT. Dieser Datenbereich kann für eine einmalige Rücksicherung in der Bibliothek QTEMP angelegt werden. Wenn mehrere Rücksicherungen in verschiedenen Jobs durchgeführt werden müssen, dann kann der Datenbereich natürlich auch in einer anderen Bibliothek angelegt werden.Der Datenbereich ist nun wie folgt anzulegen:

CRTDTAARA DTAARA(QTEMP/QTADECRYPT) TYPE(*CHAR) LEN(62)

Anpassen des Datenbereichs für das Rücksichern:

a. CHGDTAARA DTAARA(QTEMP/QTADECRYPT (1 10)) VALUE(‘TAP01’) *

b. CHGDTAARA DTAARA(QTEMP/QTADECRYPT (11 10)) VALUE(‘KEYUEB’)

c. CHGDTAARA DTAARA(QTEMP/QTADECRYPT (21 10)) VALUE(‘QUSRBRM’)

d. CHGDTAARA DTAARA(QTEMP/QTADECRYPT (31 32)) VALUE(‘Dateikennsatz’)**

* Ersetzen Sie den Laufwerksnamen bei Bedarf durch den bei Ihnen genutzten Namen.

** Ersetzen Sie den Platzhalter „Dateikennsatz“ mit dem Kennsatz aus der Media-Richtlinie aus dem BRMS des Quellsystems.

Nun können Sie die nativen Rücksicherungsbefehle des Betriebssystems verwenden, um die verschlüsselten Informationen des Bandes auf dem Zielsystem zurückspeichern zu können.

Wie Sie sehen – es ist wahrlich kein leichtes Unterfangen, mittels BRMS-Verschlüsselungen geschützte Bandinformationen auf einem anderen System wiederherzustellen, selbst dann nicht, wenn über die notwendigen Schlüssel verfügt wird – denn es geht nicht nur darum, einen “Schlüssel“ einzustecken und herumzudrehen. Allerdings ist das Ganze für den Schutz der Daten allemal lohnenswert!