Werbung
VMAX3 mit HYPERMAX OS
Product Guide VMAX 100K, VMAX 200K, VMAX 400K mit HYPERMAX OS
44
Abbildung 2 D@RE-Architektur, extern
Host
SAN
Director
IO
IO
Module
Module
Unique key per physical drive
Externe Key-Manager
SafeNet KeySecure von Gemalto und Security Key Lifecycle Manager von IBM bieten
externes Key-Management der Enterprise-Klasse für D@RE. Schlüssel werden
mithilfe von bewährten Vorgehensweisen erstellt und verteilt, wie in den
Branchenstandards (NIST 800-57 und ISO 11770) festgelegt. Mit D@RE müssen
Schlüssel nicht über Volume Snapshots oder Remotestandorte hinweg repliziert
werden. Externe Key-Manager für D@RE können entweder mit einem mit FIPS 140-2
Level 3 validierten HSM (für SafeNet KeySecure von Gemalto) oder mit Software
verwendet werden (für Security Key Lifecycle Manager von IBM), die mit FIPS 140-2
Level 1 validiert wurde.
Chiffrierschlüssel müssen sowohl bei Bedarf sofort verfügbar als auch äußerst gut
geschützt sein. Schlüssel und die zur Verwendung der Schlüssel (während der
Entschlüsselung) erforderlichen Informationen müssen während der gesamten
Lebensdauer der Daten aufbewahrt werden. Dies ist bei verschlüsselten Daten, die
viele Jahre lang aufbewahrt werden, entscheidend.
Chiffrierschlüssel müssen zugänglich sein. Der Zugriff auf Schlüssel ist in
Umgebungen mit hoher Verfügbarkeit sehr wichtig. D@RE speichert Schlüssel lokal
zwischen, sodass eine Verbindung zum Key Manager nur für Vorgänge wie
Erstinstallation auf dem Array, Austausch eines Laufwerks oder Upgrades von
Laufwerken erforderlich ist.
Lebenszyklusevents (Generierung und Zerstörung) werden im VMAX-Auditprotokoll
aufgezeichnet.
Schlüsselschutz
Die lokale Keystore-Datei wird mit einem 256-Bit-AES-Schlüssel verschlüsselt, der aus
einem zufällig generierten Passwort abgeleitet wird, und in der CST-Lockbox
(Common Security Toolbox) gespeichert, die BSAFE-Technologie von RSA nutzt. Die
Lockbox wird mit MMCS-spezifischen SSVs (Stable System Values, stabile
Systemwerte) der primären MMCS geschützt. Dabei handelt es sich um dieselben
SSVs, mit denen SSC (Secure Service Credentials) geschützt wird.
Configuration
Management
Key Trust Platform (KTP)
Key management
Director
KMIP Client
IO
IO
Module
Module
MMCS
Storage
IP
Key Manager
Unencrypted
Management
Encrypted
TLS-authenticated
KMIP traffic
External
(KMIP)
data
traffic
data
Werbung
Kapitel
