Verwaltung Der Encryption-Keys; Verwaltung Der Key-Box - Fujitsu BS2000 Handbuch

4 Zeichen langes Präfix (bestimmt der Aufrufer im Operanden PREFIX-OF-KEY-ID)
<prefix>
Erstellungsdatum im Format
<date>
<time> Erstellungszeit im Format
Den bis zu 256 Byte langen Key-Value, mit dem der Data-Key verschlüsselt wird, bestimmt der Aufrufer.
Der Encryption-Key-Administrator kann jederzeit einen neuen Encryption-Key erstellen. Zum Verschlüsseln wird ein
Encryption-Key nur benutzt, wenn er explizit mit der Anweisung SET-WRITE-ENCRYPTION-KEY als
Schreibschlüssel (Write-Encryption-Key) festgelegt wurde. Bis zur Vereinbarung eines neuen Schreibschlüssels
werden alle Data-Keys der Bänder mit demselben Encryption-Key verschlüsselt.
Die Encryption-Keys werden in einer Key-Box aufbewahrt und bei Ver- bzw. Entschlüsselung entnommen.
ACHTUNG! Der Encryption-Key muss immer zusätzlich gesichert werden:
Der Encryption-Key-Administrator
zusätzlich notieren und an einem sicheren Ort (z.B. Tresor) aufbewahren.
Der Encryption-Key muss so lange aufbewahrt werden, wie mit ihm verschlüsselte Bänder verwendet
werden.
Die zusätzliche Aufbewahrung von Encryption-Keys ist unbedingt erforderlich für den Fall, dass die Key-
Box zerstört wird und auch nicht mehr aus einer Sicherung rekonstruiert werden kann. Ohne den
Encryption-Key können die Bandinhalte der damit verschlüsselten Bänder nicht mehr entschlüsselt
werden!
Key-Box
Die Key-Box ist eine speziell geschützte ISAM-Datei, in der Encryption-Keys aufbewahrt werden. Key-Boxen
werden system-spezifisch angelegt. Wenn an einem System verschlüsselte Bänder geschrieben werden sollen,
muss ein Encryption-Key als Schreibschlüssel festgelegt sein. Beim Ver- bzw. Entschlüsseln eines Bandes greift
MAREN auf die System-Key-Box des Systems zu, auf dem der Zugriff erfolgt. Die System-Key-Box hat den festen
Namen
$SYSMAREN.MAREN.KEY-BOX
existiert, legt MAREN sie beim Speichern eines Encryption-Key an.
Weitere Key-Boxen kann der Administrator z.B. für Sicherungszwecke erstellen. Der Zugriff auf solche „privaten"
Key-Boxen ist ebenfalls nur mit MARENEKM möglich.

Verwaltung der Encryption-Keys

Die Verwaltung der Encryption-Keys mit MARENEKM erfolgt domänen-spezifisch. Die Anweisungen können für
einen, mehrere oder alle Systeme der eignen Domäne gegeben werden. Voraussetzung ist, dass alle Systeme
demselben MSCF-Verbund angehören. Falls ein System (temporär) nicht zu demselben MSCF-Verbund gehört wie
das eigene System, wird dies gemeldet und die Aktion muss für dieses System wiederholt werden. Systeme, die zu
einer anderen Domäne gehören, werden ignoriert.

Verwaltung der Key-Box

Die Key-Box wird mit MARENEKM ebenfalls domänen-spezifisch verwaltet. Key-Box und Domänen-Record im
MAREN-Katalog sind durch eine gemeinsame Identifikationsnummer fest aneinander gekoppelt. Bei jeder
(von MAREN gesetzt)
yymmdd
(von MAREN gesetzt)
hhmmss
muss den Encryption-Key, bestehend aus Key-Id
und liegt auf dem Home-Pubset. Wenn noch keine System-Key-Box
und Key-Value,
86