Auf einen Blick: Transparente Datenverschlüsselung (TDE) in Db2 sichert Daten im Ruhezustand und gewährleistet die Einhaltung durch Verschlüsselung von Datensätzen mit minimalen Leistungseinbußen. Sie unterstützt die Verschlüsselung von Tabellenräumen und Logs mit erweiterter Kontrolle für die Schlüsselverwaltung in Db2 12.
- TDE mindert das Risiko unbefugten Datenzugriffs und erfüllt die Anforderungen der Prüfung.
- Durch den Einsatz eines Krypto-Prozessors sorgt TDE für eine effiziente Datenverschlüsselung und -entschlüsselung während der I/O-Operationen.
In den letzten etwa einem Jahr gab es mehrere hoch sichtbare Datenexpositionen in den Nachrichten. Als Db2-DBA ist eine Ihrer Aufgaben der Schutz der Daten, die Ihr Unternehmen zum Betrieb benötigt. Ihre Prüfer, intern und extern, fordern möglicherweise Maßnahmen, um Ihre wertvollen Db2-Daten vor neugierigen Blicken zu schützen. Keiner von uns möchte die Kosten, möglichen Bußgelder oder negative Publicity, die mit einer potenziellen oder realen Datenexposition verbunden sind. IBM hat eine Teillösung in Transparent Data EncryptionTM (oder "TDE") für Db2 bereitgestellt, die Teil einer umfassenderen Initiative ist, die sie zSystem Pervasive EncryptionTM (oder "zSPE") nennen. Transparent Data Encryption bietet einen Mechanismus, um Ihre ruhenden Daten auf Festplatte zu verschlüsseln. TDE wurde sowohl für Db2 11 als auch für Db2 12 bereitgestellt. Für Db2 12 gibt es eine zusätzliche Funktion, die über Continuous Delivery im Rahmen von Function Level 502 bereitgestellt wurde. Zunächst betrachten wir den Verschlüsselungsmechanismus selbst, wie er implementiert ist und was Sie benötigen, um ihn bereitzustellen. Die Verschlüsselung nutzt eine Hardware-Instruktion aus, die in einem angeschlossenen Krypto-Prozessor ausgeführt wird, um die Kosten der Anweisung zu minimieren. IBM entschied sich, die Funktion im Media Manager zu implementieren, einem Low-Level-Zugriffsmechanismus (Teil von DFSMS), der von BSAM, QSAM, VSAM und Db2 verwendet wird. Es ist erwähnenswert, dass diese Verschlüsselungstechnik kein Band unterstützt. z/OS erlaubt drei Methoden zur Aktivierung der Verschlüsselung; in Prioritätsreihenfolge sind diese: in einem RACF-Datensatzprofil, als Attribut des Datensatzes (in JCL mit DSKEYBL-Syntax oder KEYLABEL in IDCAMS angegeben) und als Attribut in einem SMS-DATACLAS. Um verschlüsselt zu werden, muss ein Datensatz das Attribut Extended besitzen. SMS-Verschlüsselung ist in z/OS 2.2 verfügbar (wenn der PTF für APAR OA50569 angewendet wurde) oder z/OS 2.3. Sie benötigen den angeschlossenen Crypto-Prozessor. Es gibt das Missverständnis, dass ein z14 notwendig ist, um die Verschlüsselung zu implementieren. Das stimmt nicht, aber der Crypto 6-S-Prozessor ist viel schneller als der Crypto 5-S, und der 6-S ist nur auf einem z14 verfügbar. Es ist also richtig, dass Sie einen z14 für akzeptable Verschlüsselung benötigen (mehr zur Leistung unten). Da Verschlüsselung und Entschlüsselung zur I/O-Zeit erfolgen, sind sie für Db2 nahezu vollständig "transparent". Tabellenräume oder Indize, oder beides, können verschlüsselt werden; der Db2-Katalog und das Verzeichnis können verschlüsselt werden, ebenso wie Benutzerdaten. Sie können auch BSDS, aktive Logs, Archivprotokolle (auf Festplatte), Bildkopien und Dienstprogramme verschlüsseln. Die erste und dritte Methode zur Aktivierung der Verschlüsselung von Db2-Datensätzen werden sowohl in Db2 11 als auch in Db2 12 unterstützt. Der zweite kann bereits ab Db2 11 für Bildkopien und Dienstprogramme verwendet werden, wird aber nur in Db2 12 (als Teil von Function Level 502) über DDL für Db2-Daten verfügbar. Beachten Sie, dass nach der Aktivierung der Verschlüsselung eines Tabellenraums oder Index die nächste Reorg des Objekts die Daten verschlüsselt. Der eigentliche Schlüssel zur Verschlüsselung und Entschlüsselung der Daten wird im CKDS ("Cryptographic Key Data Set") gespeichert. Der Schlüssel selbst ist systemgeneriert, aber Nutzer greifen über das Key Label zu, einen 64-Bit-Wert, der zum eigentlichen Schlüssel verwendet wird. Beachten Sie, dass eine RCF- (oder gleichwertige) Autorisierung erforderlich ist, um auf das Key Label zuzugreifen, sodass Sie für den Zugriff auf eine verschlüsselte Datei sowohl für das Key Label als auch für den Datensatz selbst autorisiert sein müssen. Beachten Sie, dass Sie, wenn Sie einen Disaster Recovery-Test planen oder Daten von einem System zum anderen migrieren, sicherstellen müssen, dass die CKDS-Datensätze an beiden Orten synchronisiert sind. Beachten Sie, dass die Verschlüsselung in den I/O-Routinen in Db2 implementiert ist, die Daten im Pufferpool frei verfügbar sind und SQL nur entschlüsselte Daten sieht. Sie fragen sich vielleicht, warum Sie Verschlüsselung implementieren möchten; die Antwort wird in den meisten Fällen sein, Ihre Auditoren zu besänftigen. Diese Funktion verhindert keine Hacking-Versuche wie SQL-Injection oder Passwortdiebstahl für unautorisierten SQL-Zugriff, schließt aber zusätzlich das Fenster für Insider-Zugriffe auf die Festplattendaten (SQL umgehen). In Db2 12 stellt IBM die DDL-Kontrolle der Verschlüsselung als Teil von Function Level 502 zur Verfügung. Dadurch können Sie "KEY LABEL" als Teil der Syntax der CREATE/ALTER TABLE und der CREATE/ALTER STOGROUP-Befehle angeben. Die TABLE-Syntax kann nur mit Einzeltabellen-Tabellenräumen verwendet werden und ermöglicht automatisch die Verschlüsselung von zugehörigen Indexen, LOB- und XML-Räumen sowie Klonen. Archiv- und History-Tabellen müssen getrennt verschlüsselt werden. Sie könnten sich für den Overhead von Verschlüsselung und Entschlüsselung interessieren. Natürlich gibt es etwas, da Sie Verschlüsselung bei Festplattenschreibvorgängen und Entschlüsselung bei Lesungen hinzufügen, aber das ist nicht aufwendig. Ich empfehle, einige Tests in Ihrer Umgebung durchzuführen, um zu sehen, wie hoch Ihr Overhead ist. Das erhöht die Attraktivität, Datenseiten im Bufferpool zu behalten (um den Overhead während der I/O zu vermeiden). Sie müssen sich bewusst sein, dass die Ausführung eines Utilitys auch teurer ist. Die kostengünstigere Utility-Suite von BMC Software könnte einen Blick wert sein, um einen Teil der Kosten durch Verschlüsselung auszugleichen. Es gibt viele Optionen für Transparent Data Encryption, beginnend mit der Bereitstellung und der Wahl der verwendeten Technik. Wir empfehlen Ihnen, eine Methode konsequent zu verwenden. So vermeiden Sie Verwirrung durch widersprüchliche Spezifikationen. Denken Sie daran, bei Drittanbietern nachzufragen, welchen Unterstützungsgrad sie für TDE bieten. Bitte beachten Sie, dass alle Db2-Produkte von BMC Software diese Funktion heute unterstützen; Sie können Ihr BMC-Kontoteam nach Details fragen. Sprechen Sie mit Ihrem BMC-Kontoteam oder einem BMC-Vertriebsmitarbeiter über die Nutzung der BMC Next Generation Technology Utilities, die Ihnen helfen können, die Kosten für die Verschlüsselung zu senken. BMC bietet vollständige Pakete von Performance-, Verwaltungs- und Wiederherstellungstools für Db2 auf z/OS.
Diese Beiträge sind meine eigenen und spiegeln nicht unbedingt die Position, Strategien oder Meinung von BMC wider.