Die Verschlüsselung erfolgt mit einem der symmetrischen Standardverfahren AES oder DES (das Verschlüsselungsverfahren wird als Systemoption im Systemparameter FILECRYP festgelegt) und einem einzugebenden Crypto-Kennwort. Um auf den unverschlüsselten Inhalt einer verschlüsselten Datei zugreifen zu können, muss dieses Crypto-Kennwort tasklokal eingegeben werden.
Die Verschlüsselung einer Datei wird bei den Dateiattributen als Schutzattribut geführt, betrifft aber technisch auch das Dateiformat.
Der Systemparameter FILECRYP kann jederzeit geändert werden, etwa von AES auf DES. Der Systemparameter wirkt sich (nur) aus auf die Wahl des Verfahrens bei der Umwandlung in eine verschlüsselte Datei (ENCRYPT-FILE). Bereits verschlüsselte Dateien führen ihre Verschlüsselungsmerkmale (auch das benutzte Verfahren) im Katalogeintrag und bleiben von der Änderung des Systemparameters unberührt.
Verschlüsselte Dateien werden seitenweise verschlüsselt auf den Pubset-Platten geführt. Dabei sind alle Seiten einer Datei gleichartig verschlüsselt. Aus der Prüfung des Crypto-Kennworts beim Öffnen einer verschlüsselten Datei wird der Schlüssel (Key) zum Ver- bzw. Entschlüsseln für die Lese- oder Schreibzugriffe auf die Datei abgeleitet.
Ver- bzw. Entschlüsseln erfolgt über das Subsystem Crypt.
Verschiedene Dateien können gleiche oder unterschiedliche Crypto-Kennwörter haben. Dadurch werden gleiche oder unterschiedliche Keys beim Verschlüsseln verwendet.
Bei der Umwandlung in eine verschlüsselte Datei (ENCRYPT-FILE) kann man das Crypto-Kennwort auch von einer schon verschlüsselten Referenzdatei übernehmen. Damit wird die Vergabe von gleichen Crypto-Kennwörtern für zusammengehörende Dateien unterstützt. Mit dem Systemparameter FREFCRYP kann man die Einführung neuer Crypto-Kennwörter beschränken auf Dateien einer bestimmten Benutzerkennung. Dateien außerhalb dieser Benutzerkennung können dann nur ein von einer Referenzdatei übernommenes Crypto-Kennwort erhalten.
Der Katalogeintrag einer verschlüsselten Datei enthält den Verschlüsselungsindikator, das Verschlüsselungsverfahren und ein Prüfmuster zur Prüfung des Crypto-Kennworts.
Das Crypto-Kennwort und der Key werden nicht im System gespeichert.
Beim Einsatz von DAB (Disk Access Buffer) werden durch die Pufferung die Ein-/Ausgaben auf Platten reduziert. Bei Zugriffen auf verschlüsselte Dateien mit DAB-Pufferung wird neben den Ein-/Ausgaben auf Platte auch die Ver- bzw. Entschlüsselung gespart.
Homogener Transfer und Integration in bestehende Anwendungen
Beim homogenen Transfer einer verschlüsselten Datei wird der verschlüsselte Inhalt eins-zu-eins in eine Empfangsdatei übertragen, die dieselben Verschlüsselungsattribute hat wie die Sendedatei.
Dieser homogene Transfer wird benutzt bei:
homogenem COPY-FILE
Sichern und Restaurieren (SAVE/RESTORE) mit HSMS/ARCHIVE
Verdrängen und Zurückholen (MIGRATION/RECALL) mit HSMS
Verlagern von Dateien innerhalb eines SM-Pubsets auf einen anderen Volume-Set
File-Transfer (nur homogen; für den inhomogenen File-Transfer siehe Einschränkung auf "Voraussetzungen und Einschränkungen für Dateiverschlüsselung")
Beim homogenen Transfer findet also keine Entschlüsselung statt und somit wird auch kein Key und kein Crypto-Kennwort benötigt. Die Zieldatei wird verschlüsselt angelegt, wobei nicht mehr Zeit erforderlich ist als für die entsprechende Operation für eine unverschlüsselte Datei.
Der Systembetreuer kann einerseits mit verschlüsselten Dateien wie gewohnt arbeiten, da bei den genannten Transfers kein Crypto-Kennwort benötigt wird, er hat jedoch andererseits keinen Zugriff auf den entschlüsselten Inhalt von verschlüsselten Dateien.
Für die einfache Einführung verschlüsselter Dateien in vorhandene Anwendungen werden sicherheitskritische Dateien einmalig in verschlüsselte Dateien umgewandelt. Dabei muss ein Crypto-Kennwort festgelegt werden. Wie bei den Dateikennwörtern kann die Vorgabe des Crypto-Kennworts außerhalb der Anwendung erfolgen, bevor die Anwendung dann in der gleichen Task gestartet wird. Die Anwendung liest und schreibt dann bei Dateizugriffen automatisch den entschlüsselten Inhalt der Datei. Auf den Platten ist und bleibt der Inhalt der Datei verschlüsselt. Auf diese Weise brauchen Anwendungen bei Nutzung von verschlüsselten Dateien nicht geändert werden.