Your Browser is not longer supported

Please use Google Chrome, Mozilla Firefox or Microsoft Edge to view the page correctly
Loading...

{{viewport.spaceProperty.prod}}

Zugriffsschutz

Zugriffsschutz bezeichnet die Regeln, nach denen in einem DV-System Subjekte auf Objekte zugreifen können und die Methoden, mit denen die Einhaltung dieser Regeln sichergestellt werden kann.

BS2000 OSD/BC

BS2000 OSD/BC stellt Zugriffsschutzmechanismen für Objekte, die vom DVS (Dateiverwaltungssystem) verwaltet werden können, zur Verfügung. Das DVS stellt die Objektverwaltung für Dateien dar, die die Objekte des DVS sind.

Für Dateien gibt es folgende Schutzmechanismen:

  • Begrenzter Pubset-Zugriff
    Durch Verteilung von Benutzerkennungen auf unterschiedliche Pubsets kann ein Schutz vor unerlaubtem Zugriff auf Objekten, z.B. Dateien, jeweils anderer Pubsets erreicht werden (siehe auch Kapitel „BS2000-Benutzerverwaltung" und Kapitel „Pubset-Verwaltung").

  • Standard-Zugriffskontrolle (USER-ACCESS/ACCESS)
    Mit dem Zugriffsschutzmechanismus der Standard-Zugriffskontrolle (mit den Operanden ACCESS und USER-ACCESS der Kommandos CREATE-FILE und MODIFY-FILE-ATTRIBUTES) legt der Benutzer Zugriffsrechte für sich und andere fest (siehe "Standard-Zugriffskontrolle (ACCESS/USER-ACCESS)").

  • Einfache Zugriffskontroll-Liste (Basic Access Control List, BACL)
    Mit dem Zugriffsschutzmechanismus der BACL legt der Benutzer Zugriffsrechte auf Objekte, z.B. Dateien, für eine differenzierte Menge von Subjekten fest (siehe "Einfache Zugriffskontroll-Liste (BACL)"). Die Zugriffsrechte Lesen (read), Schreiben (write) und Ausführen (exec) können für jede der Benutzerklassen Owner, Group und Others getrennt vergeben werden.

  • Kennwort
    Für jede seiner Dateien kann der Benutzer Kennwörter (Lese-, Schreib- und Ausführungs-Kennwort) vereinbaren. Vor der Verarbeitung kennwortgeschützter Dateien ist das entsprechende Kennwort anzugeben. Kennwörter können auf Wunsch verschlüsselt werden (siehe "Kennwörter und Schutzfristen").

  • Dateiverschlüsselung
    Der Benutzer kann eine Datei in eine verschlüsselte Form umwandeln und dabei ein Crypto-Kennwort (wie ein „normales“ Kennwort, jedoch 8 Zeichen lang) vorgeben. Der Zugang zum Dateiinhalt ist dann nur noch nach Vorgabe des richtigen Crypto-Kennwort möglich (siehe "Dateiverschlüsselung").
    Verschlüsselte Dateien haben kein Kennwort für Lesen oder Ausführen, sind aber sonst mit allen anderen Zugriffsschutzmechanismen kombinierbar.

  • Schutzfrist
    Ein Benutzer kann seiner Datei eine Schutzfrist zuordnen, innerhalb der diese Datei nicht geändert werden darf (siehe "Kennwörter und Schutzfristen"). 

Sicherheit mit Kryptografie

Das BS2000-Subsystem CRYPT bietet kryptografische Funktionen für BS2000-Nutzer an. Es verwendet standardisierte, offene Schnittstellen zur Ver- und Entschlüsselung von Daten, siehe Handbuch „CRYPT“ [9]. CRYPT benötigt keine spezielle Hardware.

Erweiterter Zugriffsschutz mit SECOS

Das Softwareprodukt SECOS (Komponente GUARDS) stellt ein komfortables und flexibles Verwaltungsinstrument zur Verfügung, mit dem für Objekte wie Dateien, Bibliotheken, Bibliothekselemente oder weitere Objekte verschiedener Objektverwaltungen Zugriffsbedingungen definiert und bewertet werden können. Der Zugriffsschutz für die genannten Objekte wird dabei über so genannte Guards realisiert, die Zugriffsbedingungen aufnehmen. Zugriffsbedingungen werden von Objektverwaltungen (DVS, LMS, JVS, HSMS, SRPM, usw.) abgefragt. Je nach Ergebnis der Auswertung gestattet die Objektverwaltung dann dem Subjekt den Zugriff oder nicht. 

Verwendung der Schutzmechanismen

Die folgende Tabelle zeigt, welche Objekttypen mit welchem Schutzmechanismus geschützt werden können:

Schutzmechanismus


Objekt

Begrenzter
Pubset-
Zugriff

ACCESS
USER-
ACCESS


BACL

Kennwort

Dateiver-
schlüsselung


Schutzfrist

GUARDS

Datei1

public

+ 2

+

+

+

+

+

+

temporär

- 3

-

-

-

+

-

-

privat

-

+

+

+

-

+

-

Band

-

+

-

+

-

+

-

Dateigenerations-
gruppe

Index public,
FGen public

-

+

+

+

+

+

+

Index public,
FGen Band

-

+

+

+

-

+

+

Index privat,
FGen privat

-

+

+

+

-

+

-

Jobvariable

permanent

+

+

+

+

-

+

+

temporär

-

-

-

-

-

-

-

Bibliotheks-Element4

-

-

+

-

-

-

+

FITC-Port

-

-

-

-

-

-

+

Storage-Klassen

-

-

-

-

-

-

+

HSMS-Managementklassen

-

-

-

-

-

-

+

Tabelle 32: Schutzmechanismen für Objekte

1 Ist Datei eine Bibliothek, siehe „Besonderheiten bei Bibliothekszugriffen"

2 + bedeutet: Schutzmechanismus anwendbar

3 - bedeutet: Schutzmechanismus nicht anwendbar

4 siehe „Besonderheiten bei Bibliothekszugriffen"

Wie die Tabelle zeigt, können manche Objekte mit mehreren Schutzmechanismen geschützt werden. Von den Schutzmechanismen ACCESS/USER-ACCESS, BACL und GUARDS kann jeweils nur einer für ein Objekt wirksam sein (siehe nächsten Abschnitt). Alle übrigen Schutzmechanismen gelten zusätzlich. 

Hierarchie von Datei-Schutzmechanismen

Beim gleichzeitigen Einsatz der Schutzmechanismen ACCESS/USER-ACCESS, BACL und GUARDS für dasselbe Objekt könnten widersprüchliche Situationen entstehen. Um diese zu vermeiden, gilt folgende Hierarchie:

  • Wenn der Schutz eines Objektes über Guards definiert ist, dann gelten ausschließlich die in den Guards festgelegten Zugriffsbedingungen. Eine ggf. für das Objekt definierte BACL und die Schutzattribute ACCESS/USER-ACCESS bleiben unberücksichtigt.

  • Wenn kein Guardschutz für ein Objekt definiert ist, aber eine BACL, dann gilt die in der BACL festgelegte Schutzeinstellung. Die Schutzattribute ACCESS und USER-ACCESS bleiben unberücksichtigt.

  • Wenn der Schutz eines Objektes weder mit Guards noch mit BACL geregelt ist, dann werden für den Schutzmechanismus die Schutzattribute ACCESS und USER-ACCESS herangezogen.

In allen Fällen gelten zusätzlich der begrenzte Pubset-Zugriff, der Kennwortschutz, die Dateiverschlüsselung und die Schutzfrist.

Bild 19: Schutzmechanismen für Dateien auf einem Pubset

Jede Datei und jede Jobvariable kann durch einen oder mehrere Schutzmechanismen gesichert werden. Die Zugriffsrechte sind mit folgender Priorität wirksam:

  1. Guards

  2. BACL

  3. Standard-Zugriffskontrolle

Von den drei Schutzmechanismen wird genau einer bei jeder Überprüfung einer Zugriffsberechtigung herangezogen. Das ist derjenige, der in der Hierarchie am höchsten steht und der aktiviert ist.

Besonderheiten bei Bibliothekszugriffen

PLAM-Bibliotheksdateien können als Ganzes wie eine Datei geschützt werden. Davon unabhängig können Bibliothekselemente mit der LMS-Anweisung MODIFY-ELEMENT-PROTECTION geschützt werden.

Beim Zugriff auf Bibliotheken und Bibliothekselemente ist daher Folgendes zu beachten:

  • Der Zugriff auf einzelne Bibliothekselemente wird durch die mit MODIFY-ELEMENT-PROTECTION festgelegten Schutzmechanismen geregelt. Unabhängig vom Elementschutz ist dieser Zugriff jedoch nur möglich, wenn die Bibliotheksdatei in ihrer Gesamtheit gelesen werden darf.

  • Beim Zugriff auf eine Bibliothek in ihrer Gesamtheit (mit ARCHIVE, mit File-Transfer oder mit dem DVS-Kommando COPY-FILE) gilt Folgendes:

    • Ist die Bibliothek weder durch eine BACL noch durch Guards geschützt, kann auf sie zugegriffen werden wie auf eine beliebige Datei.

    • Für den Zugriff auf eine Bibliothek, die durch eine BACL oder ein Guard geschützt ist, können die Zugriffsregelungen folgender Tabelle entnommen werden:


      Bibliothek enthält mindestens
      ein Element, das mit einer
      BACL oder einem Guard
      geschützt ist

      Bibliothek enthält kein
      Element, das mit einer BACL oder
      einem Guard geschützt ist


      Zugriff
      durch

      Eigentümer

      * 1

      *

      Miteigentümer

      *

      *

      Andere

      Zugriff verboten

      *

      Tabelle 33: Zugriffsregelungen beim Zugriff auf Bibliotheken

      1 * bedeutet: Zugriff hängt von den Zugriffsregelungen der gesamten Bibliothek ab

Powered by Atlassian Confluence and Scroll Viewport.