Dateiverschlüsselung

Durch die Dateiverschlüsselung mit Crypto-Kennwort ist es möglich, den Inhalt einer Datei vor unbefugtem Zugriff zu schützen – auch gegenüber Personen mit TSOS-Privileg und auch gegen den physikalischen Zugriff auf Platten und Sicherungsbänder.

Eine verschlüsselte Datei wird durch Umwandlung einer normalen Datei mit dem Kommando ENCRYPT-FILE erzeugt. Dabei erfolgt die Festlegung des Crypto-Kennworts und das im Systemparameter FILECRYP eingestellte Verschlüsselungsverfahren wird in den Katalogeintrag der Datei übernommen.

Das Kommando DECRYPT-FILE macht aus verschlüsselten Dateien wieder unverschlüsselte. Dies ist nur nach Vorgabe des korrekten Cypto-Kennworts möglich.

Crypto-Kennwort

Ein Crypto-Kennwort ist max. 8 Zeichen lang, ohne Unterscheidung von Groß- und Kleinschreibung.

Zur Vorgabe der Zugriffsberechtigung auf eine verschlüsselte Datei wird das zugehörige Crypto-Kennwort mit dem Kommando ADD-CRYPTO-PASSWORD in der tasklokalen Crypto-Kennworttabelle hinterlegt.

Das explizite Entfernen eines Crypto-Kennworts aus der Kennworttabelle erfolgt mit dem Kommando REMOVE-CRYPTO-PASSWORD (sonst implizit beim Beenden der Session).

Ohne Angabe des korrekten Crypto-Kennworts ist eine Entschlüsselung unmöglich. Gegen Verlust des Crypto-Kennworts werden folgende Maßnahmen empfohlen:

• Hinterlegen der festgelegten Crypto-Kennworte an einem sicheren Ort

• Anzahl der verwendeten Crypto-Kennwörter klein halten. Dazu gehört:

  • Zusammengehörige verschlüsselte Dateien immer mit dem gleichen Crypto-Kennwort schützen (Benutzer: ENCRYPT-FILE mit Angabe einer Referenzdatei).

  • Neben bestimmten verschlüsselten Musterdateien nur verschlüsselte Dateien mit gleichen Crypto-Kennworten wie diese Musterdateien erlauben (Systemparameter FREFCRYP).

Arbeiten mit verschlüsselten Dateien

Beim homogenen Transfer einer verschlüsselten Datei wird der verschlüsselte Inhalt einszu-eins in eine Empfangsdatei übertragen, die dieselben Verschlüsselungsattribute hat wie die Sendedatei.

Dieser homogene Transfer wird benutzt bei:

• homogenem COPY-FILE

• Sichern und Rekonstruieren (SAVE/RESTORE) mit HSMS/ARCHIVE

• Verdrängen und Zurückholen (MIGRATION/RECALL) mit HSMS

• Export und Import mit HSMS/ARCHIVE

• Verlagern von Dateien innerhalb eines SM-Pubsets auf einen anderen Volume-Set

• homogener File-Transfer

Beim homogenen Transfer findet also keine Entschlüsselung statt und somit wird auch kein Key und kein Crypto-Kennwort benötigt. Dadurch kann insbesondere die Systembetreuung bei Transfer-Aktionen mit verschlüsselten Dateien arbeiten wie mit unverschlüsselten Dateien.

Bei der Ausgabe des Kommandos SHOW-FILE-ATTRIBUTES zeigt das Feld ENCRYPTION im Abschnitt SECURITY an, ob und mit welchem Verschlüsselungsverfahren (AES oder DES) eine Datei verschlüsselt ist. Eine Dateiselektion wird entsprechend der Werte des Operanden ENCRYPTION angeboten.

Bei Fern-Dateizugriff über RFA werden die Kommandos ADD- und REMOVE-CRYPTO-PASSWORD von der Aufrufertask automatisch an alle angeschlossenen RFA-Partnerprozesse weitergeleitet.

DAB unterstützt das Lese-Caching von verschlüsselten und unverschlüsselten Dateien, nicht jedoch das Schreib-Caching.
Lese-Caching ist für verschlüsselte Dateien günstig, um die durch das Verschlüsselungsverfahren verlängerten Zugriffszeiten zu verkürzen.

Einschränkungen und Besonderheiten

• Durch die Bindung an das Subsystem openCrypt ist ab „System Ready“ der Zugriff auf verschlüsselte Dateien möglich.

• Nicht verschlüsselt werden Jobvariablen, Banddateien, EAM-Dateien, Dateien auf Privatplatte und TSOS-Dateien auf dem Home Pubset.

• Verschlüsselte Dateien können nicht gedruckt werden. Eine verschlüsselte Datei muss erst entschlüsselt werden.

• Verschlüsselte Dateien haben kein Kennwort für Lesen und Ausführen. Sie können jedoch ein Schreib-Kennwort haben und sind auch mit den anderen Zugriffsschutzmechanismen kombinierbar.

• Die Änderung des Crypto-Kennworts mit dem Kommando MODIFY-FILE-ATTRIBUTES ist nicht möglich. Änderungen von READ- oder EXEC-PASSWORD werden ignoriert.

• Bei Einsatz von PAMCONV oder bei Aufruf des Kommandos REPAIR-DISK-FILE für eine verschlüsselte Datei ist die Vorgabe des Crypto-Kennworts erforderlich.

Möglichkeiten der Steuerung über Systemparameter

1. FILECRYP

   Der Systemparameter FILECRYP bestimmt das Verschlüsselungsverfahren beim Umwandeln in eine verschlüsselter Datei mit dem Kommando ENCRYPT-FILE.
   Es werden die Verschlüsselungsverfahren AES (Voreinstellung) und DES unterstützt.

   • Der aktuelle Wert des Systemparameters FILECRYP wird bei ENCRYPT-FILE in die Verschlüsselungsmerkmale der Datei übernommen.

   • Beim Zugriff auf eine bereits verschlüsselte Datei wird das Verschlüsselungsverfahren nicht dem Systemparameter FILECRYP entnommen, sondern dem Katalogeintrag der Datei.

   • Eine Änderung des Systemparameters FILECRYP wird für eine zum Zeitpunkt der Änderung bereits verschlüsselte Datei erst dann wirksam, wenn die Datei entschlüsselt und anschließend erneut verschlüsselt wird.

   Beim Shared-Pubset-Betrieb mit verschlüsselten Dateien sollte die Wahl der einzelnen Verschlüsselungsverfahren im Systemparameter FILECRYP der beteiligten Systeme einheitlich sein.

2. FREFCRYP

   Zur kontrollierten Vergabe und zahlenmäßigen Begrenzung der verwendeten Crypto-Kennwörter steht der Systemparameter FREFCRYP zur Verfügung.
   Enthält - falls nicht leer - eine ausgewählte Benutzerkennung. Nur für Dateien von dieser Benutzerkennung ist dann die Umwandlung in verschlüsselte Dateien (Kommando ENCRYPT-FILE) mit freier Definition eines Crypto-Kennworts möglich.
   Bei der Umwandlung von Dateien anderer Benutzerkennungen muss dann eine schon verschlüsselte Referenzdatei angegeben werden. Die Menge aller verwendeten Crypto-Kennwörter wird damit begrenzt auf die der verschlüsselten Dateien von der ausgewählten Benutzerkennung.

3. PWACTIVE

   Mit dem Systemparameter PWACTIVE wird festgelegt, wie viele Crypto-Kennwörter eine Crypto-Kennworttabelle maximal enthalten darf. Wird der Grenzwert erreicht, wird die Meldung DMS0691 ausgegeben und es kann für die laufende Task kein weiteres Crypto-Kennwort mehr eingegeben werden, bevor nicht mindestens eines der Crypto-Kennwörter aus der Crypto-Kennworttabelle wieder ausgetragen wurde.

4. PWENTERD

   Mit dem Systemparameter PWENTERD wird festgelegt, wie viele Crypto-Kennwörter pro Task eingegeben werden dürfen. Wird der Grenzwert erreicht, wird die Meldung DMS0692 ausgegeben und es kann für die laufende Task kein weiteres Crypto-Kennwort mehr eingegeben werden.

5. PWERRORS

   Mit dem Systemparameter PWERRORS wird festgelegt, wie viele Crypto-Fehlzugriffsversuche unter einer Task maximal toleriert werden. Wird der Grenzwert erreicht, wird ggf. ein SAT-Eintrag geschrieben, die Meldung DMS0693 auf die Konsole ausgegeben und die Task abnormal beendet.

6. PWPENTI

   Mit dem Systemparameter PWPENTI wird eine Festlegung für die Zeitstrafe der zu tolerierenden Crypto-Fehlzugriffsversuche getroffen.

Alle oben aufgeführten Grenzwerte gelten sowohl für die Eingabe von Crypto-Kennwörtern als auch für die Eingabe von Datei-Kennwörtern (READ, WRITE, EXEC). Im Gegensatz zu den Datei-Kennwörtern, bei deren Eingabe die privilegierte Systembetreuung das Sonderrecht besitzt, die festgelegten Grenzwerte zu überschreiten, werden bei der Eingabe von Crypto-Kennwörtern keinerlei Sonderrechte gewährt.

Crypto-Kennworttabellen und Crypto-Kennwortzähler werden getrennt von den Datei-Kennworttabellen und den Datei-Kennwortzählern geführt. Ist zum Beispiel unter einer Task die maximal mögliche Anzahl von READ-, WRITE- und EXEC-Kennworteingaben erreicht, sind durchaus weitere Crypto-Kennworteingaben möglich und umgekehrt.

Der Parameter ENCRYPT wirkt sich nur aus auf die Verschlüsselung von Dateikennworten, nicht auf die von Crypto-Kennworten. Diese werden stets mit Einweg-Verschlüsselung in der Crypto-Kennworttabelle hinterlegt.

Für weitere Hinweise zur Nutzung von verschlüsselten Dateien siehe Handbuch „Einführung in das DVS“ [19].