2006 bis 2010 – die Epoche der Server-basierenden Speichersysteme und der Speichervirtualisierung, Teil 16

Anbieter zum Thema

Fsas Technologies GmbH

Impossible Cloud GmbH

IBM Deutschland GmbH

Session Key wird neu generiert

Bei jeder neu aufgebauten Session zwischen EKM und Bandlaufwerk kommt immer ein neuer SK Session Key zum Einsatz. Der mit dem SK verschlüsselte Data Key wird als SEDK (Session Encryption Data Key) bezeichnet. Neben dem SEDK überträgt der EKM aber auch den über den KEK (Key Encryption Key) verschlüsselten Data Key zum Laufwerk, der als EEDK (Externally Encryption Data Key) bezeichnet wird und mit dem das Laufwerk absolut nichts anfangen kann, weil ausschließlich der EKM den KEK kennt und anwenden kann. Das Laufwerk hat also keine Möglichkeit, den übertragenen EEDK zu entschlüsseln, um an den eigentlichen Data Key zu gelangen.

Das Laufwerk kann den Data Key ausschließlich über den übertragenen SEDK entschlüsseln. Hat das Laufwerk nun die verschlüsselte Aufzeichnung abgeschlossen, wird am Bandende in die Tape Volume Control Region der EEDK hinterlegt, mit dem das Bandlaufwerk nichts anzufangen weiß. Zusätzlich wird der EEDK auch im Memory Chip der Kassette gespeichert. Sollte nun unautorisiert diese Kassette auf einem Encryption-fähigen TS1120-Laufwerk ausgelesen werden, ist dies nicht möglich, weil das Laufwerk mit dem mitaufgezeichneten EEDK nichts anfangen kann. Ein nicht autorisiertes Auslesen ist nicht möglich.

Zum Auslesen fordert das Laufwerk vom EKM wieder den Data Key an und überträgt den aufgezeichneten EEDK zum EKM. Der EKM sucht den zum EEDK zugehörigen KEK Key Encryption Key und entschlüsselt den EEDK. Der orginale Data Key steht also wieder zur Verfügung. Der Data Key wird nun wieder über einen neuen SK Session Key verschlüsselt und zum Laufwerk übertragen. Das Laufwerk erhält den neuen SEDK Session Encryption Data Key und entschlüsselt den SEDK, um den orginalen Data Key zu erhalten. Danach können die verschlüsselt aufgezeichneten Daten auf der Kassette entschlüsselt und ausgelesen werden.

Es besteht also keine Möglichkeit, die verschlüsselten Daten ohne den originalen Data Key auszulesen. Die Raffinesse dieser Implementierung liegt in der Tatsache, dass das Laufwerk eine symmetrische Encryption über einen Data Key durchführt, während die darübergelegte Key-Verwaltung asynchron implementiert ist. Dabei kann der auf dem Tape verschlüsselt abgespeicherte Data Key (EEDK) nicht von TS1120-Laufwerken, sondern ausschließlich vom EKM (Encryption Key Manager) für die Wiederherstellung des originalen Data Keys verwendet werden. Das Laufwerk muss den abgespeicherten verschlüsselten Data Key zum EKM übertragen. Der EKM stellt den originalen Data Key wieder her und schickt ihn für das Laufwerk verständlich verschlüsselt (Session Key) zurück.

Weiter mit: Synchrone und asynchrone Verschlüsselung sind „wasserdicht”

(ID:2044464)