IBM Encryption Facility for
z/OS (5655-P97)
Transferência de dados segura para sua empresa
Destaques
●● ● ●Oferece transferência de dados
altamente segura para parceiros, fornecedores e clientes
●● ● ●Habilita a criptografia com o
gerenciamento de chaves em fita e disco
●● ● ●Habilita a criptografia de alto volume de
dados para arquivamento no local remoto
●● ● ●Utiliza recursos chave de gerenciamento
do IBM z/OS
●● ● ●Habilita gerenciamento chave de longo
prazo para dados arquivados em locais remotos
●● ● ●Aprimora a flexibilidade com suporte ao
formato OpenPGP RFC 4880
●● ● ●Possibilita a compressão usando
os algoritmos ZIP e ZLIB e aproveita o z Data Compression (zEDC), quando disponível
Proteger dados confidenciais é uma preocupação comum entre empresas de todo o mundo. A importância de proteger dados confidenciais e informações dos clientes chega ao nível executivo, pois uma falha em proteger esses ativos pode resultar em grandes prejuízos financeiros e, o principal, na perda de confiança do cliente e do investidor. A proteção de dados também pode ser requerida por regulamentações da indústria ou do governo e para o cumprimento de contratos com os parceiros de negócios. Independentemente de os dados circularem pela rede ou pela cidade em uma fita, eles precisam ser protegidos contra usuários não autorizados, mas de forma que os usuários autorizados possam acessá-los. O IBM® Encryption Facility for z/OS® V1.2 pode aplicar serviços
de criptografia de mainframe, que há mais de 20 anos protege caixas eletrônicos. Os clientes podem usar o gerenciamento de chave do z/OS que permite uma troca altamente segura de chaves de criptografia. Se o conteúdo importante de um parceiro de negócios cair em mãos erradas, os dados poderão ser descriptografados apenas com a chave de
criptografia privada do parceiro.
Com o IBM Encryption Facility for z/OS, você pode criptografar dados no seu sistema z/OS e enviá-los aos seus parceiros ou clientes, mesmo se eles não tiverem um sistema z/OS. Para descriptografar dados, os parceiros com z/OS têm a opção de usar o Encryption Facility, o Cliente baseado em Java, o Decryption Client for z/OS ou um programa em conformidade com OpenPGP RFC 4880. Para criptografar e
descriptografar dados, os parceiros sem z/OS podem usar a tecnologia Java baseada no cliente ou um programa em conformidade com OpenPGP RFC 4880.
O Encryption Facility for z/OS é composto por dois recursos opcionais pagos:
●● ●O recurso Encryption Services possibilita a criptografia e
descriptografia de determinados formatos de arquivo no z/OS. Ele permite transferir arquivos para locais remotos na empresa, parceiros e fornecedores, ou armazená-los. O recurso Encryption Services é compatível com o formato IBM z Systems™ (apresentado originalmente como Encryption Facility for z/OS V1.1) e com o formato OpenPGP (disponibilizado com o Encryption Facility for z/OS V1.2). O Systems z possibilita a compactação acelerada por hardware antes da criptografia.
●● ●O recurso DFSMSdss™ Encryption habilita a criptografia
dos conjuntos de dados DFSMSdss. Esse recurso possibilita a compactação acelerada por hardware antes da criptografia. A criptografia de ponta e os recursos de gerenciamento de chave, fornecidos pelas funções do z/OS e pelos componentes dos servidores Systems z, ajudam a proteger os dados.
Recurso Encryption Services
Systems zO recurso Encryption Services pode permitir que você criptografe dados e compartilhe informações, em diversas plataformas, com parceiros, fornecedores e clientes. Você também pode usar o recurso Encryption Services para criptografar determinados arquivos para armazenamento. Esse recurso pode usar o gerenciamento de chave do z/OS e acessar os componentes de autenticação, fornecidos na função Cryptographic Services Facility (ICSF), e os recursos de criptografia e compactação de hardware dos servidores Systems z.
O recurso Encryption Services possibilita a criptografia de dados por meio de chaves triple-length TDES ou chaves AES de 128 bits. As chaves públicas/privadas RSA podem ser especificadas para codificar e decodificar as chaves de dados AES e TDES, usadas para criptografar o arquivo. As chaves codificadas serão armazenadas no header de um arquivo. Com essa técnica, muitos arquivos podem ser gerados usando chaves de criptografia diferentes. No entanto, deve ser possível ler essas chaves mesmo após anos do arquivamento. O recurso Encryption Services também permite o uso de um esquema de derivação de chaves de senha.
O recurso Encryption Services é compatível com entradas a partir de arquivos de entrada sequencial física, de membros de PDS (partitioned data sets, conjuntos de dados particionados) e PDSE (partitioned data set extended, conjunto estendido de dados particionados), e a partir de arquivos armazenados nos sistemas de arquivos do z/OS UNIX System Services. Ele pode compactar os arquivos de entrada antes de criptografá-los e gravar os arquivos de saída. Usando a interface de grandes blocos para arquivos de saída gravados em fita, o recurso
Formato OpenPGP RFC4880
Com a introdução da V1.2, o Encryption Facility for z/OS agora é compatível com o formato OpenPGP. O suporte a OpenPGP proporciona ainda mais opções e flexibilidade para realizar a troca de dados dos parceiros de negócios. O suporte do Encryption Facility a OpenPGP foi desenvolvido para cumprir os requisitos do padrão OpenPGP e ser compatível com outros produtos que estejam em conformidade com OpenPGP (RFC 4880). Esse recurso permite que você troque arquivos criptografados, compactados e/ou assinados digitalmente entre seus data centers internos usando o suporte do Encryption Facility a OpenPGP juntamente com seus parceiros de negócios e fornecedores externos, que tenham um cliente em conformidade com OpenPGP (RFC 4880) instalado e em execução no z/OS e em outros sistemas operacionais. O suporte do Encryption Facility a OpenPGP inclui uma longa lista de novos recursos, tais como criptografia com senha de uma chave de sessão gerada aleatoriamente, criptografia assimétrica de chaves simétricas geradas aleatoriamente por meio de algoritmos RSA e ElGamal, assinaturas digitais de dados, entre outros recursos que podem ser importantes, dependendo do seus requisitos e do seu ambiente operacional. O suporte do Encryption Facility for z/OS V1.2 ao formato OpenPGP consumirá mais CPs do que o suporte do
Encryption Facility ao Systems z. Ele pode ser configurado para utilizar diversos CPs por meio de um maior processamento paralelo. O impacto da maior utilização de CPU para o suporte do Encryption Facility ao formato OpenPGP pode ser reduzido com os processadores z Integrated Information Processor (zIIP) no z13 ou com os processadores zIIP e zEnterprise Application Assist Processors (zAAP) nas gerações anteriores. Visto que o suporte a OpenPGP é gravado em Java, e a carga de trabalho Java é qualificada para o processador de mecanismos especiais, você poderá obter economias de software em potencial. Dessa forma, em determinadas configurações, como quatro ou mais CPUs, o tempo decorrido em uma tarefa do suporte a OpenPGP pode ser comparado, de forma favorável, ao do suporte do Encryption Facility ao formato do Systems z.
Essas funções podem usar ICSF e criptografia de hardware. A criptografia de hardware exige o ambiente correto e pode solicitar a instalação de um módulo criptográfico.
O Encryption Facility for z/OS V1.2 está disponível nas versões dos z Systems e do z/OS com suporte no momento.
Recurso DFSMSdss Encryption
O recurso DFSMSdss Encryption pode permitir a criptografia de conjuntos de dados de despejo DFSMSdss gravados em fita e em disco. Esse recurso foi desenvolvido para usar o gerenciamento de chave do z/OS e acessar os componentes de autenticação e os recursos de criptografia e compactação de hardware dos Systems z.
O recurso DFSMSdss Encryption possibilita a criptografia de dados por meio de chaves triple-length TDES ou chaves AES de 128 bits. Assim como o Encryption Services, esse recurso possibilita o uso de chaves públicas/privadas RSA para codificar e descodificar as chaves de dados AES e TDES, usadas para criptografar arquivos. Além disso, ele também permite a geração de chaves AES e TDES usando uma senha específica. Você também pode configurar o DFSMSdss para compactar os dados antes da criptografia.
O recurso DFSMSdss Encryption inclui duas funções: uma para criptografar os dados durante o processamento dos comandos DUMP e outra para descriptografá-los durante o processamento dos comandos RESTORE.
Encryption Facility for z/OS Client usando o formato Systems z
O Encryption Facility for z/OS Client, um programa licenciado separadamente (oferecido sem garantia), foi desenvolvido para permitir a troca de dados criptografados entre sistemas z/OS com o Encryption Facility instalado e sistemas em execução no z/OS ou em outras plataformas que precisam das funções compatíveis.
O Encryption Facility for z/OS Client é composto por:
●● ●Cliente baseado em Java. O Cliente baseado em Java, gravado
em Java, pode ser usado no z/OS e em qualquer plataforma compatível com Java. O Java-based Client permite a
descriptografia dos dados criados em um sistema z/OS usando o suporte do Encryption Facility ao formato Systems z, como também permite que a criptografia de dados seja enviada a um sistema z/OS, onde o arquivo é descriptografado por meio do suporte do Encryption Facility ao formato Systems z. Observação: os dados que serão processados por meio do Java-based Client não podem ser criados usando a compactação.
●● ●Decryption Client for z/OS. O Decryption Client for z/OS é
compatível somente com os sistemas z/OS. O Decryption Client
for z/OS permite a descriptografia dos dados criados em um sistema z/OS usando o suporte do Encryption Facility ao formato Systems z. Os dados que serão processados por meio do Decryption Client for z/OS podem ser criados usando a compactação. O Decryption Client não oferece suporte à criptografia no retorno dos dados. Essa opção pode apresentar melhor desempenho e talvez exija menos mídias para as trocas. No entanto, ela não permite que o parceiro de negócios retorne os dados para você em formato criptografado.
O valor da criptografia de mainframe
Os serviços de criptografia de mainframe da IBM são baseados na integração de hardware e software. Isto é, as tecnologias de criptografia e compactação encontradas nos servidores de mainframe e os recursos de gerenciamento de chave encontrados no sistema operacional z/OS.O hardware de criptografia de mainframe fornece duas funções principais. Uma delas é a aceleração da criptografia em comparação à criptografia baseada em software e, com os recursos adequados, a outra função são os serviços de chave de segurança. A aceleração de criptografia de alto desempenho é fornecida no CP Assist for Cryptographic Function (CPACF),
IBM Systems z. No servidor IBM System z10® Enterprise
Class (z10 EC™) e posterior, as novas melhorias incluem o suporte ao algoritmo de hash SHA-512 e ao Advanced Encryption Standard de até 256 bits (AES-256), o qual está de fato se tornando rapidamente um padrão de criptografia. Os recursos opcionais Crypto Express2, Crypto Express3, Crypto Express4 e Crypto Express5 fornecem as tecnologias de chave de segurança que permitem trocas confiáveis por meio de chave pública/chave privada. A chave de segurança é importante em transações bancárias, por exemplo, em comunicações entre o host e o caixa eletrônico. O Crypto Express2 é compatível com o DES triplo e com a Trusted Key Entry, fornecendo a você opções de chave de segurança. O Crypto Express3 é compatível com as chaves de criptografia de dados DES triplo e AES de 128, 192 e 256 bits. O Crypto Express5 de última geração apresenta melhorias no desempenho, que podem ser aproveitadas pelo z/OS Encryption Facility juntamente com os aprimoramentos do desempenho no CPACF do z13.
A função ICSF do z/OS permite a interface entre os aplicativos que buscam criptografia e os serviços de criptografia de hardware. Com mais de 20 anos de uso aprovado pelos usuários de mainframe, a função ICSF ajuda as empresas a protegerem e gerenciarem chaves de criptografia. Ela inclui geração de chaves, gerenciamento de chave baseado nas políticas do cliente e na recuperação das chaves. Outro recurso importante da função ICSF é a capacidade de fornecer informações para conformidade de auditoria e controles de acesso.
Esses recursos de criptografia podem ser ainda mais abrangentes por meio da resiliência e conformidade do mainframe da IBM. Os recursos de alta disponibilidade, escalabilidade, resiliência e recuperação remota do mainframe o tornam perfeito para o armazenamento e gerenciamento das chaves de criptografia. Os recursos de criptografia, fornecidos nos servidores de mainframe da IBM, e a segurança do sistema operacional z/OS fornecem uma base excelente para o
Outros recursos de criptografia da IBM
A IBM oferece agora uma ampla gama de soluções decriptografia, desenvolvidas para atender às suas necessidades de proteção de dados.
Solução IBM System Storage
As unidades de fita do IBM System Storage® TS1120, ou
posterior, oferecem armazenamento flexível de dados de alto desempenho com suporte à criptografia de dados. O recurso de criptografia é padrão em todas as unidades de fita, solicitadas recentemente, do modelo TS1120 ou posterior. As unidades de fita do modelo TS1120 e posterior, habilitadas para criptografia, foram desenvolvidas para fornecer uma solução de proteção de dados, que consiga descarregar a função de criptografia do servidor para a unidade de fita (evitando a sobrecarga do servidor), e fornecer uma solução de criptografia econômica para os grandes volumes de dados envolvidos no arquivamento e no backup. Quando usada com o z/OS, a unidade de fita do modelo TS1120, ou posterior, aproveita os benefícios dos recursos exclusivos de criptografia e segurança do Systems z para fornecer uma solução eficaz de armazenamento e gerenciamento de chaves de criptografia em toda a empresa. IBM Security Key Lifecycle Manager (ISKLM)
O IBM Security Key Lifecycle Manager (ISKLM) para z/OS funciona com as unidades de fita habilitadas para criptografia e os dispositivos de armazenamento do sistema da IBM. O ISKLM ajuda a gerar, proteger, armazenar e manter chaves de criptografia, usadas para criptografar as informações que estão sendo gravadas nos dispositivos e descriptografar as informações que estão sendo lidas a partir dos dispositivos. Há uma interface de linha de comando para gerenciar a entrega de chaves a esses dispositivos. Além disso, o ISKLM para z/OS oferece unidades de fita 3592 e Linear Tape-Open (LTO) habilitadas para criptografia. Os tipos de unidade a seguir são compatíveis:
●● ●Unidades de fita TS1120, TS1130 e TS1140 habilitadas para
criptografar dados
●● ●Unidades de fita LTO Ultrium 4 e LTO Ultrium 5
habilitadas para criptografar dados. A Criptografia é realizada em velocidade máxima na unidade de fita, após a
O ISKLM para z/OS também oferece suporte ao
IBM DS8000® Storage Controller com a versão adequada do
conjunto de microcódigos no DS8000 Storage Controller, Código interno licenciado (LIC), nível 64,2 ou superior. Solução de criptografia de dados para bancos de dados IMS e DB2
A criptografia de dados da IBM para os bancos de dados IMS® e DB2® fornece uma ferramenta de criptografia ao
IMS e DB2 para z/OS, em um único produto. Esse produto foi desenvolvido para permitir que você proteja dados confidenciais e privados, no nível do segmento do IMS e no nível de linha do DB2. A criptografia de dados da IBM para os bancos de dados IMS e DB2 é implementada por meio das saídas padrão do IMS e DB2. Essas saídas usam o hardware de criptografia do Systems z para criptografar dados que serão armazenados e
descriptografar dados que serão usados pelos aplicativos. Todas essas soluções fornecem diversos recursos de criptografia. Cada um deles foi desenvolvido para proteger elementos específicos do seu ambiente. Para avaliar e descobrir qual dessas soluções de criptografia é a mais adequada para atender às suas necessidades de segurança, entre em contato com um representante de vendas ou Parceiro de negócios local da IBM e obtenha mais informações.
Requisitos de hardware:
Os recursos Encryption Services e DFSMSdss Encryption do Encryption Facility for z/OS são executados nos seguintes servidores da IBM:
●● ●IBM z13
●● ●IBM zEnterprise® EC12 (zEC12) ou zBC12 ●● ●IBM zEnterprise 196 (z196) ou z114
●● ●IBM System z10 Enterprise Class (z10 EC) ou z10 BC™ ●● ●IBM System z9® Enterprise Class (z9 EC) ou z9 BC
Leia o anúncio a seguir para obter mais detalhes:
ibm.com/common/ssi/rep_ca/8/897/ENUS207-008/ ENUS207008.PDF
Para obter mais informações
Para obter mais informações sobre a segurança de mainframe da IBM, acesse: ibm.com/systems/z/security/
© IBM Corporation 2015
Integrated Marketing Communications, Server Group
Route 100 Somers, NY 10589 Janeiro de 2015
IBM, o logotipo da IBM, ibm.com. DB2, DFSMSdss, DS8000, IMS, System Storage, System z10, System z9, z Systems, z/OS, z10 BC, z10 EC, z13 e zEnterprise são marcas comerciais ou registradas da IBM Corporation nos Estados Unidos e/ou em outros países.
Java e todas as marcas comerciais e logotipos baseados em Java são marcas comerciais ou registradas da Oracle e/ou de suas afiliadas.
UNIX é marca registrada do The Open Group nos Estados Unidos e em outros países.
Outros nomes de empresas, produtos e serviços podem ser marcas comerciais ou marcas de serviço de terceiros.
As informações referentes a produtos não pertencentes à IBM foram obtidas dos fornecedores dos produtos ou de seus anúncios publicados. As dúvidas sobre os recursos dos produtos não pertencentes à IBM devem ser encaminhadas a esses fornecedores.
Os produtos de hardware da IBM são fabricados com peças novas ou peças usadas recondicionadas. Independentemente disso, nossos termos de garantia são aplicáveis.
A IBM pode não oferecer os produtos, serviços ou recursos discutidos neste documento em outros países, e as informações podem estar sujeitas à alteração sem notificação. Consulte seu contato comercial local da IBM para obter informações sobre produtos ou serviços disponíveis em sua região.
Todas as declarações referentes às futuras direções e intenções da IBM estão sujeitas à alteração ou retratação, sem aviso, e representam apenas metas e objetivos.
O desempenho é avaliado em ITR (Internal Throughput Rate, taxa de transmissão interna) com base nas medidas e projeções de indicadores de desempenho padrão da IBM em um ambiente controlado. A taxa de transmissão real enfrentada por qualquer usuário varia de acordo com considerações, como o volume de multiprogramação no fluxo de trabalho do usuário, a configuração de E/S, a configuração de armazenamento e a carga de trabalho processada. Desse modo, não será dada nenhuma garantia de que o usuário poderá obter uma melhoria de taxa de transmissão equivalente às taxas de desempenho definidas aqui.
