Puntos clave: El Cifrado Transparente de Datos (TDE) en Db2 protege los datos en reposo, asegurando el cumplimiento mediante el cifrado de conjuntos de datos con un impacto mínimo en el rendimiento. Soporta cifrado para espacios de tablas y registros, con un control mejorado para la gestión de claves en Db2 12.
- El TDE mitiga los riesgos de acceso no autorizado a los datos y cumple con las exigencias de auditoría.
- Utilizando un procesador criptográfico, TDE garantiza un cifrado y descifrado eficiente de datos durante las operaciones de E/S.
Ha habido varias exposiciones de datos de alta visibilidad en las noticias durante el último año aproximadamente. Como DBA de Db2, una de tus responsabilidades están la protección de los datos que tu empresa necesita gestionar. Tus auditores, internos y externos, pueden exigir acciones para Protege tus valiosos datos de Db2 de ojos curiosos. Ninguno de nosotros quiere el coste, las posibles multas o la mala publicidad asociada a una posible o real exposición de datos. IBM ha proporcionado una solución parcial en Transparent Data EncryptionTM (o "TDE") para Db2, que está como parte de un esfuerzo más amplio que llaman zSystem Pervasive EncryptionTM (o "zSPE"). Transparent Data Encryption proporciona un mecanismo para Cifra tus datos en reposo, en disco. Se ha proporcionado TDE tanto para Db2 11 como para Db2 12. Para Db2 12, hay están función adicional, que se ha proporcionado mediante Continuous Delivery como parte del Nivel de Función 502. Primero, veamos el mecanismo de cifrado en sí, cómo están implementado y qué necesitarán te para desplegarlo. El cifrado explota una instrucción de hardware que están ejecuta en un procesador Crypto conectado para minimizar el coste de la instrucción. IBM decidió implementar esta función en el gestor de medios, que están un mecanismo de acceso de bajo nivel (parte de DFSMS) usado por BSAM, QSAM, VSAM y Db2. están destaca que esta técnica de cifrado no soporta cinta. z/OS permite tres métodos para habilitar el cifrado; en orden de prioridad, estos son: en un perfil de conjunto de datos RACF, como atributo del conjunto de datos (especificado en JCL con sintaxis DSKEYBL o KEYLABEL en IDCAMS), y como atributo en un SMS DATACLAS. Para ser cifrado, un conjunto de datos debe tener el atributo Extendido. El cifrado SMS están disponible en z/OS 2.2 (si se ha aplicado el PTF para OA50569 APAR) o en z/OS 2.3. te necesitará el procesador Crypto adjunto. Existe están idea errónea de que un z14 están necesario para implementar el cifrado. Esto no están cierto, pero el procesador Crypto 6-S están mucho más rápido que el Crypto 5-S, y el 6-S están disponible solo en un z14. Así que están cierto que te necesita un z14 para un rendimiento aceptable del cifrado (más sobre el rendimiento más adelante). Como el cifrado y el descifrado son hacen en momento de E/S, son casi completamente "transparentes" para Db2. Los espacios de tablas o índices, o ambos, pueden cifrarse; el catálogo y directorio de Db2 pueden cifrarse, así como los datos de usuario. te también pueden elegir Cifra el BSDS, registros activos, registros de archivo (en disco), copias de imágenes y archivos de trabajo utilitario. El primer y tercer método para habilitar el cifrado para conjuntos de datos Db2 son soportados tanto en Db2 11 como en 12. El segundo puede usarse para copias de imágenes y archivos de trabajo utilitario ya en Db2 11, pero estará disponible a través de DDL para datos de Db2 solo en Db2 12 (como parte del Nivel de Función 502). Ten en cuenta que, una vez habilitado el cifrado para un espacio de tablas o índice, la siguiente Reorganización del objeto Cifra los datos. La clave real para Cifra y descifrar los datos está almacenada en el CKDS ("Conjunto de Datos de Clave Criptográfica"). La clave en sí está generada por sistema, pero los usuarios acceden a ella a través de la etiqueta de clave, un valor de 64 bits usado para acceder a la clave real. Ten en cuenta que la autorización RACF (o equivalente) está necesaria para acceder a la etiqueta de clave, por lo que para acceder a un archivo cifrado te debes estar autorizado tanto para la etiqueta de clave como para el propio conjunto de datos. Ten en cuenta que, si tú planeas una prueba de recuperación ante desastres o migrar datos de un sistema a otro, tú debes asegurarte de que los conjuntos de datos CKDS en ambas ubicaciones son sincronizados. Ten en cuenta que, dado que el cifrado está implementado en las rutinas de E/S en Db2, los datos están disponibles en el pool de búfer, y SQL solo detecta datos descifrados. Puede que te preguntes por qué te gustaría implementar cifrado; la respuesta, en la mayoría de los casos, creo, será apaciguar a tus auditores. Esta función no evitará intentos de hackeo como la inyección de SQL o el robo de contraseñas para acceder a SQL no autorizado, pero sí cierra aún más la ventana contra accesos internos a los datos del disco (evitando SQL). En Db2 12, IBM está proporcionando control DDL del cifrado como parte del Nivel de Función 502. Esto te permitirá especificar "KEY LABEL" como parte de la sintaxis de los comandos Crea/ALTER TABLE y Crea/ALTER STOGROUP. La sintaxis TABLE solo puede usarse con espacios de tabla únicos y permite automáticamente el cifrado para índices, espacios LOB y XML asociados, y clones. Las tablas de archivo e historial deben cifrarse por separado. te puede tener curiosidad por la sobrecarga del cifrado y el descifrado. Por supuesto, están algo, ya que te son añadir cifrado a las escrituras de disco y descifrado a las lecturas, pero no están molesto. Recomiendo te realices algunas pruebas en tu entorno para Ve cuán alta es tu sobrecarga. Esto sí aumenta la conveniencia de mantener las páginas de datos en el pool de búfer (para evitar la sobrecarga durante la E/S). Tú debes tener en cuenta que la ejecución de la utilidad también costará más. La suite de utilidades de menor coste de BMC Software puede merecer la pena para ayudarte a compensar parte del aumento de coste que te genera el cifrado. Son muchas opciones para el Cifrado de Datos Transparente, empezando por si desplegarlo y luego elegir la técnica a utilizar. Recomendamos que tú elijas un método y lo utilices de forma consistente. Así evitarás la confusión de resolver especificaciones contradictorias. Recuerda consultar con proveedores externos para Ve qué nivel de soporte ofrecen para TDE. Ten en cuenta que todos los productos Db2 de BMC Software soportan esta función hoy en día; te puedes consultar con tu equipo de cuentas de BMC para obtener más detalles. Habla con tu equipo de cuentas BMC o con un vendedor de BMC sobre la utiliza de las utilidades de tecnología de nueva generación de BMC, que pueden ayudar te a reducir los costes asociados al cifrado. BMC ofrece suites completas de herramientas de rendimiento, administración y recuperación para Db2 en z/OS.
Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.