DE112020003699B4 - Gleichzeitige aktivierung von verschlüsselung auf einem betriebspfad an einem speicheranschluss - Google Patents

Gleichzeitige aktivierung von verschlüsselung auf einem betriebspfad an einem speicheranschluss Download PDF

Info

Publication number
DE112020003699B4
DE112020003699B4 DE112020003699.5T DE112020003699T DE112020003699B4 DE 112020003699 B4 DE112020003699 B4 DE 112020003699B4 DE 112020003699 T DE112020003699 T DE 112020003699T DE 112020003699 B4 DE112020003699 B4 DE 112020003699B4
Authority
DE
Germany
Prior art keywords
port
data
path
security
plaintext
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
DE112020003699.5T
Other languages
English (en)
Other versions
DE112020003699T5 (de
Inventor
Roger Hathorn
Patricia Driever
Mooheng Zee
Christopher Colonna
John Flanagan
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of DE112020003699T5 publication Critical patent/DE112020003699T5/de
Application granted granted Critical
Publication of DE112020003699B4 publication Critical patent/DE112020003699B4/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/14—Handling requests for interconnection or transfer
    • G06F13/16—Handling requests for interconnection or transfer for access to memory bus
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect

Abstract

Verfahren (1900; 2000), aufweisend:Aktivieren (1902; 2002) von Sicherheit an einem Speicheranschluss (116, 118, 210, 212, 406, 1706);Durchführen (1904; 2004), durch den Speicheranschluss, von Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss (112, 114, 214, 402, 904, 1702), wenn festgestellt wird, dass ein Prüfmodusindikator (304) aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann; undgleichzeitig (1506) mit dem Durchführen von E/A (1504) in Klartext auf dem Pfad, Aktivieren (1906; 2006) von Verschlüsselung (68) von Daten für E/A (1506) auf dem Pfad durch den Speicheranschluss.

Description

  • TECHNISCHES GEBIET
  • Die vorliegende Erfindung betrifft allgemein die gleichzeitige Aktivierung von Verschlüsselung auf einem Betriebspfad an einem Speicheranschluss.
  • HINTERGRUND
  • Fibre Channel bezieht sich auf einen integrierten Satz von Architekturstandards für die Datenübertragung, die von dem American National Standards Institute (ANSI) entwickelt wurden. Sicherheitslösungen für die Fibre Channel-Architektur werden durch die von ANSI entwickelten Fibre Channel Security Protocols (FC-SP, Fibre Channel-Sicherheitsprotokolle) bereitgestellt. FC-SP stellt Mechanismen für eine Authentifizierung von Einheiten, Sicherheit pro Nachricht, Verteilung von Richtlinien usw. in einer Fibre Channel-Umgebung bereit. Weitere Einzelheiten zu FC-SP sind in der Veröffentlichung „Fibre Channel Security Protocols - 2 (FC-SP-2)“, Revision 2.71, veröffentlicht von ANSI am 12. Juni 2012, bereitgestellt.
  • FC-LS-4 stellt Mechanismen für Link-Dienste in Fibre Channel bereit, und weitere Einzelheiten sind in der Veröffentlichung „Fibre Channel Link Services (FC-LS-4)“, Revision 4.04, veröffentlicht von ANSI am 16. Juli 2019, bereitgestellt. FC-FS-5 stellt Mechanismen für Framing und Signalisierung in Fibre Channel bereit, und weitere Einzelheiten sind in der Veröffentlichung „Fibre Channel Framing and Signaling-5 (FC-FS-5)“, Revision 1.0, veröffentlicht von ANSI am 3. April 2018, bereitgestellt.
  • In einer Fibre Channel-Umgebung wird zum Bereitstellen einer sicheren und verschlüsselten Datenübertragung zwischen Knoten in einer Struktur (fabric) eine SA-(Security Association-, Sicherheitszuordnungs-) Verwaltungstransaktion zwischen einem SA_Initiator und einem SA_Responder unter Verwendung eines Protokolls zur Einrichtung von Sicherheit durchgeführt. Die Initiatoren (initiators) und Antwortenden (responders) können Anschlüsse in Adaptern in Einheiten in einem Fibre Channel-Netzwerk aufweisen. Für die Datenübertragung und den Datenempfang an einem Anschluss werden getrennte Sicherheitszuordnungen eingerichtet. Der Abschluss der Transaktion zur Einrichtung von SA führt zu einem Satz von Sicherheitszuordnungen und zugehörigem Schlüsselmaterial, das zum Verschlüsseln/Entschlüsseln der Datenübertragung zwischen dem Initiator und dem Antwortenden unter Einhaltung der eingerichteten Sicherheitszuordnung verwendet wird. Ein Beispiel für ein Protokoll zur Sicherheitszuordnung ist das Security Association Management-Protokoll in FC-SP-2. Das Protokoll besteht aus einem Nachrichtenpaar SA_Init und SA_Init Response, um eine übergeordnete Assoziation einzurichten, gefolgt von einem Nachrichtenpaar SA_Auth und SA_Auth Response, um die Authentifizierung der Berechtigten durchzuführen und die Sicherheitszuordnungen einzurichten, welche die zwischen den Entitäten übertragenen Daten schützen.
  • Eine Speichersteuereinheit kann den Zugriff auf den Speicher für eine oder mehrere rechnergestützte Host-Einheiten steuern, die über ein Fibre Channel-Netzwerk mit der Speichersteuereinheit verbunden sein können. Eine Speicherverwaltungsanwendung, die in der Speichersteuereinheit ausgeführt wird, kann eine Mehrzahl von mit der Speichersteuereinheit verbundenen Einheiten verwalten, wie zum Beispiel Plattenlaufwerke, Bandlaufwerke, Flash-Datenträger, Direktzugriffsspeichereinheiten (DASD, direct access storage devices) usw. Eine rechnergestützte Host-Einheit kann Eingabe/Ausgabe- (E/A-) Befehle an die Speichersteuereinheit senden, und die Speichersteuereinheit kann die E/A-Befehle ausführen, um Daten aus den Speichereinheiten zu lesen oder Daten in die Speichereinheiten zu schreiben. Die Datenübertragung zwischen den Hosts und der Speichersteuereinheit erfolgt über Fibre Channel-Anschlüsse, die sich auf Adaptern in den Hosts und der Speichersteuereinheit befinden.
  • Die US-Patentveröffentlichung US 2010 / 0 154 053 A1 erörtert einen Speichersicherheitsmechanismus, der eine kryptografische Aufteilung verwendet. Die US-Patentveröffentlichung US 2019 / 0 251 282 A1 erörtert einen Cybersicherheitsmechanismus für ein Übertragen von Daten zwischen Servern. Die US-Patentveröffentlichung US 2016 / 0 139 845 A1 erörtert eine Zugriffssteuerung auf Speicherebene für Datengruppierungsstrukturen. Die US-Patentveröffentlichung US 2016 / 0 378 691 A1 erörtert Mechanismen zum Schützen eines Speichers vor einem Angriff. Das US-Patent US 8 275 950 B2 erörtert eine Speichersteuereinheit für Fibre Channel-Verbindungen, welche die Eins-zu-Eins-Zuordnung von Anschlüssen der Host-Computer und der Speichersteuereinheit unter Verwendung einer Steuertabelle für Anmeldeanfragen verwalten kann, um alle unbefugten Zugriffsversuche von Host-Computern für jeden einzelnen Anschluss zu verhindern und so eine verbesserte Sicherheit aufrechtzuerhalten. Das US-Patent US 6 219 771 B1 erörtert eine Vorrichtung zur Datenspeicherung mit einem verbesserten Sicherheitsprozess und Partitionszuweisungsfunktionen. Die US-Patentveröffentlichung US 2004 / 0 107 342 A1 erörtert ein sicheres Netzwerk-Dateizugriffssteuersystem. Die europäische Patentanmeldung EP 1 276 034 A2 erörtert Sicherheit für logische Einheiten in einem Speicherteilsystem. Die US-Patentveröffentlichung US 2016 / 0 342 798 A1 erörtert ein System und ein Verfahren zur Verwaltung von geschützten Einheiten. Das US-Patent US 8 799 436 B2 erörtert ein System und ein Verfahren zum Prüfen und Verifizieren von Konfigurationselementen in einer Informationstechnologie- (IT-) Konfigurationsverwaltungsdatenbank.
  • Das US-Patent US 6 832 313 B1 beschreibt ein System mit einem Zentralcomputer und einem entfernten Computer, die über eine Verbindung Daten austauschen können, und das von unverschlüsseltem Arbeiten zu verschlüsseltem Arbeiten überführt wird, wenn die Computer für die verschlüsselte Datenübertragung erforderliche Langzeitschlüssel empfangen und installieren. Das US-Patent US 8 250 625 B2 beschreibt ein Verfahren zum Verringern der Ausfallzeit eines Datenübertragungssystems, wenn ein kryptografischer Betrieb eines kryptografischen Systems des Datenübertragungssystems aktiviert ist, wobei das kryptografische System eine erste kryptografische Einheit umfasst, die über ein Datenübertragungsnetzwerk des Datenübertragungssystems funktionsmäßig mit einer Mehrzahl von zweiten kryptografischen Einheiten verbunden ist.
  • Die Druckschrift US 2006 / 0 009 195 A1 betrifft ein Verfahren, mit dem ein Abonnent selbst durch ein einfaches und zuverlässiges Verfahren die unerlaubte Verwendung von Klonen oder Ähnlichem ermitteln und nachweisen kann. Ein Betrugsüberprüfungsmodus (Betrugserkennungsmodus, Betrugsverifizierungsmodus und Betrugsstoppmodus) wird im Verfahren auf den Abonnentendaten des Home Location Resister (HLR) im Nutzereinheit(UE) und im Kernnetz bereitgestellt und erkennt, verifiziert und hält die illegale Verwendung in der drahtlosen Datenübertragung in Abhängigkeit vom Modus an.
  • Die Druckschrift US 8 166 314 B1 betrifft ein Verfahren zur Steuerung des Zugriffs auf eine verschlüsselte Speichereinheit mit E/A-Anforderung, wenn der Verschlüsselungsschlüssel für die verschlüsselte Speichereinheit nicht verfügbar ist. Das Verfahren umfasst die folgenden, nicht geordneten Schritte: Bereitstellen eines E/A-Filtertreibers in betriebsfähiger Datenübertragung mit einer verschlüsselten Speichereinheit, so dass alle E/A-Anforderungen an die verschlüsselte Speichereinheit zuerst durch den E/A-Filtertreiber verarbeitet werden; Empfangen einer E/A-Anforderung an die verschlüsselte Speichereinheit durch den E/A-Filtertreiber; Ermitteln, für jede E/A-Anforderung, des Typs der E/A-Anforderung und, wenn die E/A-Anforderung ein Lesen, small computer standard interface (SCSI)-Lesen, Schreiben oder SCSI-Schreiben umfasst, Ermitteln eines Ortes auf der Speichereinheit, an den die E/A-Anforderung gerichtet ist; Ermitteln, in einem Prozessor, ob eine Zeitperiode zum Erhalten des Verschlüsselungsschlüssels noch läuft; und, auf Grundlage von mindestens einer der Typen der E/A-Anforderung, ob die Zeitperiode zum Erhalten des Verschlüsselungsschlüssels noch läuft, und, falls zutreffend, der Stelle auf der Einheit, an die die E/A-Anforderung gerichtet ist, Ermitteln, in einem Prozessor, ob die E/A-Anforderung an die verschlüsselte Speichereinheit erlaubt wird.
  • Die Druckschrift US 7 191 437 B1 betrifft ein System zur zuverlässigen Aktualisierung von Firmware für eine Speichereinheit, die mit einem Storage Area Network verbunden ist. Das System umfasst: einen Download-Firmware-Ablehnungscode, der geeignet ist, von der Speichereinheit an eine zugreifende Systemeinheit während eines Firmware-Downloads zu der Speichereinheit ausgegeben zu werden; und einen Mechanismus zum Ablehnen des Herunterladens von Firmware in der Systemeinheit, der den Code zum Ablehnen von Firmware erkennt, um das Initiieren einer Rücksetzanforderung durch die Systemeinheit zu verhindern.
  • Die Druckschrift US 10 389 550 B1 betrifft einen Host-Bus-Adapter einer Einheit. Der Host-Bus-Adapter ist mit einem Fibre-Channel-Treiber verknüpft und mit einer Fibre-Channel-Switch-Fabric verbunden. Der Host-Bus-Adapter empfängt von der Switch-Fabric einen eingehenden Rahmen mit einem Header, der eine Kennung für die Quelle und eine Kennung für eine virtuelle Maschine (VM) beinhaltet, speichert eine Zuordnung zwischen der Kennung für die Quelle und der VM-Kennung und leitet den eingehenden Rahmen an den Fibre-Channel-Treiber weiter. Der Host-Bus-Adapter empfängt vom Fibre-Channel-Treiber einen ausgehenden Rahmen mit einem Header, der eine Ziel-Kennung beinhaltet, und ermittelt auf Grundlage der Zuordnung, ob zumindest zwischen der Quell-Kennung des eingehenden Rahmens und der Ziel-Kennung des ausgehenden Rahmens eine Übereinstimmung besteht. Wenn es eine Übereinstimmung gibt, kennzeichnet der Host-Bus-Adapter den Header des ausgehenden Rahmens mit dem VM-Tag und überträgt den gekennzeichneten ausgehenden Rahmen an die Switch-Fabric.
  • KURZDARSTELLUNG
  • Der Erfindung liegt die Aufgabe zugrunde ein Verfahren, ein System, ein Computerprogrammprodukt sowie ein computerlesbares Medium zur sicheren gleichzeitigen Aktivierung von Verschlüsselung auf einem Betriebspfad an einem Speicheranschluss. Es werden ein Verfahren, ein System, ein Computerprogrammprodukt und ein computerlesbares Medium bereitgestellt, wobei an einem Speicheranschluss Sicherheit aktiviert ist. Der Speicheranschluss führt Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss durch, wenn festgestellt wird, dass ein Prüfmodusindikator aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann. Gleichzeitig mit dem Durchführen von E/A in Klartext auf dem Pfad aktiviert der Speicheranschluss eine Verschlüsselung von Daten für E/A auf dem Pfad. Infolgedessen werden in Ausführungsformen, in denen ein Prüfmodusindikator aktiviert ist, Mechanismen für den Übergang von Klartextdaten zu verschlüsselten Daten bereitgestellt.
  • In bestimmten Ausführungsformen weist das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Speicheranschluss und dem Host-Anschluss auf. Infolgedessen werden Mechanismen bereitgestellt, um zu ermöglichen, dass die Ausführungsformen in Verbindung mit Fibre Channel-Sicherheitszuordnungen umgesetzt werden.
  • In weiteren Ausführungsformen ist der Speicheranschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator für Klartext zulässig programmiert, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt. Infolgedessen sind verschlüsselte Daten ab bestimmten Zeitpunkten zulässig.
  • In bestimmten Ausführungsformen ist der Speicheranschluss als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert. Infolgedessen wird ein neuer Indikator verwendet, um gemischte Klartext- und verschlüsselte Daten zuzulassen.
  • In weiteren Ausführungsformen wird als Reaktion auf ein Feststellen durch den Speicheranschluss, dass der gesamte Klartext-Empfang abgeschlossen ist, weil ein Zeitgeber abgelaufen ist, nachdem eine Sicherheitszuordnung für die Übermittlung aktiviert worden ist, der Speicheranschluss so programmiert, dass er keine Klartextdaten mehr verarbeitet. Infolgedessen findet ein Übergang von gemischten Klartext- und verschlüsselten Daten zu ausschließlich verschlüsselten Daten statt.
  • In noch weiteren Ausführungsformen läuft der Zeitgeber nach einer Auszeit ab, die ausreicht, um Klartextdaten zu löschen, die sich zu dem Zeitpunkt, zu dem die Übermittlung der verschlüsselten Daten auf dem Pfad begann, in einer Warteschlange für die Übermittlung befanden. Infolgedessen wird ausreichend Zeit für die Fertigstellung der gesamten in einer Warteschlange stehenden Klartext-E/A gewährt.
  • In weiteren Ausführungsformen werden keine E/A-Fehler erzeugt, wenn sowohl Klartextdaten als auch verschlüsselte Daten während eines vorher festgelegten Zeitraums, der durch einen Zeitgeber angegeben wird, auf dem Pfad ausgetauscht werden. Infolgedessen ist der Prüfmodus in Fibre Channel integriert, ohne E/A-Fehler zu verursachen.
  • Figurenliste
  • Es wird nun auf die Zeichnungen verwiesen, in denen gleiche Bezugszahlen durchgehend für entsprechende Teile stehen:
    • 1 veranschaulicht ein Blockschaltbild einer heterogenen Datenverarbeitungsumgebung gemäß bestimmten Ausführungsformen, die eine Mehrzahl von Hosts aufweist, die über eine Fibre Channel-Struktur mit einer Mehrzahl von Speichersteuereinheiten und/oder Speichereinheiten Daten austauschen;
    • 2 veranschaulicht ein Blockschaltbild eines Systems zum Aufrechterhalten des Zugriffs für einen Host zur Aktivierung von Sicherheit in einer heterogenen Datenverarbeitungsumgebung gemäß bestimmten Ausführungsformen;
    • 3 veranschaulicht ein Blockschaubild, das ein Sicherheitsbit für eine Anmeldung in Fibre Channel und eine Verbesserung von Fibre Channel durch einen Prüfmodusindikator gemäß bestimmten Ausführungsformen zeigt;
    • 4 veranschaulicht ein Blockschaubild, das eine Anmeldung und eine Antwort in Fibre Channel gemäß bestimmten Ausführungsformen zeigt;
    • 5 veranschaulicht ein Blockschaubild, das eine Verbesserung von Fibre Channel zeigt, um Angaben für „Sicherheit durchgesetzt“ und „Sicherheit aktiviert“ durch Aktivierung oder Nichtaktivierung eines Prüfmodusindikators gemäß bestimmten Ausführungsformen bereitzustellen;
    • 6 veranschaulicht einen Ablaufplan, der Arbeitsschritte eines Speicheranschlusses mit durchgesetzter Sicherheit gemäß bestimmten Ausführungsformen zeigt;
    • 7 veranschaulicht einen Ablaufplan, der Arbeitsschritte eines Speicheranschlusses mit aktivierter Sicherheit gemäß bestimmten Ausführungsformen zeigt;
    • 8 veranschaulicht ein Blockschaubild, das Bedingungen zeigt, die ein erfolgreiches Abschließen einer Authentifizierung und einer Verwaltung der Sicherheitszuordnung gemäß bestimmten Ausführungsformen verhindern;
    • 9 veranschaulicht ein Blockschaubild, das eine Mehrzahl von Host-Anschlüssen gemäß bestimmten Ausführungsformen zeigt, die sich an einem einzelnen Speicheranschluss anmelden;
    • 10 veranschaulicht einen Ablaufplan, der Arbeitsschritte in einer Speichereinheit gemäß bestimmten Ausführungsformen zeigt, um gemäß bestimmten Ausführungsformen zu ermitteln, ob ein Speicheranschluss in einen Status „Sicherheit durchgesetzt“ geändert werden soll;
    • 11 veranschaulicht einen Ablaufplan, der Arbeitsschritte zum Aufrechterhalten des Zugriffs gemäß bestimmten Ausführungsformen für eine Aktivierung von Sicherheit auf einem Host-System gemäß bestimmten Ausführungsformen zeigt;
    • 12 veranschaulicht einen Ablaufplan, der zusätzliche Arbeitsschritte zum Aufrechterhalten des Zugriffs zur Aktivierung von Sicherheit auf einem Host-System gemäß bestimmten Ausführungsformen zeigt;
    • 13 veranschaulicht einen Ablaufplan, der Arbeitsschritte zum Aufrechterhalten des Zugriffs zur Aktivierung von Sicherheit in einer Speichereinheit gemäß bestimmten Ausführungsformen zeigt;
    • 14 veranschaulicht einen Ablaufplan, der zusätzliche Arbeitsschritte zum Aufrechterhalten des Zugriffs zur Aktivierung von Sicherheit in einer Speichereinheit gemäß bestimmten Ausführungsformen zeigt;
    • 15 veranschaulicht ein Blockschaubild, das einen Übergang von Klartext-E/A zu verschlüsselter E/A zeigt, nachdem die Authentifizierung und die Sicherheitszuordnung in Ausführungsformen, in denen der Prüfmodus aktiviert wurde, gemäß bestimmten Ausführungsformen erfolgreich abgeschlossen wurden;
    • 16 veranschaulicht ein Blockschaubild, das Datenstrukturen zum Zulassen eines Übergangszeitraums zur Fortführung von Klartext-E/A gemäß bestimmten Ausführungsformen zeigt, wenn verschlüsselte E/A über einen Pfad beginnt;
    • 17 veranschaulicht ein Blockschaubild, das den Beginn von Klartext-E/A über einen Pfad gemäß bestimmten Ausführungsformen zeigt;
    • 18 veranschaulicht ein Blockschaubild, das den Fluss von „Klartext-E/A“ über „Gemischte Klartext-E/A und verschlüsselte E/A“ bis hin zu „verschlüsselter E/A“ über einen Pfad gemäß bestimmten Ausführungsformen zeigt;
    • 19 veranschaulicht einen Ablaufplan, der Arbeitsschritte zum gleichzeitigen Aktivieren von Verschlüsselung auf einem Betriebspfad an einem Host-Anschluss gemäß bestimmten Ausführungsformen zeigt;
    • 20 veranschaulicht einen Ablaufplan, der Arbeitsschritte zum gleichzeitigen Aktivieren von Verschlüsselung auf einem Betriebspfad an einem Speicheranschluss gemäß bestimmten Ausführungsformen zeigt;
    • 21 veranschaulicht ein Blockschaubild einer Cloud-Computing-Umgebung gemäß bestimmten Ausführungsformen;
    • 22 veranschaulicht ein Blockschaubild mit weiteren Einzelheiten der Cloud-Computing-Umgebung aus 21 gemäß bestimmten Ausführungsformen; und
    • 23 veranschaulicht ein Blockschaltbild eines rechnergestützten Systems, das bestimmte Elemente zeigt, die gemäß bestimmten Ausführungsformen in den in 1 bis 22 beschriebenen Hosts, Speichersteuereinheiten und Speichereinheiten enthalten sein können.
  • AUSFÜHRLICHE BESCHREIBUNG
  • In der folgenden Beschreibung wird auf die beigefügten Zeichnungen Bezug genommen, die einen Teil hiervon bilden und mehrere Ausführungsformen veranschaulichen. Es sei darauf hingewiesen, dass auch andere Ausführungsformen verwendet werden können und strukturelle und operative Änderungen vorgenommen werden können.
  • Der Standard zur Verschlüsselung von Fibre Channel-Verbindungen (FC-SP-2) umfasst Protokolle für die gegenseitige Authentifizierung der beiden Endpunkte (d.h. Anschlüsse) sowie Protokolle für die Aushandlung von Verschlüsselungsschlüsseln, die in Datenübertragungssitzungen zwischen den beiden Endpunkten verwendet werden. Der Standard stellt eine Unterstützung einer Vielfalt von Mechanismen zum Authentifizieren der beteiligten Parteien sowie Mechanismen bereit, mit denen Schlüsselmaterial bereitgestellt oder entwickelt wird.
  • In dem FC-SP-2-Standard wird die Unterstützung der Authentifizierung innerhalb eines Endpunkts durch die Einstellung des Sicherheitsbits der Common Service-Parameter angezeigt, die während des Anmeldevorgangs an die Gegenstelle übergeben werden. Wenn das Sicherheitsbit in der Anmeldeanforderung auf den Wert eins gesetzt ist, gibt dies an, dass der sendende Anschluss in der Lage ist, eine Authentifizierung durchzuführen. Wenn der antwortende Anschluss die Anmeldeanforderung annimmt und in der Antwort auch das Sicherheitsbit auf eins setzt, gibt dies an, dass der antwortende Anschluss von dem Absender der Anmeldung verlangt, nun eine Authentifizierung durchzuführen, bevor ein weiterer Zugriff gewährt wird.
  • Der FC-SP-2-Standard legt das Verhalten des antwortenden Endpunkts in Bezug auf die Annahme oder Ablehnung der Anmeldeanforderung und die Einstellung des Sicherheitsbits auf der Grundlage der an diesem Endpunkt zum Zeitpunkt des Empfangens der Anforderung geltenden Sicherheitsrichtlinie fest. Der Standard enthält keine Bestimmungen darüber, wie diese Richtlinie am antwortenden Endpunkt instanziiert wird. In einem Unternehmensrechenzentrum muss darauf geachtet werden, dass der Zugriff auf die Daten geschützt sowie Sicherheit für die Daten bereitgestellt wird. Beim Aktivieren von Sicherheit in einer heterogenen Umgebung, die einige Systeme und Speicheranschlüsse enthält, die keine Sicherheit unterstützen (z.B. ältere Anschlüsse), stellen bestimmte Ausführungsformen Mechanismen bereit, um sicherzustellen, dass die Verbindungsfähigkeit nicht verloren geht, im Gegensatz zu derzeitigen Standards, die derartige Mechanismen nicht zulassen.
  • Bestimmte Ausführungsformen stellen einen Mechanismus bereit, um Sicherheit auf einem Host in einem „Prüfmodus“ zu aktivieren, wobei der Zugriff auf Daten durch einen Host nicht verloren geht, wenn die Sicherheit in einer Speichereinheit aktiviert ist. Über eine Einstellung eines Prüfmodusindikators zum Zeitpunkt der Anmeldung wird eine Angabe bereitgestellt, die es einem Host-Anschluss ermöglicht, nach dem Aktivieren von Sicherheit weiterhin auf einen Speicheranschluss zuzugreifen. Sobald überprüft wurde, dass die Authentifizierung und Aktivierung von Sicherheitsmechanismen erfolgreich abgeschlossen wurden, kann die Sicherheitsaktivierung in eine Richtlinie zur Sicherheitsdurchsetzung umgewandelt werden. Sicherheitsaktivierung bedeutet, dass E/A auch dann durchgeführt werden kann, wenn die Authentifizierung und Aktivierung von Sicherheitsmechanismen nicht erfolgreich abgeschlossen wurden, während Sicherheitsdurchsetzung bedeutet, dass E/A nicht durchgeführt werden kann, wenn die Authentifizierung und Aktivierung von Sicherheitsmechanismen nicht erfolgreich abgeschlossen wurden. Im Prüfmodus kann ein Host weiterhin auf die Speichereinheit zugreifen und Werkzeuge zur Überprüfung des Sicherheitszustands von Verbindungen bereitstellen.
  • Bestimmte Ausführungsformen stellen einen Mechanismus bereit, bei dem ein Host feststellt, dass die Authentifizierung und/oder Sicherheitszuordnung mit einer Speichereinheit nicht erfolgreich abgeschlossen werden kann, und dann den Prüfmodusindikator verwendet, um zu prüfen, ob an dem Speicheranschluss keine Sicherheit durchgesetzt wird. Wenn der Prüfmodusindikator gesetzt ist, sendet der Host-Prozessor weiterhin E/A-Arbeitsschritte an die Speichereinheit entlang des ausgewählten Anschlusses. Ist der Prüfmodusindikator nicht gesetzt, stellt der Host-Prozessor die E/A-Arbeitsschritte an der Speichereinheit ein und benachrichtigt die Host-Anwendung oder das Betriebssystem, um einen alternativen Pfad zum Abschließen der E/A-Vorgänge zu finden.
  • Zusätzlich können sich bei Fibre Channel viele Host-Anschlüsse (wie in FC-FS-5 beschrieben) an einem einzelnen Speicheranschluss anmelden. Einige dieser Host-Anschlüsse können Sicherheit unterstützen, andere nicht. Wenn eine Anschlusseinstellung auf „Sicherheit durchgesetzt“ gesetzt ist, können die Host-Anschlüsse, die keine Sicherheit unterstützen, den Zugriff auf den Speicheranschluss verlieren, da diese Host-Anschlüsse sich nicht anmelden dürfen.
  • In bestimmten Ausführungsformen werden von der Speichereinheit Informationen bereitgestellt, um die Anzahl von aktuellen Anmeldungen an jedem ihrer Anschlüsse anzugeben. Für diese Anzahl von Anmeldungen stellt die Speichereinheit die Anzahl der sicherheitsfähigen Anmeldungen sowie die Anzahl von Anmeldungen bereit, die erfolgreich authentifiziert wurden und Sicherheit aktiviert haben. Anhand dieser Informationen lässt sich feststellen, ob der Zugriff auf einen Anschluss verloren gehen könnte, wenn die Einstellung für den Speicheranschluss auf „Sicherheit durchgesetzt“ geändert wird. Sobald alle Anmeldungen als sicher eingestuft sind, kann die Einstellung ohne Verlust des Zugriffs geändert werden, da alle Host-Anschlüsse Sicherheit erfolgreich aktivieren können. In bestimmten Ausführungsformen prüft die Speichereinheit, wenn die Einstellung auf ein Durchsetzen von Sicherheit geändert werden soll, Anmeldezähler, um festzustellen, ob ein Verlust des Zugriffs auftreten könnte (d.h., es gibt Anmeldungen, die nicht erfolgreich authentifiziert wurden), und verhindert, dass die Einstellung auf ein Durchsetzen von Sicherheit geändert wird.
  • Bestimmte Ausführungsformen stellen einen Speicheranschluss bereit, der eine Einstellung zum Aktivieren von Sicherheit ohne Durchsetzung unterstützt und prüffähige Statistiken (z.B. Anzahl von Anmeldungen, Anzahl der sicherheitsfähigen Anmeldungen und Anzahl von Anmeldungen mit aktivierter Sicherheit) zum Ermitteln von Auswirkungen der Sicherheitseinstellung auf die Durchsetzung bereitstellt. In einer Anmeldeantwort an den Host-Anschluss wird ein Prüfmodusindikator gesetzt, der angibt, dass selbst dann E/A an diesen Speicheranschluss gesendet werden kann, wenn die Authentifizierung nicht erfolgreich abgeschlossen werden kann. Die Einstellung, ob Sicherheit aktiviert oder durchgesetzt werden soll, kann für eine Speicheranordnung oder für einen einzelnen Speicheranschluss durchgeführt werden.
  • In bestimmten Ausführungsformen wird eine Einstellung zur Sicherheitsdurchsetzung bereitgestellt, die eine automatische Überprüfung der Anmeldeindikatoren vorsieht, um zu verhindern, dass die Einstellung geändert wird, wenn ein Verlust des Zugriffs auftreten könnte. Es wird auch eine Option bereitgestellt, mit der die Einstellung zur Sicherheitsdurchsetzung ohne Berücksichtigung von Anmeldeindikatoren durchgesetzt werden kann.
  • Infolgedessen werden Verbesserungen an Einheiten vorgenommen, um die Verbindungsfähigkeit für ein Durchführen von E/A aufrechtzuerhalten, was eine auf Fibre Channel beruhende verbindungsfähige Umgebung verbessert.
  • Die vorstehenden Ausführungsformen aktivieren Sicherheit auf einem Host in einem Prüfmodus, wobei der Zugriff auf Daten durch einen Host nicht verloren geht, wenn die Sicherheit an einer Speichereinheit aktiviert ist. Zum Zeitpunkt der Anmeldung wird eine Angabe bereitgestellt, die es einem Host-Anschluss ermöglicht, nach dem Aktivieren von Sicherheit weiterhin auf einen Speicheranschluss zuzugreifen. Der Zugriff ohne eine Sicherheitszuordnung, die eine Verschlüsselung aktiviert, bedeutet, dass der Host und die Speicheranschlüsse Daten in Klartext austauschen können, wobei das Austauschen von Daten in Klartext bedeutet, dass die ausgetauschten Daten nicht verschlüsselt sind, und die in Klartext ausgetauschten Daten als „Klartextdaten“ bezeichnet werden.
  • Wenn eine Sicherheitszuordnung zum Aktivieren von Verschlüsselung erfolgreich erstellt wurde, müssen die Host- und Speicheranschlüsse in der Lage sein, vom Austauschen von Klartextdaten zum Austauschen von „verschlüsselten“ Daten überzugehen, wobei sich verschlüsselte Daten auf Daten beziehen, die verschlüsselt sind. Es gibt eine Übergangszeit, in der sowohl Klartext- als auch verschlüsselte Daten auf der Verbindung zwischen dem Host-Anschluss und dem Speicheranschluss fließen, und bestimmte Ausführungsformen stellen sicher, dass eine derartige Bedingung nicht dazu führt, dass Fehler durch Regeln zur Durchsetzung der Sicherheit erkannt werden, die von der Sicherheitszuordnung eingerichtet werden.
  • Bestimmte Ausführungsformen stellen Mechanismen bereit, mit denen ein Host-System vom Austauschen von Klartext zum Austauschen von verschlüsselten Daten übergehen kann. Derartige Ausführungsformen stellen auch Mechanismen bereit, mit denen ein Speicheranschluss vom Austauschen von Klartext zum Austauschen von verschlüsselten Daten übergehen kann. Infolgedessen werden weitere Verbesserungen an Einheiten vorgenommen, um die Verbindungsfähigkeit für ein Durchführen von E/A aufrechtzuerhalten, was eine auf Fibre Channel beruhende verbindungsfähige Umgebung verbessert.
  • Beispielhafte Ausführungsformen, die einen Prüfmodus umsetzen
  • 1 veranschaulicht ein Blockschaltbild 100 einer heterogenen Datenverarbeitungsumgebung gemäß bestimmten Ausführungsformen, die eine Mehrzahl von Hosts 102, 104 aufweist, die über eine Fibre Channel-Struktur 106 mit einer Mehrzahl von Speichersteuereinheiten und/oder Speichereinheiten 108, 110 Daten austauschen. Sowohl Speichersteuereinheiten als auch Speichereinheiten sind mittels der Bezugszahlen 108, 110 gezeigt, und die Hosts 102, 104 können mit Speichersteuereinheiten Daten austauschen, welche Speichereinheiten steuern, oder sie können mit den Speichereinheiten ohne Beteiligung einer Speichersteuereinheit Daten austauschen. Eine Speichersteuereinheit kann auch als eine fortgeschrittene Art von Speichereinheit betrachtet werden, da sie den Zugriff auf eine oder mehrere Speichereinheiten für einen oder mehrere Hosts steuert und ermöglicht.
  • Die Hosts 102, 104 und die Speichersteuereinheiten 108, 110 können jede beliebige rechnergestützte Einheit aufweisen, einschließlich der nach dem Stand der Technik bekannten wie zum Beispiel einen Personal Computer, eine Workstation, einen Server, einen Mainframe-Computer, einen Handheld-Computer, einen Palm-Top-Computer, eine Telefonieeinheit, ein Netzwerkgerät, einen Blade-Computer, eine Verarbeitungseinheit, eine Steuereinheit usw. Die Speichereinheiten können nach dem Stand der Technik bekannte Speichereinheiten umfassen, wie zum Beispiel Festplattenlaufwerke, Bandlaufwerke, Halbleiter-Speicherplatten usw.
  • Bei den Hosts 102, 104 und den Speichereinheiten 108, 110 kann es sich um Elemente in einem beliebigen geeigneten Netzwerk handeln, wie zum Beispiel einem Speicherbereichsnetz, einem Weitverkehrsnetz, dem Internet oder einem Intranet. In bestimmten Ausführungsformen kann es sich bei den Hosts 102, 104 und den Speichereinheiten 108, 110 um Elemente in einer Cloud-Computing-Umgebung handeln. Die Verbindungsfähigkeit zwischen den Hosts 102, 104 und den Speichereinheiten 108, 110 in dem Netzwerk und/oder der Cloud-Computing-Umgebung kann über die Fibre Channel-Struktur 106 erfolgen.
  • Ein Host kann einen oder mehrere Host-Anschlüsse umfassen. Zum Beispiel umfasst der Host 102 eine Mehrzahl von Host-Anschlüssen 112, und der Host 104 umfasst eine Mehrzahl von Host-Anschlüssen 114. Eine Speichereinheit kann eine Mehrzahl von Speicheranschlüssen umfassen. Zum Beispiel umfasst die Speichereinheit 108 eine Mehrzahl von Speicheranschlüssen 116, und die Speichereinheit 110 umfasst eine Mehrzahl von Speicheranschlüssen 118. Die Host-Anschlüsse 112, 114 und die Speicheranschlüsse 116, 118 können über die Fibre Channel-Struktur 106 Daten austauschen.
  • In bestimmten Ausführungsformen unterstützen nicht alle Hosts Sicherheit für Host-Anschlüsse. Zum Beispiel unterstützen bestimmte ältere Hosts möglicherweise keine Sicherheit für Host-Anschlüsse in Fibre Channel, oder bestimmte ältere Adapter in Hosts unterstützen möglicherweise keine Sicherheit für Host-Anschlüsse in Fibre Channel. Zum Beispiel wird gezeigt, dass der Host 102 Sicherheit für einen Host-Anschluss unterstützt, und es wird gezeigt, dass der Host 104 keine Sicherheit für einen Host-Anschluss unterstützt.
  • In bestimmten Ausführungsformen können bestimmte Speichereinheiten es ermöglichen, einen oder mehrere Speicheranschlüsse so zu konfigurieren, dass sie Sicherheit mit Durchsetzung aktivieren (d.h., E/A kann nur dann von einem Host-Anschluss zu einem Speicheranschluss erfolgen, wenn bestätigt wurde, dass zwischen dem Host-Anschluss und dem Speicheranschluss eine sichere Verbindungsfähigkeit hergestellt wurde). In bestimmten Ausführungsformen können bestimmte Speichereinheiten es ermöglichen, einen oder mehrere Speicheranschlüsse so zu konfigurieren, dass sie Sicherheit ohne Durchsetzung aktivieren (d.h., E/A kann selbst dann von einem Host-Anschluss zu einem Speicheranschluss erfolgen, wenn nicht bestätigt wurde, dass zwischen dem Host-Anschluss und dem Speicheranschluss eine sichere Verbindungsfähigkeit hergestellt wurde). Zum Beispiel hat die Speichereinheit 108 möglicherweise Sicherheit mit Durchsetzung für mindestens einen der Speicheranschlüsse 116 aktiviert (für andere Speicheranschlüsse in der Speichereinheit 108 ist möglicherweise Sicherheit ohne Durchsetzung aktiviert). In 1 hat die Speichereinheit 110 möglicherweise Sicherheit ohne Durchsetzung für mindestens einen der Speicheranschlüsse 118 aktiviert (für andere Speicheranschlüsse in der Speichereinheit 110 ist möglicherweise Sicherheit mit Durchsetzung aktiviert).
  • Daher zeigt 1 bestimmte Ausführungsformen, die es ermöglichen, E/A-Arbeitsschritte von einem Host-Anschluss selbst dann an einen Speicheranschluss zu senden, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen einem Host-Anschluss und einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann.
  • 2 veranschaulicht ein Blockschaltbild 200 eines Systems 202 zum Aufrechterhalten des Zugriffs für einen Host zur Aktivierung von Sicherheit in einer heterogenen Datenverarbeitungsumgebung gemäß bestimmten Ausführungsformen.
  • Der Host 202 ist über eine Fibre Channel-Struktur 208 mit einer Mehrzahl von Speichereinheiten 204, 206 für den Datenaustausch verbunden. Die Speichereinheit 204 hat Sicherheit mit Durchsetzung für den Speicheranschluss 210 der Speichereinheit 204 aktiviert, und die Speichereinheit 206 hat Sicherheit ohne Durchsetzung für den Speicheranschluss 212 der Speichereinheit 206 aktiviert. In bestimmten Ausführungsformen kann ein Speicheranschluss vom Aktivieren von Sicherheit ohne Durchsetzung zum Aktivieren von Sicherheit mit Durchsetzung und umgekehrt geändert werden.
  • Der Host 202 umfasst einen Host-Anschluss 214, wobei der Host-Anschluss 214 mit den Speicheranschlüssen 210, 212 Daten austauscht. In den in 2 gezeigten Ausführungsformen ist der Host-Anschluss 214 selbst dann in der Lage, E/A an den Speicheranschluss 212 zu übermitteln, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Host-Anschluss 214 und dem Speicheranschluss 212 nicht erfolgreich abgeschlossen werden kann, weil der Speicheranschluss 212 Sicherheit ohne Durchsetzung aktiviert hat. Allerdings ist der Host-Anschluss 214 nicht in der Lage, E/A an den Speicheranschluss 210 zu übermitteln, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Host-Anschluss 214 und dem Speicheranschluss 210 nicht erfolgreich abgeschlossen werden kann, weil der Speicheranschluss 210 Sicherheit mit Durchsetzung aktiviert hat.
  • Falls der Host-Anschluss 214 nicht in der Lage ist, einen E/A-Vorgang an einen Speicheranschluss zu übermitteln, versucht das Betriebssystem 216 des Hosts 202, den E/A-Vorgang über einen anderen Mechanismus zu übermitteln.
  • 3 veranschaulicht ein Blockschaubild 300, das ein Sicherheitsbit 302 für eine Anmeldung in aktuellen Fibre Channel-Standards und eine Verbesserung von Fibre Channel durch einen Prüfmodusindikator 304 gemäß bestimmten Ausführungsformen zeigt. Der Prüfmodusindikator 304 kann aktiviert (Bezugszahl 306) oder nicht aktiviert (Bezugszahl 308) sein.
  • Es ist zu beachten, dass der Prüfmodusindikator 304 in bestehenden Fibre Channel-Standards nicht zu finden ist. Die Aktivierung des Prüfmodusindikators 304 ermöglicht, dass die Aktivierung von Sicherheit ohne Durchsetzung in Zusammenarbeit mit der Konfiguration des Sicherheitsbits 302 funktioniert.
  • In bestimmten Ausführungsformen wird der Prüfmodusindikator 304 über eine Angabe in dem Hilfsparameter-Datenwort 0, Bit 23, in Programmen aktiviert, die Fibre Channel Link Services (FC-LS-4) umsetzen. Andere Mechanismen zum Umsetzen des Prüfmodusindikators 304 können in anderen Ausführungsformen bereitgestellt werden. Der Prüfmodusindikator 304 und das Sicherheitsbit 302 können Teil einer oder mehrerer Datenstrukturen sein, die zum Durchführen von Arbeitsschritten verwendet werden.
  • 4 veranschaulicht ein Blockschaubild 400, das eine Anmeldung und eine Antwort in Fibre Channel gemäß bestimmten Ausführungsformen zeigt. Ein Host-Anschluss 402 übermittelt eine Anmeldeanforderung 404 an einen Speicheranschluss 406. Der Host-Anschluss 402 wird auch als „sendender Anschluss“ bezeichnet, und der Speicheranschluss 406 wird als „empfangender Anschluss“ bezeichnet.
  • In der Anmeldeanforderung 404 von dem Host-Anschluss 402 wird das Sicherheitsbit 302 auf eins gesetzt, um anzugeben, dass der sendende Anschluss (d.h. der Host-Anschluss 402) in der Lage ist, eine Authentifizierung durchzuführen.
  • Beim Empfangen der Anmeldeanforderung 404 sendet der Speicheranschluss 406 eine Antwort 408 an den Host-Anschluss 402. Die Antwort 408 von dem Speicheranschluss 406 kann das Sicherheitsbit 302 auf eins setzen, um anzugeben, dass der empfangende Anschluss (d.h. der Speicheranschluss 406) von dem sendenden Anschluss (d.h. dem Host-Anschluss 402) verlangt, dass er nun eine Authentifizierung durchführt, bevor ein weiterer Zugriff gewährt wird.
  • In bestimmten Ausführungsformen wird selbst dann, wenn das Sicherheitsbit 302 in der Antwort auf eins gesetzt ist, die Anforderung zum Abschließen der Authentifizierung vor einem Gewähren eines weiteren Zugriffs außer Kraft gesetzt, wenn der Prüfmodusindikator 304 aktiviert (d.h. gesetzt) ist, um anzugeben, dass Sicherheit ohne Durchsetzung aktiviert ist.
  • 5 veranschaulicht ein Blockschaubild 500, das eine Verbesserung von Fibre Channel zeigt, um Angaben für „Sicherheit durchgesetzt“ und „Sicherheit aktiviert“ durch Aktivierung oder Nichtaktivierung eines Prüfmodusindikators 304 gemäß bestimmten Ausführungsformen bereitzustellen.
  • Angaben werden von einem empfangenden Anschluss (z.B. einem Speicheranschluss in einer Speichereinheit) in der Antwort auf eine Anmeldeanforderung von einem Host-Anschluss bereitgestellt (wie durch die Bezugszahl 502 gezeigt ist). Die Angaben können über eine Konfiguration des Prüfmodusindikators 304 bereitgestellt werden. Die Konfiguration mit aktiviertem Prüfmodusindikator 304 kann dazu führen, dass ein Zustand eines Speicheranschlusses „Sicherheit aktiviert“ 504 lautet, was bedeutet, dass Sicherheit ohne Durchsetzung aktiviert ist. Wird die Konfiguration des Prüfmodusindikators 304 nicht aktiviert, kann dies dazu führen, dass ein Zustand eines Speicheranschlusses „Sicherheit durchgesetzt“ 506 lautet, was bedeutet, dass Sicherheit mit Durchsetzung aktiviert ist.
  • 6 veranschaulicht einen Ablaufplan 600, der Arbeitsschritte eines Speicheranschlusses mit durchgesetzter Sicherheit gemäß bestimmten Ausführungsformen zeigt. Die Steuerung geht weiter zu Block 604, in dem eine Authentifizierung und eine Verwaltung der Sicherheitszuordnung zwischen einem Host-Anschluss und dem Speicheranschluss eingeleitet werden. Die Steuerung geht weiter zu Block 606, in dem festgestellt wird, ob die Authentifizierung und die Verwaltung der Sicherheitszuordnung zwischen dem Host-Anschluss und dem Speicheranschluss erfolgreich abgeschlossen wurden. Ist dies der Fall („Ja“-Verzweigung 608), geht die Steuerung zu Block 610 über, in dem dem Host-Anschluss gestattet wird, mit dem Durchführen von E/A über den Speicheranschluss zu beginnen (in Block 610). Ist dies nicht der Fall („Nein“-Verzweigung 612), geht die Steuerung zu Block 614 über, in dem der Host-Anschluss am Durchführen von E/A über den Speicheranschluss gehindert wird.
  • 7 veranschaulicht einen Ablaufplan 700, der Arbeitsschritte eines Speicheranschlusses mit aktivierter Sicherheit gemäß bestimmten Ausführungsformen zeigt.
  • Die Steuerung beginnt in Block 702, in dem Sicherheit für einen Speicheranschluss aktiviert ist. Die Steuerung geht weiter zu Block 704, in dem eine Authentifizierung und eine Verwaltung der Sicherheitszuordnung zwischen einem Host-Anschluss und dem Speicheranschluss eingeleitet werden. Dem Host-Anschluss wird gestattet, E/A über den Speicheranschluss durchzuführen (Block 706), unabhängig davon, ob der Arbeitsschritt der Authentifizierung und der Verwaltung der Sicherheitszuordnung erfolgreich oder nicht erfolgreich abgeschlossen wird (in Block 708). Der Zeitpunkt, ab dem die E/A erlaubt ist, kann in verschiedenen Ausführungsformen unterschiedlich sein.
  • 8 veranschaulicht ein Blockschaubild 800, das Bedingungen zeigt, die ein erfolgreiches Abschließen einer Authentifizierung und einer Verwaltung der Sicherheitszuordnung gemäß bestimmten Ausführungsformen verhindern.
  • Eine erste Bedingung 802 ist eine unvollständige Konfiguration einer Sicherheitsrichtlinie, die verhindern kann, dass die Authentifizierung und die Verwaltung der Sicherheitszuordnung erfolgreich abgeschlossen werden. Eine zweite Bedingung 804 weist unzugängliche Schlüsselserver auf, die Anmeldeinformationen zum Zugreifen auf die Speichereinheit bereitstellen, die verhindern können, dass die Authentifizierung und die Verwaltung der Sicherheitszuordnung erfolgreich abgeschlossen werden. Eine dritte Bedingung 806 ist ein Fehler beim Austauschen von Daten bei der Authentifizierung und Verwaltung der Sicherheitszuordnung, der verhindern kann, dass die Authentifizierung und die Verwaltung der Sicherheitszuordnung erfolgreich abgeschlossen werden. All diese Bedingungen können dazu führen, dass die Authentifizierung und die Verwaltung der Sicherheitszuordnung in den in 6 und 7 gezeigten Arbeitsschritten nicht erfolgreich abgeschlossen werden.
  • 9 veranschaulicht ein Blockschaubild 900, das eine Mehrzahl von Host-Anschlüssen 902, 904, 906 gemäß bestimmten Ausführungsformen zeigt, die sich an einem einzelnen Speicheranschluss 908 anmelden. Der einzelne Speicheranschluss 908 kann in einer Speichereinheit oder einer Speichersteuereinheit 910 enthalten sein, wobei die Speichereinheit oder die Speichersteuereinheit 910 über weitere Speicheranschlüsse verfügen kann.
  • In 9 unterstützen die Host-Anschlüsse 902 und 906 Sicherheit, wohingegen der Host-Anschluss 904 keine Sicherheit unterstützt, da er in einem älteren Adapter oder einem älteren Host enthalten sein kann, oder aus einem anderen Grund, darunter auch eine Konfiguration durch einen Administrator.
  • Die Speichereinheit oder Speichersteuereinheit 910 führt Statistiken über Anmeldezähler und Anmeldemerkmale, die als Anmeldeindikatoren bezeichnet werden (Bezugszahl 912). Die Statistiken umfassen: eine Anzahl von aktuellen Anmeldungen an dem Speicheranschluss (Bezugszahl 914); eine Anzahl von sicherheitsfähigen Anmeldungen an dem Speicheranschluss (Bezugszahl 916); und eine Anzahl von Anmeldungen mit aktivierter Sicherheit an dem Speicheranschluss (Bezugszahl 918). Die Anmeldungen mit aktivierter Sicherheit sind diejenigen, die sich erfolgreich authentifiziert und Sicherheit aktiviert haben.
  • In bestimmten Ausführungsformen werden die Statistiken über Anmeldezähler und Anmeldemerkmale 912 von der Speichereinheit oder der Speichersteuereinheit 910 verwendet, um eine Auswirkung auf den E/A-Zugriff durch Hosts zu ermitteln, wenn die Betriebsart „Sicherheit durchgesetzt“ konfiguriert ist. In zusätzlichen Ausführungsformen werden die Statistiken über Anmeldezähler und Anmeldemerkmale 912 von der Speichereinheit oder der Speichersteuereinheit verwendet, um ein Umschalten von der Betriebsart „Sicherheit aktiviert“ in die Betriebsart „Sicherheit durchgesetzt“ zu verhindern, wenn ein E/A-Zugriff durch einen Host beim Umschalten in die Betriebsart „Sicherheit durchgesetzt“ verloren gehen soll.
  • In weiteren Ausführungsformen stellt die Speichereinheit oder Speichersteuereinheit 910 eine Option 920 zum Erzwingen eines Umschaltens auf die Betriebsart „Sicherheit durchgesetzt“ ohne Berücksichtigung der Statistiken über Anmeldezähler und Anmeldemerkmale 912 bereit.
  • 10 veranschaulicht einen Ablaufplan 1000, der Arbeitsschritte in einer Speichereinheit gemäß bestimmten Ausführungsformen zeigt, um gemäß bestimmten Ausführungsformen zu ermitteln, ob ein Speicheranschluss in einen Status „Sicherheit durchgesetzt“ geändert werden soll.
  • Die Steuerung beginnt in Block 1002, in dem eine Speichereinheit feststellt, dass eine Mehrzahl von Host-Anschlüssen eine Anmeldung an einem Speicheranschluss der Speichereinheit durchgeführt hat. Die Steuerung geht weiter zu Block 1004, in dem die Speichereinheit Statistiken über Anmeldezähler und Anmeldemerkmale führt. Die Speichereinheit ermittelt (in Block 1006) anhand der Anmeldezähler und der Anmeldemerkmale, ob irgendein Host-Anschluss den Zugriff auf E/A an der Speichereinheit verlieren würde, wenn die Einstellung des Speicheranschlusses auf „Sicherheit durchgesetzt“ geändert wird. Ist dies der Fall („Ja“-Verzweigung 1008), sind nicht alle Anmeldungen an Host-Anschlüssen sicher (d.h., nicht alle Host-Anschlüsse werden erfolgreich authentifiziert), und die Steuerung fährt mit Block 1010 fort, in dem verhindert wird, dass die Einstellung des Speicheranschlusses auf „Sicherheit durchgesetzt“ geändert wird.
  • Wenn die Speichereinheit in Block 1006 anhand der Anmeldezähler und Anmeldemerkmale feststellt, dass kein Host-Anschluss den Zugriff auf E/A an der Speichereinheit verlieren würde, wenn die Einstellung des Speicheranschlusses auf „Sicherheit durchgesetzt“ geändert wird („Nein“-Verzweigung 1012), sind alle Host-Anschluss-Anmeldungen sicher (d.h., alle Host-Anschlüsse werden erfolgreich authentifiziert), und die Steuerung geht zu Block 1014 über, in dem die Einstellung des Speicheranschlusses auf „Sicherheit durchgesetzt“ geändert werden darf.
  • 11 veranschaulicht einen Ablaufplan 1100, der Arbeitsschritte zum Aufrechterhalten des Zugriffs gemäß bestimmten Ausführungsformen für eine Aktivierung von Sicherheit auf einem Host-System gemäß bestimmten Ausführungsformen zeigt.
  • Die Steuerung beginnt in Block 1102, in dem für einen Host-Anschluss Sicherheit aktiviert wird. Der Host-Anschluss stellt (in Block 1104) fest, dass die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann.
  • Als Reaktion auf eine Feststellung durch den Host-Anschluss, dass die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann, ermittelt der Host-Anschluss (in Block 1106), ob in einer Anmeldeantwort von dem Speicheranschluss ein Prüfmodusindikator aktiviert wurde. Der Host-Anschluss behält den Eingabe/Ausgabe- (E/A-) Zugriff auf den Speicheranschluss auf der Grundlage des Ermittelns, ob der Prüfmodusindikator in der Anmeldeantwort von dem Speicheranschluss aktiviert wurde. Infolgedessen kann ein Host-Anschluss selbst dann in der Lage sein, E/A über einen Speicheranschluss durchzuführen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann.
  • Als Reaktion auf ein Feststellen, dass der Prüfmodusindikator in der Anmeldeantwort von dem Speicheranschluss aktiviert wurde („Ja“-Verzweigung 1108), führt der Host-Anschluss (in Block 1110) E/A an dem Speicheranschluss durch. Das Durchführen von E/A an dem Speicheranschluss bedeutet ein Senden eines E/A-Vorgangs an den Speicheranschluss zum Durchführen eines E/A-Vorgangs, bei dem Daten gelesen oder geschrieben oder auf sie zugegriffen wird. Infolgedessen führt ein Host-Anschluss selbst dann E/A über einen Speicheranschluss durch, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann, wenn der Prüfmodusindikator aktiviert wurde.
  • Als Reaktion auf ein Feststellen, dass der Prüfmodusindikator in der Anmeldeantwort von dem Speicheranschluss nicht aktiviert wurde („Nein“-Verzweigung 1112), vermeidet der Host-Anschluss (in Block 1114) das Durchführen von E/A an dem Speicheranschluss. Infolgedessen führt ein Host-Anschluss keine E/A über einen Speicheranschluss durch, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann und der Prüfmodusindikator nicht aktiviert wurde. Von Block 1114 geht die Steuerung weiter zu Block 1116, in dem der Host-Anschluss E/A-Anforderungen an ein Betriebssystem einer rechnergestützten Host-Einheit herausgibt. Infolgedessen werden alternative Mechanismen zum Durchführen von E/A versucht, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann und der Prüfmodusindikator nicht aktiviert wurde.
  • 12 veranschaulicht einen Ablaufplan 1200, der zusätzliche Arbeitsschritte zum Aufrechterhalten des Zugriffs zur Aktivierung von Sicherheit auf einem Host-System gemäß bestimmten Ausführungsformen zeigt.
  • Der Host-Anschluss stellt (in Block 1202) fest, dass die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit dem Speicheranschluss nicht erfolgreich abgeschlossen werden kann, wenn der Host-Anschluss nicht in der Lage ist, auf einen Schlüsselserver zuzugreifen, um Anmeldeinformationen zum Authentifizieren mit dem Speicheranschluss zu erhalten. Infolgedessen kann der Host-Anschluss weitere Maßnahmen ergreifen, um einen Status des Prüfindikators zu ermitteln, um zu ermitteln, ob E/A-Anforderungen an den Speicheranschluss gesendet werden sollen.
  • Von Block 1202 geht die Steuerung weiter zu Block 1204, in dem der Host-Anschluss feststellt, dass die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit einem Speicheranschluss nicht erfolgreich abgeschlossen werden kann, wenn in einem Prozess zur Authentifizierung oder zur Aushandlung der Sicherheitszuordnung mit dem Speicheranschluss ein Fehler auftritt. Infolgedessen kann der Host-Anschluss weitere Maßnahmen ergreifen, um einen Status des Prüfindikators zu ermitteln, um zu ermitteln, ob E/A-Anforderungen an den Speicheranschluss gesendet werden sollen.
  • 13 veranschaulicht einen Ablaufplan 1300, der Arbeitsschritte zum Aufrechterhalten des Zugriffs zur Aktivierung von Sicherheit in einer Speichereinheit gemäß bestimmten Ausführungsformen zeigt.
  • Die Steuerung beginnt in Block 1302, in dem ein Speicheranschluss eine Anmeldeanforderung empfängt. Von Block 1302 kann die Steuerung zu Block 1304 oder zu Block 1306 weitergehen.
  • In Block 1304 konfiguriert der Speicheranschluss den Prüfmodusindikator als aktiviert in einer Anmeldeantwort an einen Host-Anschluss, um in eine Betriebsart „Sicherheit aktiviert“ einzutreten, um für den Host-Anschluss anzugeben, dass Eingabe/Ausgabe- (E/A-) Arbeitsschritte von dem Host-Anschluss an den Speicheranschluss selbst dann zu übermitteln sind, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit dem Speicheranschluss nicht erfolgreich abgeschlossen werden kann. Infolgedessen können Hosts, die nicht sicher sind, E/A an einer Speichereinheit durchführen.
  • In Block 1306 konfiguriert der Speicheranschluss den Prüfmodusindikator als nicht aktiviert in einer Anmeldeantwort an den Host-Anschluss, um in eine Betriebsart „Sicherheit durchgesetzt“ einzutreten, um für den Host-Anschluss anzugeben, dass keine E/A-Arbeitsschritte von dem Host-Anschluss an den Speicheranschluss zu übermitteln sind, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung mit dem Speicheranschluss nicht erfolgreich abgeschlossen werden kann. Infolgedessen sind Hosts, die nicht sicher sind, nicht in der Lage, E/A an einer Speichereinheit durchzuführen.
  • 14 veranschaulicht einen Ablaufplan 1400, der zusätzliche Arbeitsschritte zum Aufrechterhalten des Zugriffs zur Aktivierung von Sicherheit in einer Speichereinheit zeigt.
  • Die Steuerung beginnt in Block 1402, in dem eine Speichersteuereinheit, die den Speicheranschluss umfasst, Statistiken über Anmeldezähler und Anmeldemerkmale führt, darunter: eine Anzahl von aktuellen Anmeldungen an dem Speicheranschluss; eine Anzahl von sicherheitsfähigen Anmeldungen an dem Speicheranschluss; und eine Anzahl von Anmeldungen mit aktivierter Sicherheit an dem Speicheranschluss. Infolgedessen werden in bestimmten Ausführungsformen die Statistiken über Anmeldezähler und Anmeldemerkmale von der Speichersteuereinheit verwendet, um eine Auswirkung auf den E/A-Zugriff durch Hosts zu ermitteln, wenn die Betriebsart „Sicherheit durchgesetzt“ konfiguriert ist.
  • In zusätzlichen Ausführungsformen werden die Statistiken über Anmeldezähler und Anmeldemerkmale von der Speichersteuereinheit verwendet, um (in Block 1404) ein Umschalten von der Betriebsart „Sicherheit aktiviert“ in die Betriebsart „Sicherheit durchgesetzt“ zu verhindern, wenn ein E/A-Zugriff durch einen Host beim Umschalten in die Betriebsart „Sicherheit durchgesetzt“ verloren gehen soll. Infolgedessen wird ein Umschalten in die Betriebsart „Sicherheit durchgesetzt“ verhindert, wenn ein Host den E/A-Zugriff verlieren würde.
  • In bestimmten Ausführungsformen stellt die Speichersteuereinheit eine Option zum Erzwingen des Umschaltens auf die Betriebsart „Sicherheit durchgesetzt“ ohne Berücksichtigung der Statistiken über Anmeldezähler und Anmeldemerkmale bereit.
  • In bestimmten Ausführungsformen konfiguriert eine Speichersteuereinheit mindestens einen Speicheranschluss der Mehrzahl von Speicheranschlüssen für die Betriebsart „Sicherheit durchgesetzt“. Die Speichersteuereinheit konfiguriert mindestens einen anderen Speicheranschluss der Mehrzahl von Speicheranschlüssen für die Betriebsart „Sicherheit aktiviert“. Daher erfolgt die Aktivierung des Prüfmodusindikators für jeden Anschluss einzeln.
  • In weiteren Ausführungsformen ist der Speicheranschluss in einer Speichersteuereinheit enthalten, die eine erste Speicheranordnung und eine zweite Speicheranordnung umfasst, wobei die Betriebsart „Sicherheit durchgesetzt“ für die erste Speicheranordnung konfiguriert ist, und wobei die Betriebsart „Sicherheit aktiviert“ für die zweite Speicheranordnung konfiguriert ist. Daher erfolgt die Aktivierung des Prüfmodusindikators für jede Speicheranordnung einzeln.
  • Daher veranschaulichen 1 bis 14 bestimmte Ausführungsformen, bei denen Sicherheit auf der Grundlage einer Konfiguration eines Prüfmodusindikators durchgesetzt oder nicht durchgesetzt wird, um Arbeitsschritte auf der Grundlage der Konfiguration des Sicherheitsbits in Fibre Channel zu erweitern. Infolgedessen können ältere Einheiten in einer heterogenen Datenverarbeitungsumgebung selbst dann weiterhin E/A durchführen, wenn das Sicherheitsbit in Fibre Channel aktiviert ist.
  • Beispielhafte Ausführungsformen für den Übergang von Klartext zu verschlüsselten Daten
  • Um auf einer Verbindung eine Verschlüsselung zu aktivieren, wird in Fibre Channel eine Sicherheitszuordnung (SA) zwischen einem SA-Initiator und einem SA-Responder unter Verwendung eines SA-Einrichtungsprotokolls eingerichtet. Ein Beispiel für einen SA-Initiator ist ein Fibre Channel-Initiator (z.B. der Host-Anschluss 112, 114) in einem Host-Bus-Adapter (HBA) der rechnergestützten Host-Einheit 102, 104. Ein Beispiel für einen SA-Responder ist ein Fibre Channel-Zielanschluss (z.B. der Speicheranschluss 116, 118) in der Speichersteuereinheit 108, 110. In Fibre Channel werden getrennte Sicherheitszuordnungen für die Datenübertragung und den Datenempfang an einem Anschluss eingerichtet.
  • Das SA-Einrichtungsprotokoll besteht aus einer Reihe von Nachrichten, die zwischen zwei Entitäten (wie zum Beispiel einem Host-Anschluss und einem Speicheranschluss in einem Fibre Channel SAN) übermittelt werden. Ein Beispiel für ein derartiges Protokoll ist das Security Association Management-Protokoll in dem Fibre Channel-Sicherheitsprotokollstandard FC-SP-2.
  • Das Protokoll umfasst ein Nachrichtenpaar SA_Init und SA_Init Response, um eine übergeordnete Zuordnung einzurichten, gefolgt von einem Nachrichtenpaar SA_Auth und SA_Auth Response, um eine Authentifizierung der Entitäten durchzuführen und die Sicherheitszuordnungen einzurichten, welche die zwischen den Entitäten übertragenen Daten schützen.
  • Ein erster Satz von Sicherheitszuordnungen (SA1) wird beim ersten Ausführen des SA-Einrichtungsprotokolls auf einem Pfad eingerichtet (z.B. eine Anmeldung an einem Fibre Channel N_Port). Der Satz von Sicherheitszuordnungen weist Übermittlungs-Schlüsselmaterial (K1t) und Empfangs-Schlüsselmaterial (K1r) auf. Schlüsselmaterial kann sowohl aus Schlüsseln als auch aus SALTs bestehen (SALTs sind Zufallsdaten, die als zusätzliche Eingabe für eine Einwegfunktion verwendet werden, die in Verschlüsselungsmechanismen verwendete Daten „in einen Hashwert umwandelt“) und werden in der Offenbarung einfach als Schlüssel bezeichnet. Es ist zu beachten, dass jede Seite über eine Reihe von „Übermittlungs-Schlüsselmaterial“ (K1t) verfügt, das dem „Empfangs-Schlüsselmaterial“ (K1r) der anderen Seite entspricht.
  • An spezifischen Punkten in dem Protokoll wird ein Anschluss so programmiert, dass er ein Empfangen von Daten unter Verwendung von K1r und ein Übermitteln von Daten unter Verwendung von K1t ermöglicht. In bestimmten Ausführungsformen werden diese Punkte in dem Protokoll so gewählt, dass die Empfangsschlüssel K1r programmiert werden, bevor der andere Anschluss in der Zuordnung mit dem Übermitteln von Daten unter Verwendung dieses Schlüssels beginnen kann.
  • Die Programmierung der neuen Schlüssel für den Anschluss für den Datenempfang erfolgt nach Überprüfung der SA_Auth-Nachrichten. Für das Ziel (z.B. einen Speicheranschluss) erfolgt dies nach der Verarbeitung der SA_Auth-Anforderungsnachricht. Für den Initiator (z.B. einen Host-Anschluss) erfolgt dies beim Empfangen der SA_Auth Response. Nach erfolgreichem Abschließen der Authentifizierungstransaktion wird beim Einreihen von Daten übermittelnden E/A-Anforderungen in eine Warteschlange mit der Verwendung der neuen SA1 begonnen. Für das Ziel kann dies erst geschehen, nachdem der Initiator die SA_Auth Response empfangen hat. Der Empfang der SA_Auth Response am Initiator wird bestätigt, wenn das Ziel die Antwort LS_ACC Extended Link Services (ELS) empfängt. Für den Initiator erfolgt dies beim Empfangen von Auth_Done.
  • Nach Abschließen eines Arbeitsschritts zur Einrichtung einer SA haben sowohl der Initiator-Anschluss als auch der Ziel-Anschluss damit begonnen, E/A zur Übermittlung unter Verwendung der neuen Übermittlungsschlüssel in eine Warteschlange einzureihen. In bestimmten Ausführungsformen können allerdings noch E/A in der Warteschlange oder in dem SAN vorhanden sein, die vor der Einrichtung der SA unter Verwendung von Klartext-E/A zur Übermittlung in eine Warteschlange eingereiht wurden. Um Fehler beim Empfangen zu vermeiden, lassen die Anschlüsse das Empfangen von Klartext noch eine gewisse Zeit lang zu, bevor die SA1-Verschlüsselung durchgesetzt werden kann. Diese Zeitspanne wird durch einen Zeitgeber bereitgestellt, der als „Klartext-Übergangszeitraum-Zeitgeber“ bezeichnet werden kann. Der Zeitgeber ist so eingestellt, dass er nach einer vorher festgelegten Zeitspanne (z.B. nach 2 Sekunden) abläuft.
  • In bestimmten Ausführungsformen wird beim Übergang von Klartext zu Verschlüsselung ein „Indikator für Klartext zulässig“ aktiviert und dem Datenempfänger beim Programmieren der Sicherheitszuordnung zum Empfangen von Daten bereitgestellt. Dieser Indikator weist den Datenempfänger (oder die Firmware, die den Datenempfänger steuert) an, eine Mischung aus verschlüsselten Datenübertragungsblöcken und unverschlüsselten Datenübertragungsblöcken zuzulassen.
  • Sobald sichergestellt ist, dass die gesamte Klartext-E/A aus dem System gelöscht wurde, wird der Datenempfänger zu einem gewissen Zeitpunkt so umprogrammiert, dass der Indikator für Klartext zulässig zurückgesetzt wird. Zu diesem Zeitpunkt gestattet der Datenempfänger das Empfangen von verschlüsselten Daten und gestattet nicht das Empfangen von Klartextdaten. Dies kann dadurch erreicht werden, dass man so lange wartet, bis der Zeitgeber ab dem Zeitpunkt des Aktivierens des SA1-Sicherheitsschlüsselmaterials für die Übermittlung von Daten abgelaufen ist.
  • 15 veranschaulicht ein Blockschaubild 1500, das einen Übergang von Klartext-E/A zu verschlüsselter E/A zeigt, nachdem die Authentifizierung und die Sicherheitszuordnung in Ausführungsformen, in denen der Prüfmodus aktiviert wurde, gemäß bestimmten Ausführungsformen erfolgreich abgeschlossen wurden.
  • In 15 zeigt ein Pfeil 1502 den Zeitablauf während des Durchführens von E/A über einen Pfad zwischen einem Host-Anschluss und einem Speicheranschluss an. Mit anderen Worten: Die Zeit nimmt in der Richtung zu, in die der Pfeil zeigt.
  • Zunächst wird Klartext-E/A (d.h. unverschlüsselte E/A) 1504 über den zwischen dem Host-Anschluss und dem Speicheranschluss eingerichteten Pfad gesendet. Sobald die Authentifizierung und die Sicherheitszuordnung erfolgreich abgeschlossen sind (Bezugszahl 1506), wird eine verschlüsselte E/A 1506 durchgeführt. Allerdings gibt es einen sich überschneidenden Zeitraum (gezeigt durch eine Bezugszahl 1508), in dem sowohl Klartext-E/A als auch verschlüsselte E/A gleichzeitig durchgeführt werden (d.h. Klartext- und verschlüsselte E/A sind gemischt). In bestimmten Ausführungsformen kann Klartext-E/A für eine vorher festgelegte Zeitspanne fortgesetzt werden, um E/As abzuschließen, die in einer Warteschlange standen, aber vor dem erfolgreichen Abschließen der Authentifizierung und Sicherheitszuordnung nicht übermittelt wurden.
  • 16 veranschaulicht ein Blockschaubild 1600, das Datenstrukturen zum Zulassen eines Übergangszeitraums für Klartext-E/A gemäß bestimmten Ausführungsformen zeigt, wenn verschlüsselte E/A über einen Pfad beginnt.
  • Zusätzlich zu dem Sicherheitsbit 302 und dem Prüfmodusindikator 304, die in 3 beschrieben sind, werden ein Indikator 1602 für Klartext zulässig und ein Klartext-Übergangszeitraum-Zeitgeber 1604 bereitgestellt. Wenn der Indikator 1602 für Klartext zulässig aktiviert ist (z.B. durch Setzen auf den Wert 1), lässt er gemischte verschlüsselte und Klartextdaten auf dem Pfad auch nach erfolgreichem Abschließen der Authentifizierung und Sicherheitszuordnung zu. Der Klartext-Übergangszeitraum-Zeitgeber 1604 zeigt eine Zeitspanne an (z.B. 2 Sekunden), für die Klartextdaten auf dem Pfad zugelassen sind, nachdem verschlüsselte Daten auf dem Pfad zugelassen wurden. Die Zeitspanne reicht aus, um Klartextdaten zu löschen, die sich bereits in einer Warteschlange befanden, als die verschlüsselte E/A über den Pfad begann.
  • 17 veranschaulicht ein Blockschaubild 1700, das den Beginn von Klartext-E/A über einen Pfad gemäß bestimmten Ausführungsformen zeigt.
  • Ein SA_Initiator wie zum Beispiel ein Host-Anschluss (gezeigt durch Bezugszahl 1702) sendet eine Anschluss-Anmeldung (PLOGI 1704) an einen SA_Responder wie zum Beispiel einen Speicheranschluss (gezeigt durch Bezugszahl 1706). Nach dem Empfangen der PLOGI 1704 sendet der Speicheranschluss 1706 eine Nachricht zur Annahme von Verbindungsdiensten (Link Services Accept Message) (LS_ACC 1708) an den Host-Anschluss 1702, und LS_ACC 1708 wird an dem Host-Anschluss 1702 empfangen. Der Host-Anschluss 1702 kann in einem Host und der Speicheranschluss 1706 in einer Speichersteuereinheit enthalten sein.
  • Eine Prozessanmeldung (PRLI 1710) wird dann von dem Host-Anschluss 1702 an den Speicheranschluss 1706 gesendet. Der Speicheranschluss 1706 empfängt die PRLI 1710 und sendet eine Nachricht zur Annahme von Verbindungsdiensten (LS_ACC 1712) an den Host-Anschluss 1702, wobei die LS_ACC 1712 an dem Host-Anschluss 1702 empfangen wird. Zu diesem Zeitpunkt beginnt die Klartext-E/A auf dem Pfad zwischen dem Host-Anschluss 1702 und dem Speicheranschluss 1706 wie durch die Bezugszahl 1714 gezeigt ist. Die Bezugszahl 1716 zeigt, dass auf dem Pfad Klartext-E/A durchgeführt wird.
  • 18 veranschaulicht ein Blockschaubild 1800, das eine Ausführungsform von Arbeitsschritten für einen Übergang von „Klartext-E/A“ über „gemischte Klartext-E/A und verschlüsselte E/A“ bis hin zu „verschlüsselter E/A“ veranschaulicht, der zwischen einem Host-Anschluss 1702 und einem Speicheranschluss 1706 stattfindet. In einer Ausführungsform dient der Host-Anschluss 1702 als Initiator, und der Speicheranschluss 1706 dient als Antwortender. Es versteht sich, dass der Prüfmodus aktiviert ist.
  • Zum Einleiten von Arbeitsschritten zum Einrichten einer Sicherheitszuordnung sendet der Host-Anschluss 1702 eine Sicherheitszuordnungs-Initialisierungsnachricht (SA_Init 1804) von dem Host-Anschluss 1702 an den Speicheranschluss 1706, um eine Sicherheitszuordnung mit dem Speicheranschluss 1706 einzurichten, die Schlüsselmaterial umfasst, das zum Erstellen eines Verschlüsselungsschlüssels verwendet wird. Nach dem Empfangen der Sicherheitszuordnungs-Initialisierungsnachricht sendet der Speicheranschluss 1706 eine Annahme der Sicherheitszuordnungs-Initialisierungsnachricht zur Verarbeitung an den Host-Anschluss 1702. In Umsetzungen des Fibre Channel-Protokolls kann eine „Annahme“ der Verarbeitung einer Nachricht in Form der Nachricht zur Annahme von Verbindungsdiensten (LS_ACC 1806) erfolgen. Nachdem die Annahme gesendet wurde, sendet der Speicheranschluss 1706 eine Initialisierungs-Antwortnachricht (SA_Init Resp 1808) an den Host-Anschluss 1702, um die Sicherheitszuordnung anzunehmen, die ein ausgewähltes Transformationsverfahren zur Verwendung für die Verschlüsselung/Entschlüsselung umfasst. Die Sicherheitszuordnungs-Initialisierungsnachricht kann eine Mehrzahl von verschiedenen Verschlüsselungs-Transformationsverfahren umfassen, aus denen der Speicheranschluss 1706 zur Verwendung für die Sicherheitszuordnung auswählen kann, die eingerichtet wird.
  • Nach dem Empfangen der gesendeten Initialisierungs-Antwortnachricht (SA_Init Resp 1808) sendet der Host-Anschluss 1702 eine Annahme (LS_ACC 1810) an den Speicheranschluss 1706, dass die Initialisierungs-Antwortnachricht zur Verarbeitung angenommen wird, und sendet dann eine Authentifizierungsnachricht (SA_Auth 1812) an den Speicheranschluss 1706, um den Speicheranschluss 1706 aufzufordern, eine Authentifizierung zwischen dem Speicheranschluss 1706 und dem Host-Anschluss 1702 einzurichten.
  • Nach dem Empfangen der Sicherheitszuordnungs-Authentifizierungsnachricht (SA_Auth 1812) sendet der Speicheranschluss 1706 eine Annahme-Nachricht (LS_ACC 1814) an den Host-Anschluss 1702, die anzeigt, dass die Authentifizierungsnachricht zur Verarbeitung angenommen wurde, und programmiert dann eine Sicherheitszuordnung SA1 für das Empfangen, die einen Schlüssel K1r umfasst, bei dem der Indikator für Klartext zulässig auf 1 gesetzt ist (wie durch die Bezugszahl 1816 gezeigt ist).
  • Nach dem Programmieren des Speicheranschlusses 1706 mit der Sicherheitszuordnung SA1 für den Speicheranschluss 1706 sendet der Speicheranschluss 1706 eine Authentifizierungs-Antwortnachricht (SA_Auth Resp 1818) an den Host-Anschluss 1702, um die Authentifizierung anzunehmen.
  • Nach dem Empfangen der Antwortnachricht zur Authentifizierung der Sicherheitszuordnung programmiert der Host-Anschluss 1702 eine Sicherheitszuordnung SA1 für das Empfangen, die einen Schlüssel K1r umfasst, bei dem der Indikator für Klartext zulässig auf 1 gesetzt ist (wie in Bezugszahl 1820 gezeigt ist). Nach dem Programmieren der Sicherheitszuordnung SA1 sendet der Host-Anschluss 1702 eine Annahme (LS_ACC 1822) an den Speicheranschluss 1706, dass die Authentifizierungsnachricht zur Verarbeitung angenommen wird.
  • Nach dem Empfangen der Annahme 1822 aktiviert der Speicheranschluss 1706 die Sicherheitszuordnung SA1 für die Übermittlung mit dem Schlüssel K1t (gezeigt durch Bezugszahl 1824) und startet einen Zeitgeber 1826, um den Beginn der Übermittlung von verschlüsselten Daten von dem Speicheranschluss 1706 an den Host-Anschluss 1702 anzuzeigen. Der Speicheranschluss 1706 beginnt zu diesem Zeitpunkt mit dem Übermitteln verschlüsselter Daten, und der Zeitgeber 1826 beginnt damit, von einem vorher festgelegten Wert herunterzuzählen. Der Zeitgeber 1826 ist eine Instanziierung des in 16 gezeigten Klartext-Übergangszeitraum-Zeitgebers 1604.
  • Nach dem Aktivieren der Sicherheitszuordnung SA1 sendet der Speicheranschluss 1706 eine Nachricht über die erfolgte Authentifizierung (AUTH Done 1828) an den Host-Anschluss 1702, die anzeigt, dass sowohl die Initialisierung der Sicherheitszuordnung als auch die Authentifizierung abgeschlossen sind und Übermittlungen nun für die neu eingerichtete Sicherheitszuordnung SA1 verschlüsselt und entschlüsselt werden können.
  • Nach dem Empfangen der Nachricht über die erfolgte Authentifizierung aktiviert der Host-Anschluss 1702 die erstellte Sicherheitszuordnung SA1 zum Übermitteln mit dem Schlüssel K1t (wie durch Bezugszahl 1830 gezeigt ist). Nach Aktivieren der Sicherheitszuordnung SA sendet der Host-Anschluss 1702 eine Annahme (LS_ACC 1832) an den Speicheranschluss 1706, dass die Sicherheitszuordnung SA1 aktiviert ist, und beginnt mit dem Übermitteln von verschlüsselter E/A an den Speicheranschluss und startet einen Zeitgeber 1834 zum Herunterzählen von einem vorher festgelegten Wert. Der Zeitgeber 1834 ist eine Instanziierung des in 16 gezeigten Klartext-Übergangszeitraum-Zeitgebers 1604, und in bestimmten Ausführungsformen kann der vorher festgelegte Wert für die Zeitgeber 1834 und 1836 derselbe sein.
  • In 18 werden ab dem Zeitpunkt, zu dem der Zeitgeber 1826 mit dem Herunterzählen beginnt, während verschlüsselte Daten von dem Speicheranschluss 1706 übermittelt werden, auch Klartextdaten in Warteschlangen übermittelt. In 18 werden ab dem Zeitpunkt, zu dem der Zeitgeber 1834 mit dem Herunterzählen beginnt, während verschlüsselte Daten von dem Host-Anschluss 1702 übermittelt werden, auch Klartextdaten in Warteschlangen von dem Host-Anschluss 1702 übermittelt.
  • Sobald der Zeitgeber 1826 abläuft (d.h. die vorher festgelegte Zeitspanne abgelaufen ist), wird von dem Speicheranschluss 1706 keine Klartext-E/A mehr unterstützt (wie durch Bezugszahl 1836 gezeigt ist). Sobald der Zeitgeber 1834 abläuft (d.h. die vorher festgelegte Zeitspanne abgelaufen ist), wird von dem Host-Anschluss 1702 keine Klartext-E/A mehr unterstützt (wie durch Bezugszahl 1838 gezeigt ist). Unter derartigen Bedingungen wird der Indikator für Klartext zulässig auf 0 gesetzt.
  • Die vorher festgelegte Zeitspanne für den Ablauf der Zeitgeber 1826, 1834 ist ausreichend hoch angesetzt, so dass die gesamte anstehende Klartext-E/A in Warteschlangen zum Zeitpunkt 1840 gelöscht wird und ein Übergang von „gemischter Klartext- und SAI-verschlüsselter E/A“ 1840 zu „SA1-verschlüsselter“ E/A 1844 erfolgt.
  • Daher zeigt 18 einen Übergang von Klartext-E/A 1716 über gemischte Klartext- und verschlüsselte E/A 1842 bis hin zu verschlüsselter E/A 1844 über den Pfad zwischen dem Host-Anschluss 1702 und dem Speicheranschluss 1706. So kann die gesamte anstehende Klartext-E/A aus den Warteschlangen gelöscht werden, nachdem die Authentifizierung und die Sicherheitszuordnung erfolgreich eingerichtet wurden. Die Schraffuren und Kreuzschraffuren zeigen die Zeiträume für die verschiedenen Arten der Datenübermittlung in 18.
  • 19 veranschaulicht einen Ablaufplan, der Arbeitsschritte zum gleichzeitigen Aktivieren von Verschlüsselung auf einem Betriebspfad an einem Host-Anschluss gemäß bestimmten Ausführungsformen zeigt.
  • Die Steuerung beginnt in Block 1902, in dem für einen Host-Anschluss Sicherheit aktiviert wird. Der Host-Anschluss führt (in Block 1904) Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss durch, wenn festgestellt wird, dass ein Prüfmodusindikator aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Host-Anschluss und dem Speicheranschluss nicht erfolgreich abgeschlossen werden kann.
  • Von Block 1904 geht die Steuerung zu Block 1906 über, in dem der Host-Anschluss gleichzeitig mit dem Durchführen von E/A in Klartext auf dem Pfad eine Verschlüsselung von Daten für E/A auf dem Pfad aktiviert, und in bestimmten Ausführungsformen weist das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Host-Anschluss und dem Speicheranschluss auf.
  • Von Block 1906 geht die Steuerung weiter zu Block 1908, in dem als Reaktion auf ein Feststellen durch den Host-Anschluss, dass der gesamte Klartext-Empfang abgeschlossen ist, weil ein Zeitgeber abgelaufen ist, nachdem eine Sicherheitszuordnung für die Übermittlung aktiviert worden ist, der Host-Anschluss so programmiert wird, dass er keine Klartextdaten mehr verarbeitet. Es sei angemerkt, dass der Zeitgeber nach einer Auszeit abläuft, die ausreicht, um Klartextdaten zu löschen, die sich zu dem Zeitpunkt, zu dem die Übermittlung der verschlüsselten Daten auf dem Pfad begann, in einer Warteschlange für die Übermittlung befanden.
  • Im Zusammenhang mit der Durchführung der in 19 gezeigten Ausführungsformen wird der Host-Anschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator für Klartext zulässig programmiert, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt.
  • Als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, wird der Host-Anschluss sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert. Des Weiteren werden keine E/A-Fehler erzeugt, wenn sowohl Klartextdaten als auch verschlüsselte Daten während eines vorher festgelegten Zeitraums, der durch einen Zeitgeber angegeben wird, auf dem Pfad ausgetauscht werden.
  • 20 veranschaulicht einen Ablaufplan 2000, der Arbeitsschritte zum gleichzeitigen Aktivieren von Verschlüsselung auf einem Betriebspfad an einem Speicheranschluss gemäß bestimmten Ausführungsformen zeigt.
  • Die Steuerung beginnt in Block 2002, in dem Sicherheit für einen Speicheranschluss aktiviert ist. Der Speicheranschluss führt (in Block 2004) Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss durch, wenn festgestellt wird, dass ein Prüfmodusindikator aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann.
  • Von Block 2004 geht die Steuerung zu Block 2006 über, in dem der Speicheranschluss gleichzeitig mit dem Durchführen von E/A in Klartext auf dem Pfad eine Verschlüsselung von Daten für E/A auf dem Pfad aktiviert, und in bestimmten Ausführungsformen weist das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Speicheranschluss und dem Host-Anschluss auf.
  • Von Block 2006 geht die Steuerung weiter zu Block 2008, in dem als Reaktion auf ein Feststellen durch den Speicheranschluss, dass der gesamte Klartext-Empfang abgeschlossen ist, weil ein Zeitgeber abgelaufen ist, nachdem eine Sicherheitszuordnung für die Übermittlung aktiviert worden ist, der Speicheranschluss so programmiert wird, dass er keine Klartextdaten mehr verarbeitet. Es sei angemerkt, dass der Zeitgeber nach einer Auszeit abläuft, die ausreicht, um Klartextdaten zu löschen, die sich zu dem Zeitpunkt, zu dem die Übermittlung der verschlüsselten Daten auf dem Pfad begann, in einer Warteschlange für die Übermittlung befanden.
  • Im Zusammenhang mit der Durchführung der in 20 gezeigten Ausführungsformen wird der Speicheranschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator für Klartext zulässig programmiert, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt. Als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, wird der Speicheranschluss sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert. Des Weiteren werden keine E/A-Fehler erzeugt, wenn sowohl Klartextdaten als auch verschlüsselte Daten während eines vorher festgelegten Zeitraums, der durch einen Zeitgeber angegeben wird, auf dem Pfad ausgetauscht werden.
  • Daher stellen 1 bis 20 Mechanismen bereit, mit denen ein Host-System vom Austauschen von Klartext zum Austauschen von verschlüsselten Daten übergehen kann, indem es eine Zeitspanne zulässt, in der in Ausführungsformen, in denen ein Prüfmodusindikator aktiviert ist, gemischte Klartext- und verschlüsselte Daten ausgetauscht werden. Derartige Ausführungsformen stellen auch Mechanismen bereit, mit denen ein Speicheranschluss vom Austauschen von Klartext zum Austauschen von verschlüsselten Daten übergehen kann, indem er eine Zeitspanne zulässt, in der gemischte Klartext- und verschlüsselte Daten in Ausführungsformen ausgetauscht werden, in denen ein Prüfmodusindikator aktiviert ist.
  • Cloud-Computing-Umgebung
  • Cloud-Computing ist ein Modell zum Ermöglichen eines problemlosen bedarfsgesteuerten Netzwerkzugriffs auf einen gemeinsam genutzten Pool von konfigurierbaren Datenverarbeitungsressourcen (z.B. Netzwerke, Server, Speicher, Anwendungen und Dienste), die mit minimalem Verwaltungsaufwand bzw. minimaler Interaktion mit einem Dienstanbieter schnell bereitgestellt und freigegeben werden können.
  • Unter Bezugnahme auf 21 ist eine veranschaulichende Cloud-Computing-Umgebung 50 abgebildet. Die Durchsetzung oder Aktivierung von Sicherheit und der Übergang zur Verschlüsselung (dargestellt durch die Bezugszahl 52) wird in der Cloud-Computing-Umgebung 50 durchgeführt. Wie gezeigt ist, umfasst die Cloud-Computing-Umgebung 50 einen oder mehrere Cloud-Computing-Knoten 10, mit denen von Cloud-Nutzern verwendete lokale Datenverarbeitungseinheiten wie zum Beispiel ein elektronischer Assistent (PDA, personal digital assistant) oder ein Mobiltelefon 54A, ein Desktop-Computer 54B, ein Laptop-Computer 54C und/oder ein Automobil-Computer-System 54N Daten austauschen können. Die Knoten 10 können miteinander Daten austauschen. Sie können physisch oder virtuell in ein oder mehrere Netzwerke wie private, Benutzergemeinschafts-, öffentliche oder hybride Clouds gruppiert werden (nicht gezeigt), wie vorstehend beschrieben wurde, oder in eine Kombination daraus. Dies ermöglicht es der Cloud-Computing-Umgebung 50, Infrastruktur, Plattformen und/oder Software als Dienst anzubieten, für die ein Cloud-Nutzer keine Ressourcen auf einer lokalen Datenverarbeitungseinheit vorhalten muss. Es sei darauf hingewiesen, dass die Arten der in 21 gezeigten Datenverarbeitungseinheiten 54A bis N lediglich veranschaulichend sein sollen und dass die Datenverarbeitungsknoten 10 und die Cloud-Computing-Umgebung 50 über eine beliebige Art Netzwerk und/oder über eine beliebige Art von über ein Netzwerk aufrufbarer Verbindung (z.B. unter Verwendung eines Web-Browsers) mit einer beliebigen Art von computergestützter Einheit Daten austauschen können.
  • Unter Bezugnahme auf 22 wird ein Satz von funktionalen Abstraktionsschichten gezeigt, die durch die Cloud-Computing-Umgebung 50 (21) bereitgestellt werden. Es sollte von vornherein klar sein, dass die in 22 gezeigten Komponenten, Schichten und Funktionen lediglich veranschaulichend sein sollen und Ausführungsformen der Erfindung nicht darauf beschränkt sind.
  • Eine Hardware- und Software-Schicht 60 umfasst Hardware- und Software-Komponenten. Zu Beispielen für Hardware-Komponenten gehören Mainframe-Computer, in einem Beispiel IBM ZSERIES* Systeme; auf der RISC- (Reduced Instruction Set Computer) Architektur beruhende Server, in einem Beispiel IBM PSERIES* Systeme; IBM XSERIES* Systeme; IBM BLADECENTER* Systeme; Speichereinheiten; Netzwerke und Netzwerkkomponenten. Zu Beispielen für Software-Komponenten gehören eine Netzwerk-Anwendungsserver-Software, in einem Beispiel IBM WEBSPHERE* Anwendungsserversoftware; und eine Datenbank-Software, in einem Beispiel IBM DB2* Datenbank-Software.
  • Eine Virtualisierungsschicht 62 stellt eine Abstraktionsschicht bereit, aus der die folgenden Beispiele für virtuelle Einheiten bereitgestellt werden können: virtuelle Server, virtuelle Speicher, virtuelle Netzwerke, darunter virtuelle private Netzwerke, virtuelle Anwendungen und Betriebssysteme; und virtuelle Clients.
  • In einem Beispiel kann die Verwaltungsschicht 64 die nachfolgend beschriebenen Funktionen bereitstellen. Eine Ressourcen-Bereitstellung stellt die dynamische Beschaffung von Datenverarbeitungsressourcen sowie anderen Ressourcen bereit, die zum Durchführen von Aufgaben innerhalb der Cloud-Computing-Umgebung verwendet werden. Ein Messen und eine Preisfindung stellen die Kostenverfolgung beim Verwenden von Ressourcen innerhalb der Cloud-Computing-Umgebung sowie die Abrechnung oder Rechnungsstellung für den Verbrauch dieser Ressourcen bereit. In einem Beispiel können diese Ressourcen Anwendungs-Software-Lizenzen umfassen. Eine Sicherheit stellt die Identitätsüberprüfung für Cloud-Nutzer und Aufgaben sowie Schutz für Daten und andere Ressourcen bereit. Ein Benutzerportal stellt Nutzern und Systemadministratoren den Zugang zu der Cloud-Computing-Umgebung bereit. Eine Verwaltung des Dienstumfangs stellt die Zuordnung und Verwaltung von Cloud-Computing-Ressourcen bereit, so dass die benötigten Dienstziele erreicht werden. Ein Planen und Erfüllen von Vereinbarungen zum Dienstumfang (SLA, Service Level Agreement) stellt die Anordnung vorab und die Beschaffung von Cloud-Computing-Ressourcen, für die eine zukünftige Anforderung vorausgesehen wird, gemäß einem SLA bereit.
  • Eine Arbeitslastschicht 66 stellt Beispiele für die Funktionalität bereit, für welche die Cloud-Computing-Umgebung verwendet werden kann. Zu Beispielen für Arbeitslasten und Funktionen, die von dieser Schicht bereitgestellt werden können, gehören: Abbildung und Navigation; Software-Entwicklung und Lebenszyklusverwaltung; Bereitstellung von Ausbildung in virtuellen Klassenzimmern; Datenanalytikverarbeitung; Transaktionsverarbeitung; und Durchsetzung oder Aktivierung von Sicherheit und Übergang zur Verschlüsselung 68, wie in 1 bis 21 gezeigt ist.
  • Zusätzliche Einzelheiten der Ausführungsformen
  • Die beschriebenen Arbeitsschritte können als Verfahren, Vorrichtung oder Computerprogrammprodukt umgesetzt werden, indem übliche Programmierungs- und/oder Ingenieurtechniken zum Herstellen von Software, Firmware, Hardware oder einer Kombination daraus verwendet werden. Entsprechend können Aspekte der Ausführungsformen die Form einer vollständigen Hardware-Ausführungsform, einer vollständigen Software-Ausführungsform (darunter Firmware, im Speicher befindliche Software, Mikrocode, usw.) oder einer Software- und Hardware-Aspekte kombinierenden Ausführungsform annehmen, die hierin alle allgemein als „Schaltkreis“, „Modul“ oder „System“ bezeichnet sein können. Des Weiteren können Aspekte der Ausführungsformen die Form eines Computerprogrammprodukts annehmen. Das Computerprogrammprodukt kann ein durch einen Computer lesbares Speichermedium (oder -medien) mit durch einen Computer lesbaren Programmanweisungen darauf umfassen, um einen Prozessor dazu zu veranlassen, Aspekte der vorliegenden Ausführungsformen auszuführen.
  • Bei dem durch einen Computer lesbaren Speichermedium kann es sich um eine physische Einheit handeln, die Anweisungen zur Verwendung durch ein System zur Ausführung von Anweisungen behalten und speichern kann. Bei dem durch einen Computer lesbaren Speichermedium kann es sich zum Beispiel um eine elektronische Speichereinheit, eine magnetische Speichereinheit, eine optische Speichereinheit, eine elektromagnetische Speichereinheit, eine Halbleiterspeichereinheit oder jede geeignete Kombination daraus handeln, ohne auf diese beschränkt zu sein. Zu einer nicht erschöpfenden Liste spezifischerer Beispiele des durch einen Computer lesbaren Speichermediums gehören die Folgenden: eine auswechselbare Computerdiskette, eine Festplatte, ein Direktzugriffsspeicher (RAM), ein Nur-Lese-Speicher (ROM), ein löschbarer programmierbarer Nur-Lese-Speicher (EPROM bzw. Flash-Speicher), ein statischer Direktzugriffsspeicher (SRAM), ein auswechselbarer Kompaktspeicherplatte-Nur-Lese-Speicher (CD-ROM), eine DVD (digital versatile disc), ein Speicher-Stick, eine Diskette, eine mechanisch kodierte Einheit wie zum Beispiel Lochkarten oder erhabene Strukturen in einer Rille, auf denen Anweisungen gespeichert sind, und jede geeignete Kombination daraus. Ein durch einen Computer lesbares Speichermedium soll in der Verwendung hierin nicht als flüchtige Signale an sich aufgefasst werden, wie zum Beispiel Funkwellen oder andere sich frei ausbreitende elektromagnetische Wellen, elektromagnetische Wellen, die sich durch einen Wellenleiter oder ein anderes Übertragungsmedium ausbreiten (z.B. Lichtwellenleiterkabel durchlaufende Lichtimpulse) oder durch einen Draht übertragene elektrische Signale.
  • Hierin beschriebene, durch einen Computer lesbare Programmanweisungen können von einem durch einen Computer lesbaren Speichermedium auf jeweilige Datenverarbeitungs-/Verarbeitungseinheiten oder über ein Netzwerk wie zum Beispiel das Internet, ein lokales Netzwerk, ein Weitverkehrsnetz und/oder ein drahtloses Netzwerk auf einen externen Computer oder eine externe Speichereinheit heruntergeladen werden. Das Netzwerk kann Kupferübertragungskabel, Lichtwellenübertragungsleiter, drahtlose Übertragung, Leitwegrechner, Firewalls, Vermittlungseinheiten, Gateway-Computer und/oder Edge-Server umfassen. Eine Netzwerkadapterkarte oder Netzwerkschnittstelle in jeder Datenverarbeitungs-/Verarbeitungseinheit empfängt durch einen Computer lesbare Programmanweisungen aus dem Netzwerk und leitet die durch einen Computer lesbaren Programmanweisungen zur Speicherung in einem durch einen Computer lesbaren Speichermedium innerhalb der entsprechenden Datenverarbeitungs-/Verarbeitungseinheit weiter.
  • Bei durch einen Computer lesbaren Programmanweisungen zum Ausführen von Arbeitsschritten der vorliegenden Ausführungsformen kann es sich um Assembler-Anweisungen, ISA-Anweisungen (Instruction-Set-Architecture), Maschinenanweisungen, maschinenabhängige Anweisungen, Mikrocode, Firmware-Anweisungen, zustandssetzende Daten oder entweder Quellcode oder Objektcode handeln, die in einer beliebigen Kombination aus einer oder mehreren Programmiersprachen geschrieben werden, darunter objektorientierte Programmiersprachen wie Smalltalk, C++ o.ä. sowie herkömmliche prozedurale Programmiersprachen wie die Programmiersprache „C“ oder ähnliche Programmiersprachen. Die durch einen Computer lesbaren Programmanweisungen können vollständig auf dem Computer des Benutzers, teilweise auf dem Computer des Benutzers, als eigenständiges Software-Paket, teilweise auf dem Computer des Benutzers und teilweise auf einem fernen Computer oder vollständig auf dem fernen Computer oder Server ausgeführt werden. In letzterem Fall kann der entfernt angeordnete Computer mit dem Computer des Benutzers durch eine beliebige Art Netzwerk verbunden sein, darunter ein lokales Netzwerk (LAN) oder ein Weitverkehrsnetz (WAN), oder die Verbindung kann mit einem externen Computer hergestellt werden (zum Beispiel über das Internet unter Verwendung eines Internet-Dienstanbieters). In einigen Ausführungsformen können elektronische Schaltungen, darunter zum Beispiel programmierbare Logikschaltungen, vor Ort programmierbare Gatter-Anordnungen (FPGA, field programmable gate arrays) oder programmierbare Logikanordnungen (PLA, programmable logic arrays) die durch einen Computer lesbaren Programmanweisungen ausführen, indem sie Zustandsinformationen der durch einen Computer lesbaren Programmanweisungen nutzen, um die elektronischen Schaltungen zu personalisieren, um Aspekte der vorliegenden Ausführungsformen durchzuführen.
  • Aspekte der vorliegenden Ausführungsformen sind hierin unter Bezugnahme auf Ablaufpläne und/oder Blockschaltbilder bzw. Schaubilder von Verfahren, Vorrichtungen (Systemen) und Computerprogrammprodukten gemäß Ausführungsformen der Erfindung beschrieben. Es wird darauf hingewiesen, dass jeder Block der Ablaufpläne und/oder der Blockschaltbilder bzw. Schaubilder sowie Kombinationen von Blöcken in den Ablaufplänen und/oder den Blockschaltbildern bzw. Schaubildern mittels durch einen Computer lesbare Programmanweisungen ausgeführt werden können.
  • Diese durch einen Computer lesbaren Programmanweisungen können einem Prozessor eines Universalcomputers, eines Spezialcomputers oder einer anderen programmierbaren Datenverarbeitungsvorrichtung bereitgestellt werden, um eine Maschine zu erzeugen, so dass die über den Prozessor des Computers bzw. der anderen programmierbaren Datenverarbeitungsvorrichtung ausgeführten Anweisungen ein Mittel zur Umsetzung der in dem Block bzw. den Blöcken der Ablaufpläne und/oder der Blockschaltbilder bzw. Schaubilder festgelegten Funktionen/Schritte erzeugen. Diese durch einen Computer lesbaren Programmanweisungen können auch auf einem durch einen Computer lesbaren Speichermedium gespeichert sein, das einen Computer, eine programmierbare Datenverarbeitungsvorrichtung und/oder andere Einheiten so steuern kann, dass sie auf eine bestimmte Art funktionieren, so dass das durch einen Computer lesbare Speichermedium, auf dem Anweisungen gespeichert sind, ein Herstellungsprodukt umfasst, darunter Anweisungen, welche Aspekte der/des in dem Block bzw. den Blöcken des Ablaufplans und/oder der Blockschaltbilder bzw. Schaubilder angegebenen Funktion/Schritts umsetzen.
  • Die durch einen Computer lesbaren Programmanweisungen können auch auf einen Computer, eine andere programmierbare Datenverarbeitungsvorrichtung oder eine andere Einheit geladen werden, um das Ausführen einer Reihe von Prozessschritten auf dem Computer bzw. der anderen programmierbaren Vorrichtung oder anderen Einheit zu verursachen, um einen auf einem Computer ausgeführten Prozess zu erzeugen, so dass die auf dem Computer, einer anderen programmierbaren Vorrichtung oder einer anderen Einheit ausgeführten Anweisungen die in dem Block bzw. den Blöcken der Ablaufpläne und/oder der Blockschaltbilder bzw. Schaubilder festgelegten Funktionen/Schritte umsetzen.
  • Die Ablaufpläne und die Blockschaltbilder bzw. Schaubilder in den Figuren veranschaulichen die Architektur, die Funktionalität und den Betrieb möglicher Ausführungen von Systemen, Verfahren und Computerprogrammprodukten gemäß verschiedenen Ausführungsformen der vorliegenden Erfindung. In diesem Zusammenhang kann jeder Block in den Ablaufplänen oder Blockschaltbildern bzw. Schaubildern ein Modul, ein Segment oder einen Teil von Anweisungen darstellen, die eine oder mehrere ausführbare Anweisungen zur Ausführung der bestimmten logischen Funktion(en) umfassen. In einigen alternativen Ausführungen können die in dem Block angegebenen Funktionen in einer anderen Reihenfolge als in den Figuren gezeigt stattfinden. Zwei nacheinander gezeigte Blöcke können zum Beispiel in Wirklichkeit im Wesentlichen gleichzeitig ausgeführt werden, oder die Blöcke können manchmal je nach entsprechender Funktionalität in umgekehrter Reihenfolge ausgeführt werden. Es ist darüber hinaus anzumerken, dass jeder Block der Blockschaltbilder bzw. Schaubilder und/oder der Ablaufpläne sowie Kombinationen aus Blöcken in den Blockschaltbildern bzw. Schaubildern und/oder den Ablaufplänen durch spezielle auf Hardware beruhende Systeme umgesetzt werden können, welche die festgelegten Funktionen oder Schritte durchführen, oder Kombinationen aus Spezial-Hardware und Computeranweisung ausführen.
  • 23 veranschaulicht ein Blockschaltbild, das bestimmte Elemente zeigt, die gemäß bestimmten Ausführungsformen in den rechnergestützten Einheiten, den Hosts, den Speichersteuereinheiten, den Speichereinheiten oder anderen Einheiten enthalten sein können, die in 1 bis 22 gezeigt sind. Das System 2300 kann eine Schaltung 2302 umfassen, die in bestimmten Ausführungsformen mindestens einen Prozessor 2304 umfassen kann. Das System 2300 kann auch einen Speicher (memory) 2306 (z.B. eine flüchtige Speichereinheit) und einen Speicher (storage) 2308 beinhalten. Zu dem Speicher 2308 kann eine nichtflüchtige Speichereinheit (z.B. EEPROM, ROM, PROM, Flash-Speicher, Firmware, eine programmierbare Logik usw.), ein magnetisches Plattenlaufwerk, ein optisches Plattenlaufwerk, ein Bandlaufwerk usw. gehören. Der Speicher 2308 kann eine interne Speichereinheit, eine angeschlossene Speichereinheit und/oder eine über das Netz zugängliche Speichereinheit aufweisen. Das System 2300 kann eine Programmlogik 2310 aufweisen, die einen Code 2312 beinhaltet, der in den Speicher 2306 geladen und durch den Prozessor 2304 oder die Schaltung 2302 ausgeführt werden kann. In bestimmten Ausführungsformen kann die den Code 2312 beinhaltende Programmlogik 2310 in dem Speicher 2308 gespeichert sein. In bestimmten anderen Ausführungsformen kann die Programmlogik 2310 in der Schaltung 2302 umgesetzt sein. Eine oder mehrere der Komponenten in dem System 2300 können über einen Bus oder über eine andere Kopplung oder Verbindung 2314 Daten austauschen. Folglich kann die Programmlogik 2310 in dem Speicher 2306 und/oder der Schaltung 2302 umgesetzt sein, obwohl 23 die Programmlogik 2310 getrennt von den anderen Elementen zeigt.

Claims (25)

  1. Verfahren (1900; 2000), aufweisend: Aktivieren (1902; 2002) von Sicherheit an einem Speicheranschluss (116, 118, 210, 212, 406, 1706); Durchführen (1904; 2004), durch den Speicheranschluss, von Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss (112, 114, 214, 402, 904, 1702), wenn festgestellt wird, dass ein Prüfmodusindikator (304) aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann; und gleichzeitig (1506) mit dem Durchführen von E/A (1504) in Klartext auf dem Pfad, Aktivieren (1906; 2006) von Verschlüsselung (68) von Daten für E/A (1506) auf dem Pfad durch den Speicheranschluss.
  2. Verfahren nach Anspruch 1, wobei das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Security Association-, Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Speicheranschluss und dem Host-Anschluss aufweist.
  3. Verfahren nach Anspruch 2, wobei der Speicheranschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator (1602) für Klartext zulässig programmiert ist, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt.
  4. Verfahren nach Anspruch 3, das Verfahren darüber hinaus aufweisend: als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, wird der Speicheranschluss sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert.
  5. Verfahren nach Anspruch 4, das Verfahren darüber hinaus aufweisend: als Reaktion auf ein Feststellen durch den Speicheranschluss, dass der gesamte Klartext-Empfang abgeschlossen ist, weil ein Zeitgeber (1604) abgelaufen ist, nachdem eine Sicherheitszuordnung für die Übermittlung aktiviert worden ist, Programmieren (1908; 2008) des Speicheranschlusses derart, dass er keine Klartextdaten mehr verarbeitet.
  6. Verfahren nach Anspruch 5, wobei der Zeitgeber nach einer Auszeit abläuft, die ausreicht, um Klartextdaten zu löschen, die sich zu dem Zeitpunkt, zu dem die Übermittlung der verschlüsselten Daten auf dem Pfad begann, in einer Warteschlange für die Übermittlung befanden.
  7. Verfahren nach Anspruch 1, wobei keine E/A-Fehler erzeugt werden, wenn sowohl Klartextdaten als auch verschlüsselte Daten während eines vorher festgelegten Zeitraums, der durch einen Zeitgeber angegeben wird, auf dem Pfad ausgetauscht werden.
  8. System (100; 200; 2300), aufweisend: einen Speicher (2306; 2308); und einen mit dem Speicher verbundenen Prozessor (2304), wobei der Prozessor Arbeitsschritte durchführt, die Arbeitsschritte aufweisend: Aktivieren (1902; 2002) von Sicherheit an einem Speicheranschluss (116, 118, 210, 212, 406, 1706); Durchführen (1904; 2004), durch den Speicheranschluss, von Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss (112, 114, 214, 402, 904, 1702), wenn festgestellt wird, dass ein Prüfmodusindikator (304) aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann; und gleichzeitig (1506) mit dem Durchführen von E/A (1504) in Klartext auf dem Pfad, Aktivieren (1906; 2006) von Verschlüsselung (86) von Daten für E/A (1506) auf dem Pfad durch den Speicheranschluss.
  9. System nach Anspruch 8, wobei das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Speicheranschluss und dem Host-Anschluss aufweist.
  10. System nach Anspruch 9, wobei der Speicheranschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator (1602) für Klartext zulässig programmiert ist, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt.
  11. System nach Anspruch 10, wobei die Arbeitsschritte darüber hinaus aufweisen: als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, wird der Speicheranschluss sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert.
  12. System nach Anspruch 11, wobei die Arbeitsschritte darüber hinaus aufweisen: als Reaktion auf ein Feststellen durch den Speicheranschluss, dass der gesamte Klartext-Empfang abgeschlossen ist, weil ein Zeitgeber (1604) abgelaufen ist, nachdem eine Sicherheitszuordnung für die Übermittlung aktiviert worden ist, Programmieren (1908; 2008) des Speicheranschlusses derart, dass er keine Klartextdaten mehr verarbeitet.
  13. System nach Anspruch 12, wobei der Zeitgeber nach einer Auszeit abläuft, die ausreicht, um Klartextdaten zu löschen, die sich zu dem Zeitpunkt, zu dem die Übermittlung der verschlüsselten Daten auf dem Pfad begann, in einer Warteschlange für die Übermittlung des Pfades befanden.
  14. System nach Anspruch 8, wobei keine E/A-Fehler erzeugt werden, wenn sowohl Klartextdaten als auch verschlüsselte Daten während eines vorher festgelegten Zeitraums, der durch einen Zeitgeber angegeben wird, auf dem Pfad ausgetauscht werden.
  15. Computerprogrammprodukt, wobei das Computerprogrammprodukt ein durch einen Computer lesbares Speichermedium aufweist, auf dem durch einen Computer lesbarer Programmcode enthalten ist, wobei der durch einen Computer lesbare Programmcode konfiguriert ist zum Durchführen von Arbeitsschritten, die Arbeitsschritte aufweisend: Aktivieren (1902; 2002) von Sicherheit an einem Speicheranschluss (116, 118, 210, 212, 406, 1706); Durchführen (1904; 2004), durch den Speicheranschluss, von Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss (112, 114, 214, 402, 904, 1702), wenn festgestellt wird, dass ein Prüfmodusindikator (304) aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann; und gleichzeitig (1506) mit dem Durchführen von E/A (1504) in Klartext auf dem Pfad, Aktivieren (1906; 2006) von Verschlüsselung (68) von Daten für E/A (1506) auf dem Pfad durch den Speicheranschluss.
  16. Computerprogrammprodukt nach Anspruch 15, wobei das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Speicheranschluss und dem Host-Anschluss aufweist.
  17. Computerprogrammprodukt nach Anspruch 16, wobei der Speicheranschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator (1602) für Klartext zulässig programmiert ist, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt.
  18. Computerprogrammprodukt nach Anspruch 17, wobei die Arbeitsschritte darüber hinaus aufweisen: als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, wird der Speicheranschluss sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert.
  19. Computerprogrammprodukt nach Anspruch 18, wobei die Arbeitsschritte darüber hinaus aufweisen: als Reaktion auf ein Feststellen durch den Speicheranschluss, dass der gesamte Klartext-Empfang abgeschlossen ist, weil ein Zeitgeber (1604) abgelaufen ist, nachdem eine Sicherheitszuordnung für die Übermittlung aktiviert worden ist, Programmieren (1908; 2008) des Speicheranschlusses derart, dass er keine Klartextdaten mehr verarbeitet.
  20. Computerprogrammprodukt nach Anspruch 19, wobei der Zeitgeber nach einer Auszeit abläuft, die ausreicht, um Klartextdaten zu löschen, die sich zu dem Zeitpunkt, zu dem die Übermittlung der verschlüsselten Daten auf dem Pfad begann, in einer Warteschlange für die Übermittlung befanden.
  21. Computerprogrammprodukt nach Anspruch 15, wobei keine E/A-Fehler erzeugt werden, wenn sowohl Klartextdaten als auch verschlüsselte Daten während eines vorher festgelegten Zeitraums, der durch einen Zeitgeber angegeben wird, auf dem Pfad ausgetauscht werden.
  22. Computerlesbares Speichermedium, das eine Datenstruktur speichert, wobei die Datenstruktur aufweist: ein Sicherheitsbit (302), wobei das Sicherheitsbit Sicherheit an einem Speicheranschluss (116, 118, 210, 212, 406, 1706) aktiviert; und einen Prüfmodusindikator (304); einen Indikator (1602) für Klartext zulässig, wobei die Konfiguration des Indikators für Klartext zulässig von einer Einheit (100; 200; 2300) verwendet wird, um Arbeitsschritte durchzuführen, die Arbeitsschritte aufweisend: Aktivieren (1902; 2002) von Sicherheit an einem Speicheranschluss (116, 118, 210, 212, 406, 1706); Durchführen (1904; 2004), durch den Speicheranschluss, von Eingabe/Ausgabe (E/A) in Klartext auf einem Pfad zwischen dem Speicheranschluss und einem Host-Anschluss (112, 114, 214, 402, 904, 1702), wenn festgestellt wird, dass der Prüfmodusindikator (304) aktiviert wurde, um E/A selbst dann zuzulassen, wenn die Authentifizierung oder die Aushandlung der Sicherheitszuordnung zwischen dem Speicheranschluss und dem Host-Anschluss nicht erfolgreich abgeschlossen werden kann; und gleichzeitig (1506) mit dem Durchführen von E/A (1504) in Klartext auf dem Pfad, Aktivieren (1906; 2006) von Verschlüsselung (86) von Daten für E/A (1506) auf dem Pfad durch den Speicheranschluss.
  23. Computerlesbares Speichermedium, das die Datenstruktur speichert, nach Anspruch 22, wobei das gleichzeitige Aktivieren der Verschlüsselung von Daten ein Einleiten einer SA- (Sicherheitszuordnungs-) Verwaltungstransaktion zwischen dem Speicheranschluss und dem Host-Anschluss aufweist.
  24. Computerlesbares Speichermedium, das die Datenstruktur speichert, nach Anspruch 23, wobei der Speicheranschluss mit Schlüsselmaterial für ein Austauschen von verschlüsselten Daten zusammen mit einem Indikator (1602) für Klartext zulässig programmiert ist, der so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt.
  25. Computerlesbares Speichermedium, das die Datenstruktur speichert, nach Anspruch 24, wobei die Arbeitsschritte darüber hinaus aufweisen: als Reaktion darauf, dass der Indikator für Klartext zulässig so konfiguriert ist, dass er ein Austauschen von Klartextdaten auf dem Pfad gleichzeitig mit dem Austauschen von verschlüsselten Daten auf dem Pfad zulässt, wird der Speicheranschluss sowohl für ein Empfangen von Klartext als auch für ein Empfangen von verschlüsselten Daten unter Verwendung des Schlüsselmaterials konfiguriert.
DE112020003699.5T 2019-09-11 2020-09-02 Gleichzeitige aktivierung von verschlüsselung auf einem betriebspfad an einem speicheranschluss Active DE112020003699B4 (de)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/568,124 2019-09-11
US16/568,124 US11188658B2 (en) 2019-09-11 2019-09-11 Concurrent enablement of encryption on an operational path at a storage port
PCT/IB2020/058161 WO2021048700A1 (en) 2019-09-11 2020-09-02 Concurrent enablement of encryption on an operational path at a storage port

Publications (2)

Publication Number Publication Date
DE112020003699T5 DE112020003699T5 (de) 2022-04-21
DE112020003699B4 true DE112020003699B4 (de) 2023-04-20

Family

ID=74850975

Family Applications (1)

Application Number Title Priority Date Filing Date
DE112020003699.5T Active DE112020003699B4 (de) 2019-09-11 2020-09-02 Gleichzeitige aktivierung von verschlüsselung auf einem betriebspfad an einem speicheranschluss

Country Status (6)

Country Link
US (1) US11188658B2 (de)
JP (1) JP2022547804A (de)
CN (1) CN114365129A (de)
DE (1) DE112020003699B4 (de)
GB (1) GB2602234B (de)
WO (1) WO2021048700A1 (de)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11188658B2 (en) * 2019-09-11 2021-11-30 International Business Machines Corporation Concurrent enablement of encryption on an operational path at a storage port
US11188659B2 (en) * 2019-09-11 2021-11-30 International Business Machines Corporation Concurrent enablement of encryption on an operational path at a host port
US11308243B2 (en) 2019-09-11 2022-04-19 International Business Machines Corporation Maintenance of access for security enablement in a storage device
US11354455B2 (en) 2019-09-11 2022-06-07 International Business Machines Corporation Maintenance of access for security enablement on a host system

Citations (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6219771B1 (en) 1996-08-30 2001-04-17 Nec Corporation Data storage apparatus with improved security process and partition allocation functions
EP1276034A2 (de) 2001-07-13 2003-01-15 Hitachi, Ltd. Sicherheit für logische Einheit eines Speicherungsuntersystems
US20040107342A1 (en) 2002-07-22 2004-06-03 Duc Pham Secure network file access control system
US6832313B1 (en) 1999-07-21 2004-12-14 Fujitsu Services Limited Migration from in-clear to encrypted working over a communications link
US20060009195A1 (en) 2004-07-09 2006-01-12 Yayoi Itoh Wireless communications unauthorized use verification system
US7191437B1 (en) 2003-04-23 2007-03-13 Network Appliance, Inc. System and method for reliable disk firmware update within a networked storage fabric
US20100154053A1 (en) 2008-12-17 2010-06-17 David Dodgson Storage security using cryptographic splitting
US8166314B1 (en) 2008-12-30 2012-04-24 Emc Corporation Selective I/O to logical unit when encrypted, but key is not available or when encryption status is unknown
US8250625B2 (en) 2005-01-13 2012-08-21 Schweitzer Engineering Laboratories, Inc. Method and apparatus for reducing communication system downtime when configuring a crytographic system of the communication system
US8275950B2 (en) 1997-05-29 2012-09-25 Hitachi, Ltd. Fiber channel connection storage controller
US8799436B2 (en) 2009-07-14 2014-08-05 International Business Machines Corporation System and method for automated configuration control, audit verification and process analytics
US20160139845A1 (en) 2014-11-13 2016-05-19 Netapp Inc. Storage level access control for data grouping structures
US20160342798A1 (en) 2009-12-21 2016-11-24 Intel Corporation Protected device management
US20160378691A1 (en) 2015-06-25 2016-12-29 Intel Corporation System, apparatus and method for protecting a storage against an attack
US20190251282A1 (en) 2016-03-08 2019-08-15 Kalpesh S. Patel Cyber Security System and Method for Transferring Data Between Servers Without a Continuous Connection
US10389550B1 (en) 2018-04-10 2019-08-20 Cisco Technology, Inc. Priority tagging based solutions in FC SANs independent of target priority tagging capability

Family Cites Families (37)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7917944B2 (en) 2004-12-13 2011-03-29 Alcatel Lucent Secure authentication advertisement protocol
US20080022120A1 (en) 2006-06-05 2008-01-24 Michael Factor System, Method and Computer Program Product for Secure Access Control to a Storage Device
JP4767773B2 (ja) * 2006-06-29 2011-09-07 株式会社日立製作所 コンピュータシステム及びコンピュータシステムの認証情報変更方法
US8479266B1 (en) 2008-11-13 2013-07-02 Sprint Communications Company L.P. Network assignment appeal architecture and process
US7865629B1 (en) 2009-11-24 2011-01-04 Microsoft Corporation Configurable connector for system-level communication
US9058191B2 (en) 2010-03-22 2015-06-16 Qualcomm Incorporated Direct transfer of executable software image to memory allocated by target processor based on transferred image header
US8844025B2 (en) 2010-03-26 2014-09-23 Hewlett-Packard Development Company, L.P. Storage device access authentication upon resuming from a standby mode of a computing device
US9141831B2 (en) 2010-07-08 2015-09-22 Texas Instruments Incorporated Scheduler, security context cache, packet processor, and authentication, encryption modules
CN102063583B (zh) 2010-09-16 2013-02-13 广州世安信息技术有限公司 移动储存介质的数据交换方法及其装置
WO2013014702A1 (en) 2011-07-22 2013-01-31 Hitachi, Ltd. Computer system and data migration method thereof
US8649768B1 (en) 2011-08-24 2014-02-11 Cellco Partnership Method of device authentication and application registration in a push communication framework
US9143937B2 (en) 2011-09-12 2015-09-22 Qualcomm Incorporated Wireless communication using concurrent re-authentication and connection setup
US9274578B2 (en) 2012-05-09 2016-03-01 Apple Inc. Enable power from an accessory to a host device based on whether the accessory is able to alter an electrical characteristic of the power path
US9210178B1 (en) 2012-06-15 2015-12-08 Amazon Technologies, Inc. Mixed-mode authorization metadata manager for cloud computing environments
US9246898B2 (en) 2012-11-20 2016-01-26 Utility Associates, Inc. System and method for securely distributing legal evidence
US9705674B2 (en) * 2013-02-12 2017-07-11 Amazon Technologies, Inc. Federated key management
CN103425916B (zh) 2013-05-23 2016-04-13 陈飞 以安全准则为工作流程审计标准的安全操作装置和方法
CN104022867B (zh) 2014-06-10 2017-03-15 杭州华三通信技术有限公司 一种issu软重启预处理方法及设备
KR101552950B1 (ko) 2014-12-29 2015-09-14 주식회사 비젯 서버 및 네트워크 장비의 직접접근 제어시스템
US10210127B2 (en) 2015-07-13 2019-02-19 International Business Machines Corporation Storage system cabling analysis
US10033702B2 (en) 2015-08-05 2018-07-24 Intralinks, Inc. Systems and methods of secure data exchange
US10735195B2 (en) 2015-08-12 2020-08-04 Hewlett Packard Enterprise Development Lp Host-storage authentication
US10873458B2 (en) 2016-04-28 2020-12-22 Arnold G. Reinhold System and method for securely storing and utilizing password validation data
US9986436B2 (en) 2016-09-14 2018-05-29 Microsoft Technology Licensing, Llc Random password forced failure
US10614224B2 (en) 2017-05-15 2020-04-07 International Business Machines Corporation Identifying computer program security access control violations using static analysis
WO2018226265A1 (en) 2017-09-09 2018-12-13 Apple Inc. Implementation of biometric authentication
DE102018123103A1 (de) 2017-10-13 2019-04-18 Samsung Electronics Co., Ltd. Halbleitervorrichtung, die Sicherheitsschlüssel erzeugt, Verfahren zum Erzeugen eines Sicherheitsschlüssels und Verfahren zum Registrieren des Sicherheitsschlüssels
CN108173769B (zh) 2017-12-28 2021-01-05 盛科网络（苏州）有限公司 一种报文传输方法、装置及计算机可读存储介质
CN108197504B (zh) 2017-12-28 2022-01-11 湖南国科微电子股份有限公司 一种可控数据加解密系统及方法
US10402301B2 (en) 2018-01-08 2019-09-03 Microsoft Technology Licensing, Llc Cloud validation as a service
US11398894B2 (en) * 2018-06-20 2022-07-26 University Of Central Florida Research Foundation, Inc. System, method and computer readable medium for file encryption and memory encryption of secure byte-addressable persistent memory and auditing
CN208384574U (zh) 2018-07-17 2019-01-15 西安忆卓电子有限公司 一种基于usb数据传输的数据加密产品
CN209057241U (zh) 2018-12-29 2019-07-02 广东优信无限网络股份有限公司 网络安全审计系统
CN109510842B (zh) 2018-12-29 2021-01-29 北京威努特技术有限公司 一种工控网络文件强制访问控制策略配置的方法及装置
CN109995792B (zh) 2019-04-11 2021-08-31 苏州浪潮智能科技有限公司 一种存储设备的安全管理系统
CN110222531B (zh) 2019-05-31 2023-07-07 创新先进技术有限公司 一种访问数据库的方法、系统及设备
US11188658B2 (en) * 2019-09-11 2021-11-30 International Business Machines Corporation Concurrent enablement of encryption on an operational path at a storage port

Patent Citations (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6219771B1 (en) 1996-08-30 2001-04-17 Nec Corporation Data storage apparatus with improved security process and partition allocation functions
US8275950B2 (en) 1997-05-29 2012-09-25 Hitachi, Ltd. Fiber channel connection storage controller
US6832313B1 (en) 1999-07-21 2004-12-14 Fujitsu Services Limited Migration from in-clear to encrypted working over a communications link
EP1276034A2 (de) 2001-07-13 2003-01-15 Hitachi, Ltd. Sicherheit für logische Einheit eines Speicherungsuntersystems
US20040107342A1 (en) 2002-07-22 2004-06-03 Duc Pham Secure network file access control system
US7191437B1 (en) 2003-04-23 2007-03-13 Network Appliance, Inc. System and method for reliable disk firmware update within a networked storage fabric
US20060009195A1 (en) 2004-07-09 2006-01-12 Yayoi Itoh Wireless communications unauthorized use verification system
US8250625B2 (en) 2005-01-13 2012-08-21 Schweitzer Engineering Laboratories, Inc. Method and apparatus for reducing communication system downtime when configuring a crytographic system of the communication system
US20100154053A1 (en) 2008-12-17 2010-06-17 David Dodgson Storage security using cryptographic splitting
US8166314B1 (en) 2008-12-30 2012-04-24 Emc Corporation Selective I/O to logical unit when encrypted, but key is not available or when encryption status is unknown
US8799436B2 (en) 2009-07-14 2014-08-05 International Business Machines Corporation System and method for automated configuration control, audit verification and process analytics
US20160342798A1 (en) 2009-12-21 2016-11-24 Intel Corporation Protected device management
US20160139845A1 (en) 2014-11-13 2016-05-19 Netapp Inc. Storage level access control for data grouping structures
US20160378691A1 (en) 2015-06-25 2016-12-29 Intel Corporation System, apparatus and method for protecting a storage against an attack
US20190251282A1 (en) 2016-03-08 2019-08-15 Kalpesh S. Patel Cyber Security System and Method for Transferring Data Between Servers Without a Continuous Connection
US10389550B1 (en) 2018-04-10 2019-08-20 Cisco Technology, Inc. Priority tagging based solutions in FC SANs independent of target priority tagging capability

Also Published As

Publication number Publication date
GB2602234A (en) 2022-06-22
DE112020003699T5 (de) 2022-04-21
CN114365129A (zh) 2022-04-15
US11188658B2 (en) 2021-11-30
GB2602234B (en) 2022-10-12
US20210073394A1 (en) 2021-03-11
WO2021048700A1 (en) 2021-03-18
GB202204052D0 (en) 2022-05-04
JP2022547804A (ja) 2022-11-16

Similar Documents

Publication Publication Date Title
DE112020003699B4 (de) Gleichzeitige aktivierung von verschlüsselung auf einem betriebspfad an einem speicheranschluss
DE112020004289T5 (de) Einrichten einer sicherheitszuordnung und einer berechtigungsprüfung zum sichern einer datenübertragung zwischen einem initiator und einem antwortenden
DE60221113T3 (de) Verfahren und system für die fernaktivierung und -verwaltung von personal security devices
DE102014113582B4 (de) Vorrichtung, Verfahren und System für die kontextbewusste Sicherheitssteuerung in einer Cloud-Umgebung
DE102015122518A1 (de) Authentifizierung von Datenkommunikationen
DE112021001270T5 (de) Sicherer schlüsselaustausch in einer datenverarbeitungsumgebung
DE112020004286T5 (de) Einrichten einer sicherheitszuordnung und einer berechtigungsprüfung zum sichern einer datenübertragung zwischen einem initiator und einem antwortenden
DE112012002741T5 (de) Identitäts- und Berechtigungsprüfungsverfahren für die Sicherheit einer Cloud-Datenverarbeitungsplattform
DE112011100182T5 (de) Transaktionsprüfung für Datensicherheitsvorrichtungen
DE112020003731B4 (de) Gleichzeitige aktivierung von verschlüsselung auf einem betriebspfad an einem host-speicheranschluss
DE112012005564T5 (de) Sichere Peer-Ermittlung und Authentifizierung unter Verwendung eines gemeinsamen Geheimnisses
DE102020121805A1 (de) Sichern der fahrzeugprivatsphäre in einer fahrinfrastruktur
WO2013017394A1 (de) Zugangsregelung für daten oder applikationen eines netzwerks
EP2575385A1 (de) Verfahren zur Initialisierung und/oder Aktivierung wenigstens eines Nutzerkontos, zum Durchführen einer Transaktion, sowie Endgerät
DE112020003730T5 (de) Zugriffsverwaltung zur aktivierung von sicherheit in einer speichereinheit
DE112020003720T5 (de) Zugriffsverwaltung zur aktivierung von sicherheit auf einem host-system
DE102015106542A1 (de) Logische schalterarchitektur zur netzwerkvirtualisierung
CN106603567A (zh) 一种web管理员的登录管理方法及装置
DE102021122507A1 (de) Bereitstellen von isolierten containern zur verarbeitung von benutzeranforderungen
EP2723111B1 (de) Mehrfaktor-Authentifikation für mobile Endgeräte
US11251979B2 (en) Control of information units for encryption
WO2022069247A1 (de) Gerät und verfahren zur einrichtung einer dienstbezogenen authentisierung
EP2439900B1 (de) Verfahren und Vorrichtung zur Authentifizierung
CN108810069A (zh) 一种云审计系统
DE202014102898U1 (de) System und Computerprogrammprodukt zur Sicherstellung der Vertraulichkeit von während Authentifizierungs- und Autorisierungsvorgängen verwendeter Information

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R016 Response to examination communication
R018 Grant decision by examination section/examining division
R084 Declaration of willingness to licence
R020 Patent grant now final