Servervirtualisierung - mehrere IT-Dienste auf einem Rechner Datenverschlüsselung - wirksamer Schutz vor unliebsamen Zugriffen Computernotfallteam ...
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
ISSN 1866-4954 APRIL 2009 / 1
St e i nb uch C ent re for Computing
SCC
Steinbuch Centrum
für Computing
Servervirtualisierung – mehrere IT-Dienste
auf einem Rechner
Datenverschlüsselung – wirksamer Schutz
vor unliebsamen Zugriffen
Computernotfallteam für das KIT gegründet
Illustration: John Atkinson
KIT – die Kooperation von Forschungszentrum Karlsruhe GmbH
und Universität Karlsruhe (TH)
Karlsruhe Institute of Technology
SCC news 2009 /1
INHALT
Inband Management
Datenbank-Server (MS SQL)
4 vcs 1 vm A vm B vm X vm Y
Servervirtualisierung – mehrere IT-Dienste VCS-Management Resource Pool 1 Resource Pool 2
auf einem Rechner High Availability Cluster
Backup-Server (TSM)
ESX-Host 1-6 ESX-Host 7-12
7 Blade-server 1-6 Blade-server 1-6
Datenverschlüsselung – wirksamer
Schutz vor unliebsamen Zugriffen
10 H1S1 H1S2 H2S1 H2S2
Neuer CPU-Benchmark im Worldwide BC_H1 (SCC-CN) BC_H2 (OKD)
LHC Computing Grid
D-Grid
User
SAN
4
Data
13
Computernotfallteam für das KIT
gegründet
14
Das SCC stellt sich vor
In dieser Ausgabe: Die Abteilung Informations-
dienste und Datenmanagement (IDA)
18
SCC stellt Offline-Patches
für Windows bereit
19 7
Greylisting testweise
auf Campus Süd aktiviert
Spam-Flut deutlich reduziert
21
SCC baut KIT-weite Bürokommunika- Clustersystem Taktfrequenz Anzahl Jahr der
tionsinfrastruktur auf Cores
pro CPU
Inbetriebnahme
Intel Xeon 3,06 GHz 3,06 GHz 1 2004
21 AMD Opteron 270 2,00 GHz 2 2006 (Produktion)
Vielfältige Möglichkeiten mit Intel Xeon 5160 “Woodcrest” 3,00 GHz 2 2007 (Produktion)
dem KIT-Benutzerkonto AMD Opteron 2356 “Barcelona” 2,30 GHz 4 2008 (Testsystem)
Intel Xeon E5345 “Clovertown” 2,33 GHz 4 2008 (Produktion)
22 Intel Xeon E5430 “Harpertown” 2,66 GHz 4 2008 (Produktion)
Prof. Dr. Adolf Schreiner AMD Opteron 2376 “Shanghai” 2,30 GHz 4 2009 (Testsystem)
10
feiert 80. Geburtstag
22
Notepad++ statt UltraEdit
für Windows-Umgebungen
23
IT-Sicherheitsexperte der Bundeswehr
hielt Vortrag am SCC
23
SCC auf der Internationalen Supercompu-
ting Conference SC2008 in Austin/Texas
14
2
SCC news 2009 / 1
EDITORIAL
Liebe Leserinnen und Leser,
die Zahl der eingesetzten IT Services und die Abhängigkeit von diesen
Diensten nehmen seit Jahren stetig zu. Durch den Einsatz von Virtualisie-
rungstechniken ist es möglich, mehrere IT-Dienste auf einem physikalischen
Server zu konsolidieren und so die vorhandenen Computerressourcen
optimal zu nutzen. Die Vorteile liegen dabei klar auf der Hand: Servervir-
tualisierung führt nicht nur zu einer Reduktion der Betriebskosten und einer
vereinfachten Wartung, sondern bietet auch ganz neue Managementfunk-
tionalitäten. Auch das SCC betreibt mehrere Virtualisierungs-Serverfarmen,
um den rund 8.000 Mitarbeitern und mehr als 18.000 Studierenden hoch-
verfügbare IT-Dienste zur Verfügung zu stellen. Prof. Dr. Hannes Hartenstein
Foto: Privat
Aber nicht nur die angebotenen IT-Dienste werden immer zahlreicher, auch
die IT-Ausstattung wird immer vielfältiger und vor allen Dingen mobiler.
Viele Leute sind heutzutage mit Notebooks, PDAs, externen Festplatten
oder USB-Sticks unterwegs. Mit der Mobilität wächst jedoch auch das
Risiko, ein Gerät und damit schützenswerte Daten zu verlieren. Abhilfe
bieten geeignete Verschlüsselungsverfahren, die solche Daten vor fremden
Zugriffen schützen.
Wenn das Kind jedoch bereits in den Brunnen gefallen ist – sprich ein
Angriff erfolgreich war - dann bietet das vom SCC neu gegründete Com- Prof. Dr. Wilfried Juling
puternotfallteam für das KIT (KIT-CERT) Unterstützung und Hilfe bei der Foto: Privat
Wiederaufnahme eines geregelten Betriebs an. Dies gilt natürlich nicht für
verloren gegangene Datenträger.
Viel Vergnügen bei der Lektüre wünschen Ihnen
Hannes Hartenstein, Wilfried Juling und Klaus-Peter Mickel
Klaus-Peter Mickel
Foto: Privat
IMPRESSUM
April 2009
Herausgegeben im Auftrag des Direktoriums des Steinbuch Centre Redaktion:
for Computing (SCC) von der Stabsstelle Öffentlichkeitsarbeit Ursula Scheller (verantwortlich)
und Kommunikation Telefon: 0721/608-4865
Anschrift: Steinbuch Centre for Computing (SCC) E-Mail: ursula.scheller@kit.edu
Redaktion SCC-News Layout und Bildredaktion: John Atkinson
Zirkel 2
76128 Karlsruhe bzw. Redaktionell bearbeitete Texte werden mit (red) gekennzeichnet. Nachdruck
Hermann-von-Helmholtz-Platz 1 und elektronische Weiterverwendung von Texten und Bildern nur mit aus-
76344 Eggenstein-Leopoldshafen drücklicher Genehmigung der Redaktion.
Fax: 0721/32550
http://www.rz.uni-karlsruhe.de/publikationen/scc-news.php
3
SCC news 2009 /1
Servervirtualisierung – mehrere IT-Dienste
auf einem Rechner
Die Zahl der eingesetzten IT-Dienste sowie die Abhängigkeit von diesen nehmen seit Jahren zu, und es ist
kein Ende dieses Trends abzusehen. Die klassische Sicht „ein Dienst gleich ein Server“ führt zu einem nicht
mehr vertretbaren Aufwand für Anschaffung und Betrieb der Systeme. Als Lösung bietet sich an, durch den
Einsatz von Virtualisierungstechniken mehrere IT-Dienste auf einem physikalischen Server zu konsolidieren.
Neben der Reduktion der Betriebskosten ermöglicht dieser Ansatz auch neue Managementfunktionalitäten.
Das SCC stellt den rund 8.000 Mitarbeitern und mehr als 18.000 Studierenden am KIT sowie für nationale
und internationale Projekte IT-Dienste in großer Vielfalt zur Verfügung. Dabei kommen im harten 24-Stun-
den-Produktionsbetrieb an sieben Tagen in der Woche mehrere Virtualisierungs-Serverfarmen auf Basis von
VMware ESX zum Einsatz.
Virtualisierung beschreibt Konzepte und Technologien, um Administration, usw. Aktuell wird davon ausgegangen, dass
Computerressourcen effektiver und flexibler nutzbar zu ma- durch den Einsatz von Servervirtualisierung die Investitionen
chen und ist heute eher eine strategische als eine technische in neue Hard- und Software um bis zu 70% sinken können
Frage. Der Anwender erhält dabei stets eine wunschgemäße, und Kosteneinsparungen von bis zu 50% erreichbar sind.
abstrakte Sicht auf physische Ressourcen-Pools. Die optimierte Virtualisierung zählt laut Gartner zu den wichtigsten Tech-
Ressourcennutzung ergibt sich daraus, dass unterschiedliche nologien bis zum Jahr 2010. Laut einer IDG (International
Anwendungen auf einem physischen Rechner konsolidiert Data Group)-Studie zum Thema Servervirtualisierung vom
werden können. Eine virtuelle Maschine läuft in einer isolierten Juni 2008 rechnen Unternehmen, die Servervirtualisierung
Umgebung auf einem realen System und verhält sich dabei nutzen, 2009 mit einem Zuwachs von 52 Prozent an neu zu
wie ein vollwertiger Computer mit eigenen Komponenten virtualisierenden Servern.
wie Bios, CPU, Hauptspeicher, Festplatten, Grafikkarte,
Netzwerkkarten, usw. Für die Anwendung selbst ist nicht Vereinfachte Wartung
ersichtlich, dass sie virtualisiert läuft [1].
Virtuelle Maschinen können über die Funktion der Live-
Die Virtualisierung wird im Server- und Desktop-Bereich Migration im laufenden Betrieb unterbrechungsfrei zwischen
bereits seit Ende der 90er Jahre verstärkt genutzt. Allerdings realen Servern verschoben werden, ohne dass die Nutzer dies
handelt es sich dabei nicht um eine völlig neue Technologie. bemerken. Wartungsarbeiten an der Hardware werden dadurch
Tatsächlich wurde die Virtualisierung bei Großrechnern stark vereinfacht, da diese zu beliebigen Zeiten durchgeführt
bereits vor über 40 Jahren von IBM mit der Virtual Machine werden können und hardwarebedingte Wartungsfenster prinzi-
Facility/370, kurz VM/370 eingeführt. Auch damals war piell entfallen. Außerdem können durch Hinzufügen weiterer
das Ziel die optimierte Nutzung der Computerressourcen. Server den virtualisierten Diensten im laufenden Betrieb
Auf der VM/370 wurde Mehrbenutzerbetrieb ermöglicht, zusätzliche Ressourcen zur Verfügung gestellt werden.
indem mehrere Einzelbenutzerbetriebsinstanzen in virtuellen
Maschinen ausgeführt wurden. Jede virtuelle Maschine stellt Minimale Leistungseinbußen
eine vollständige Nachbildung der darunter liegenden, phy-
sischen Hardware dar [2]. Heutzutage kann Virtualisierung Der Ausfall einer virtuellen Maschine beeinflusst nicht die
auch in Mikroprozessorumgebungen ähnlich zuverlässig Stabilität der übrigen virtuellen Maschinen oder des Hosts.
und skalierbar wie in Großrechnern betrieben werden. Eine Software-Tests und Software-Entwicklung werden optimiert,
virtuelle Infrastruktur kann dabei nahezu alle Aspekte eines denn zusätzliche Testumgebungen können ohne die Bereit-
modernen Rechenzentrums verwalten, wie Server, Netze, stellung weiterer Hardware innerhalb von Minuten aufgesetzt
Datenspeicher, Software, Anwendungen, aber auch komplette werden. Legacy-Betriebssysteme oder Legacy-Anwendungen,
Desktop-Systeme. Der Zugriff erfolgt in diesem Fall in der also historische Anwendungen, für die keine Hardware-Unter-
Regel über einen energiesparenden Thin-Client. Konsoli- stützung mehr zu bekommen ist, können durch Virtualisierung
dierungsfaktoren von bis zu 40 aktiven Desktops auf einem am Leben gehalten werden.
Server sind problemlos möglich.
Es gibt eigentlich keine Gründe, die gegen den Einsatz von
Kostensenkung durch bessere Hardware-Auslastung Virtualisierung im Serverkontext sprechen, außer der Sorge
des Administrators, dass man auf eine virtuelle Maschine kein
Der Einsatz von Servervirtualisierung und die damit einher- Inventar-Label kleben kann. Die Leistungseinbußen virtueller
gehende Konsolidierung ermöglicht eine bessere Auslastung Maschinen liegen im Vergleich zu realer Hardware, nach
der Hardware. Dieses führt zu einer Kostensenkung bei unseren praktischen Erfahrungen bei lediglich 5%-10%. Bei
Hardware, Verbrauchskosten (Strom, Kühlung), Stellplätzen, aktuellen Mehrkernprozessor-Systemen spielt dieser Leistungs-
4
SCC news 2009 / 1
verlust zunehmend eine forderung der einzel-
untergeordnete Rolle, da nen virtuellen Server
genügend CPU-Zyklen können diese daher zu
zur Verfügung stehen. jedem Zeitpunkt op-
Ungeeignet für Virtua- timal auf die physika-
lisierung sind lediglich lischen Server verteilt
Systeme mit speziellen werden. Durch Anle-
Hardware-Anforderun- gen von Ressourcen-
gen wie beispielswei- Pools lassen sich die
se Kopierschutzstecker virtuellen Systeme
(Hardwaredongles) oder unterschiedlich prio-
ISDN-Karten. risieren, um Vereinba-
rungen zu garantierter
Illustration: John Atkinson
Eine potenzielle Gefahr Güte und Verfügbar-
beim Einsatz von Servervirtualisierung und der damit einher- keit (Service Level Agreements) für Ressourcen oder Dienste
gehenden Serverkonsolidierung ist, dass beim Ausfall eines zu garantieren.
Hosts mehrere virtuelle Server gleichzeitig ausfallen. Hier
sind geeignete Ausfallkonzepte und redundante Installationen Servervirtualisierung am SCC
notwendig. Da die Sicherung gegen Ausfälle dabei aber zentral
auf der Ebene der Virtualisierung erfolgt, entfällt meist die Bereits im Sommer 2006 begann die intensive Auseinander-
Notwendigkeit, die einzelnen IT-Dienste selbst gegen Ausfall setzung mit Virtualisierungstechniken am SCC. Ziel war es
zu sichern. Eine weitere Gefahr ist, dass Sicherheitslücken von Anfang an, den Betrieb hochverfügbarer Infrastrukturen
auf der Virtualisierungsebene das Potenzial haben, laufende zu gewährleisten. Zudem sollten künftige IT-Installationen
virtuelle Maschinen zu kompromittieren. Es existieren aber ressourcenschonende Aspekte vorweisen können – Green
Lösungen, die auch für die höchsten Sicherheitsstandards IT in der Praxis sozusagen. Das Besondere bei dem ange-
zertifiziert sind (zum Beispiel VMware ESX). strebten Projekt war, dass sich nahezu 25 Universitäten und
wissenschaftliche Einrichtungen im Zuge der so genannten
Neue Managementfunktionalitäten D-Grid-Initiative zusammengeschlossen hatten, um eine in-
tegrierte Ressourcen-Plattform für Hochleistungsrechner zu
Bei der Virtualisierung wird zwischen der Hardware und den schaffen, die große Mengen von Daten und Informationen
virtualisierten Systemen eine zusätzliche Softwareschicht einge- sowie entsprechende Dienstleistungen vereint. Der Betrieb
zogen. Die dadurch erreichte Kontrolle über die virtualisierten der Basisdienste des verteilten Systems musste dabei natürlich
Systeme ermöglicht ganz neue Managementfunktionalitäten. rund um die Uhr gesichert sein [3].
So können beliebige Snapshots von laufenden Systemen
angelegt werden, das heißt der momentane Zustand wird Aufgrund der guten Erfahrungen mit den Virtualisierungs-
abgespeichert und kann jederzeit wieder hergestellt werden. umgebungen lag es auf der Hand, dass weitere IT-Dienste
Dadurch lassen sich zentral „von außen“ Backups der virtu- ebenfalls auf virtueller Basis funktionieren sollten. Um die
ellen Systeme erstellen, ohne in jedem virtuellen System eine Umsetzung möglichst kontrolliert ablaufen zu lassen, wurde
eigene Backupsoftware installieren zu müssen. In Test- und zunächst eine Arbeitsgemeinschaft und schließlich die SCC-
Entwicklungsszenarien ist es möglich, bestimmte Versionen Abteilung Integration und Virtualisierung (IVI) gegründet.
zu sichern und bei Bedarf ohne größeren Aufwand zu diesen Ziel ist es, nach und nach möglichst viele Services am Institut
zurückzukehren, falls in der Entwicklung etwas schief geht. zu virtualisieren und eine Strategie „Virtualize first“ bei der
Einrichtung neuer Dienste zu etablieren [4].
Da virtuelle Maschinen in einem Image-File gespeichert wer-
den, ist die Zeit für die Bereitstellung eines neuen virtuellen Derzeit werden mehrere Virtualisierungs-Cluster auf Basis
Servers inklusive installiertem Betriebssystem und gegebe- von VMware ESX und Xen am SCC betrieben. Das aus dem
nenfalls installierter Anwendungen im Wesentlichen durch oben erwähnten Projekt hervorgegangene VMware-Cluster
die Dauer des Kopiervorgangs vorgegeben. Durch Anlegen umfasst momentan 12 IBM-Bladeserver verteilt über zwei
von Template-Bibliotheken lassen sich für vielfältige Zwecke Bladecenter an zwei Standorten auf dem Campus Nord des
Vorlagen zur schnellen Erzeugung von virtuellen Systemen KIT. Insgesamt stehen 48 CPU-Cores mit 112 GHz Leistung
vorhalten. und 192 GB RAM zur Verfügung. Für die Speicherung der
virtuellen Maschinen stehen etwa 5 TB Plattenkapazität
Die Virtualisierungsschicht ermöglicht es, die vorhandenen bereit, die über das allgemeine Storage Area Network (SAN)
Ressourcen (CPU, RAM, usw.) über mehrere physikalischen angeschlossen sind. Alle Server sind mit zwei HBAs (Host
Server hinweg zu verwalten. Je nach aktueller Leistungsan- Bus Adapter) über getrennte Switches an das SAN und mit 4
5
SCC news 2009 /1
Netzwerkkarten über zwei getrennte Switches ans Netzwerk Test- und Entwicklungssysteme.
(LAN) vollständig redundant angeschlossen. Der Ausfall einer
einzelnen Komponente beeinträchtigt daher den Betrieb nicht. Für GridKa, das deutsche Tier1-Zentrum des LHC-Com-
Sollte ein Bladeserver ausfallen, werden die betroffenen virtu- puting-Grids (LHC=Large Hadron Collider), betreibt die
ellen Maschinen von der VMware-HA-Funktionalität (High SCC-Abteilung Verteilte Systeme und Grid (VSG) zwei wei-
Availability) vollautomatisch auf anderen Servern neu gestartet tere ESX-Hostsysteme. Die hier laufenden etwa 25 virtuellen
und stehen innerhalb weniger Minuten wieder zur Verfügung. Maschinen stellen verschiedene Grid-Basisdienste bereit bzw.
Durch die Verteilung der Server auf zwei Standorte ist selbst gehören zum „Pre-Production System“, auf dem neue Software-
versionen vor dem produktiven Einsatz getestet werden.
Inband Management Aber auch weitere Institute innerhalb des KIT nutzen die
Vorteile, die der Einsatz der Servervirtualisierung bietet. So
betreibt das SCC für das Institut für Prozessdatenverarbei-
tung und Elektronik (IPE) zwei virtuelle Umgebungen. In
Datenbank-Server (MS SQL)
vcs 1 vm A vm B vm X vm Y einem Fall wird dabei auf einem einzelnen ESX-Hostsystem
die komplexe Netzwerktopologie der Datenerfassung für das
VCS-Management Resource Pool 1 Resource Pool 2
Auger-Experiment in Argentinien nachgebildet. Die insgesamt
High Availability Cluster 48 virtuellen Maschinen werden mit der originalen hierar-
chischen Netzwerktopologie auf einem einzigen Server-Blade
Backup-Server (TSM)
ESX-Host 1-6 ESX-Host 7-12
zusammengefasst und ermöglichen so Entwicklung und Test
von Softwarekomponenten unter „realen“ Bedingungen. Die
andere virtuelle Umgebung dient der Entwicklung verteilter
Blade-server 1-6 Blade-server 1-6 MATLAB-Anwendungen in Grid-Umgebungen und umfasst
25 virtuelle Maschinen. Für diese wird keine getrennte Hard-
ware eingesetzt sondern das oben bereits erwähnte VMware-
Cluster aus 12 IBM-Bladeservern parasitär genutzt. Dies
ist ein gutes Beispiel für die Synergieeffekte, die sich durch
Virtualisierung erzielen lassen. Weiterhin setzt das Institut
für Angewandte Informatik (IAI) zwei VMware-Hostsysteme
zur Serverkonsolidierung ein, unter anderem um Kapazi-
H1S1 H1S2 H2S1 H2S2
tätsengpässe in der Kühlung des eigenen Rechnerraums zu
BC_H1 (SCC-CN) BC_H2 (OKD) vermeiden.
D-Grid
Christian Baun, Dr. Marcel Kunze, Dr. Jens-Michael Milke
User
SAN
Data
Quellen
[1] Baun C, Kunze M, Ludwig T (2009) Servervirtualisierung.
Das ESX-Cluster aus 12 Bladeservern ist auf zwei Standorte (SCC und Springer-Verlag.
Stabsabteilung Organisation und Kaufmännische Datenverarbeitung) auf http://www.springerlink.com/content/h387wm5110563745/fulltext.
dem Campus Nord verteilt. Der Verwaltungsserver (vcs1) läuft als virtuelle pdf (Zugriff: 6. Februar 2009)
Maschine auf dem Cluster. Zur Datensicherung werden Snapshots der virtu-
ellen Maschinen in einem TSM-Bandarchiv gespeichert. [2] Bengel G, Baun C, Kunze M, Stucky K-U (2008) Masterkurs
Parallele und Verteilte Systeme: Grundlagen und Programmierung
von Multicoreprozessoren, Multiprozessoren, Cluster und Grid.
bei komplettem Ausfall eines Standorts noch ein Weiterbetrieb Vieweg und Teubner, Wiesbaden
möglich, wenn auch in eingeschränktem Umfang. Neben den [3] Kulla F, Kunze M, Virtualization of Grid Services in D-Grid, 1. GI/
ca. 50 VMs, die für Grid-Basisdienste bzw. als Testsysteme für ITG KuVS Fachgespräch „Virtualisierung“ Paderborn, 2008 pp.65,
D-Grid eingesetzt werden, laufen auf dem Cluster weitere 90 http://www.fachgespraech-virtualisierung.de/fileadmin/FGV/TR-
VMs aus unterschiedlichen Bereichen, darunter beispiels- RI08291.pdf
weise das Portal für die Beantragung von X.509-Zertifikaten [4] Im Namen der Wissenschaft: Virtualisierung beim Steinbuch
(GridKa-CA). Centre for Computing am Karlsruhe Institute of Technology.
http://www.it-administrator.de/themen/server_client/facharti-
kel/51584.html (Zugriff: 6. Februar 2009)
Neben der Abteilung IVI betreibt auch die SCC-Abteilung
Server und Systeme (SYS) zwei HA-Cluster auf Campus Nord
und Süd. Hier stehen insgesamt 7 ESX-Hostsysteme mit 56
CPU-Cores (168 GHz) und 256 GB RAM zur Verfügung.
Die beiden Cluster können auf insgesamt 4,4 TB Plattenka-
pazität zugreifen. Sowohl SAN- als auch LAN-Anbindung
sind ebenfalls vollständig redundant ausgelegt. Die etwa 160
virtuellen Maschinen erbringen verschiedenste IT-Dienste wie
Domänenkontroller, Web-, Überwachungs-, SAP, Exchange-,
Radius-, Antiviren- und Lizenzserver und dienen auch als
6
SCC news 2009 / 1
Datenverschlüsselung – wirksamer Schutz
vor unliebsamen Zugriffen
„Ich habe gar keine geheimen Daten auf meinem Notebook!“. Diese oder eine ähnliche Antwort hört man
häufig, wenn es darum geht, die Festplatte eines Rechners zu verschlüsseln. Das Argument, keine geheimen
Daten zu haben, mag subjektiv zutreffen, in vielen Fällen wird jedoch der Wert der eigenen Daten massiv un-
terschätzt. Dabei bieten geeignete Verschlüsselungsverfahren wirksamen Schutz vor fremdem Zugriff.
Während unpublizierte Forschungs- allen Daten, die der letzte Anwender sich. Das größte Risiko ergibt sich
ergebnisse noch offenkundig schüt- aufgespielt hat. Ein Löschen ist vor direkt aus der gewünschten Hauptei-
zenswert sind, fällt dies bei vielen an- dem Einschicken an den Hersteller genschaft der Verschlüsselung: Zugriff
deren Daten nicht sofort auf. Daten, aber nicht mehr so ohne Weiteres mög- auf die Daten kann nur derjenige er-
die ebenfalls sensitiv sind, an die aber lich, da die Festplatte ja defekt ist. Ein langen, der den korrekten Schlüssel
häufig nicht gedacht wird, sind bei- ähnliches Szenario spielt sich häufig beziehungsweise das Passwort kennt.
spielsweise Personaldaten jeglicher Art, dann ab, wenn ein Mitarbeiter aus- Vergisst der legitime Besitzer der Daten
insbesondere auch Beurteilungen und scheidet und sein Arbeitsplatzrechner das Kennwort, mit dem diese Daten
dergleichen, Patentdaten, aber auch einem anderen Kollegen „vermacht“ verschlüsselt wurden, so gibt es auch
Passwörter, Lizenzinformationen und wird. Auch hier wird mitunter nicht für ihn keine Möglichkeit mehr, an
nicht zuletzt persönliche Daten. Sind so gründlich aufgeräumt, wie es wün- die Daten zu gelangen. Dieses Pro-
diese Daten wirklich so unwichtig, schenswert wäre. blem wird je nach eingesetzter Software
wie es den Anschein hat? Dabei sollte noch verstärkt durch die Tatsache, dass
man sich selbst einmal fragen: Würde Alle diese Risiken können durch die häufig das vom Benutzer eingegebene
es mir etwas ausmachen, wenn diese Verschlüsselung von Daten oder ganzen Kennwort nicht direkt als Schlüssel für
Daten allesamt am Schwarzen Brett der Datenträgern wirksam umgangen wer- die Verschlüsselung verwendet wird.
Mensa ausgehängt würden? Eine solche den, Voraussetzung ist natürlich eine Vielmehr wird der eigentliche Schlüssel
Vorstellung ist wohl in den meisten korrekte Anwendung. Kommt ein ver- seinerseits mit dem Benutzerkennwort
Fällen nicht besonders angenehm. schlüsselter Datenträger in die Hände verschlüsselt und so gespeichert. Dieses
Unbefugter, auf welchem Weg auch Vorgehen bringt einige wesentliche
Darüber hinaus wird die IT-Ausstattung immer, so sind die darauf gespeicher- Vorteile mit sich, aber auch die Gefahr,
immer mobiler: Notebooks, PDAs, ten Daten dennoch entsprechend der dass zufällig genau der mit dem Kenn-
externe Festplatten, USB-Sticks und Stärke der verwendeten Verschlüsse- wort verschlüsselte Schlüssel verloren
dergleichen erfreuen sich wachsender lungsalgorithmen und des verwendeten geht, beispielsweise indem ein Block
Beliebtheit, weil man damit auch von Kennworts sicher. der Festplatte beschädigt wird, was
wechselnden Standorten und unter- relativ häufig vorkommt. Geht nun
wegs arbeiten kann. Mit der Mobilität Die Prozessoren in heutigen Arbeits- just der „richtige“ Block kaputt, so ist
wächst aber auch das Risiko, dass ein platzrechnern erlauben, vom Anwender damit auch der Schlüssel verloren, mit
Gerät und damit auch schützenswerte in aller Regel völlig unbemerkt, die Ver- dem die verschlüsselten Daten wieder
Daten verloren gehen. Je mobiler ein schlüsselung der gesamten Festplatte. herzustellen gewesen wären. Mitunter
Gerät ist und je sensibler die darauf Aktuelle Rechner sind typischerweise bietet die Verschlüsselungssoftware aus
enthaltenen Daten, desto wichtiger ist so leistungsstark, dass selbst die Ver- genau diesem Grund die Möglichkeit,
es, angemessene Schutzmaßnahmen schlüsselung der gesamten Festplatte diesen wichtigen Schlüsselblock bei-
zu ergreifen. nur ungefähr 5 % der Rechenleistung spielsweise auf eine CD zu brennen,
benötigt, wenn permanent auf der um im Notfall noch eine zweite Kopie
Aber nicht nur mobile Geräte sind Platte gelesen oder geschrieben wird. zu haben.
gefährdet. Ein Weg, auf dem Daten Bei USB-Sticks und dergleichen fällt
verloren gehen können, wird häufig die Verschlüsselung noch weit weniger Sicherungskopien verschlüsselt oder
übersehen: Der Garantiefall. Heutzuta- ins Gewicht, weil bei diesen Geräten unverschlüsselt?
ge ist es üblich, dass beispielsweise Fest-die Geschwindigkeit der Datenüber-
platten, die innerhalb der Garantiezeit tragung in der Regel durch die USB- Ein weiteres Problem ist das Herstellen
ihren Dienst quittieren, eingeschickt Schnittstelle viel deutlicher beschränkt von Backups. Jedes Rechnersystem
werden müssen, um Ersatz zu erhal- ist, als dies bei normalen Festplatten mit einigermaßen wichtigen Daten
ten. Diese eingeschickten Festplatten, der Fall ist. sollte regelmäßig gesichert werden,
bei denen häufig die Steuerelektronik um einen Datenverlust zu vermeiden.
defekt ist, werden vom Hersteller mit Vermeidbare Risiken Typischerweise werden dabei nur die
einer neuen Steuerplatine ausgerüstet Teile eines Datenträgers gesichert, die
und dann als Austauschgerät wieder in Aber die Verschlüsselung von Daten sich gegenüber der letzten Sicherung
Umlauf gebracht, und zwar mitsamt bringt natürlich auch Nachteile mit geändert haben, um Platz zu sparen.
7
SCC news 2009 /1
Dies wird erschwert oder gar unmög- Bereiche, häufig „Cryptocontainer“ jeder Schlüssel damit nur einer einzigen
lich gemacht, wenn Teile der Daten genannt, schafft Abhilfe für einige der Person bekannt ist. Diese und weitere
verschlüsselt werden. Ein verschlüssel- genannten Probleme. Die Anwendung Fragen sollten bei der Entscheidung für
ter Datenbereich muss bei der kleinsten ist in der Praxis für den Benutzer re- ein Verfahren und ein konkretes Pro-
Änderung der in ihm enthaltenen Da- lativ einfach, da für einen ganzen ge- dukt zumindest im Hinterkopf präsent
ten komplett gesichert werden. Zudem schützten Bereich nur ein einziges Mal sein, um nicht im Nachhinein böse
muss überlegt werden, ob das Backup beim Systemstart bzw. bei der ersten Überraschungen zu erleben.
seinerseits auch wieder verschlüsselt Benutzung danach ein Kennwort ein-
werden muss. Je nachdem, wogegen gegeben werden muss, unabhängig da- KIT-CERT empfiehlt Verschlüsselung
genau der Einsatz von Verschlüsselung von, wie viele Dateien in dem Bereich des Gesamtsystems
schützen soll, wird das eigentliche Ziel abgelegt sind. Auch sinkt das Risiko,
konterkariert, wenn unverschlüsselte dass wichtige Daten nicht verschlüsselt Das Computer Emergency Response
Sicherungskopien der Daten angelegt werden, weil sie übersehen wurden. Team (KIT-CERT) empfiehlt, das ge-
werden. Systemdateien können aber in aller samte System zu verschlüsseln, wann
Regel auch mit diesem Verfahren nicht immer dies möglich ist. Hierfür stehen
Möglichkeiten der Verschlüsselung geschützt werden, so dass beispielsweise für verschiedene Betriebssysteme unter-
die Swap-Datei-Problematik auch hier schiedliche Softwarepakete zur Verfü-
Wenn auf einem Rechner schützens- wieder besteht. Ein weiterer Nachteil gung. Nachfolgend werden einige Lö-
werte Daten gespeichert werden, so ist ist die geringere Flexibilität, denn der sungen vorgestellt, ohne dass Anspruch
die Verwendung von Verschlüsselung gesamte Cryptocontainer wird zwangs- auf Vollständigkeit erhoben wird.
empfehlenswert. Grundsätzlich gibt es läufig mit einem einzigen Kennwort
Windows
in der Praxis drei Möglichkeiten, Daten verschlüsselt. Es ist also nicht mehr
zu verschlüsseln: möglich, jeder Datei ein eigenes Pass- Für Windows existieren eine Reihe
wort zuzuordnen. geeigneter Produkte, die aus Sicht des
• Verschlüsselung einzelner Dateien KIT-CERT empfehlenswert sind. Zu-
• Verschlüsselung einzelner Daten- Die Verschlüsselung des gesamten Sys- sätzlich wird mit Windows Vista bereits
bereiche (Partitionen, Container) tems schließlich löst auch das letzt- mit Bordmitteln die Möglichkeit zur
• Verschlüsselung ganzer Systeme. genannte Problem. Sämtliche Daten Verschlüsselung des gesamten Systems
eines Systems werden geschützt, so dass gegeben; die Windows-eigene Lösung
Die unmittelbarste Methode ist die keinerlei Gefahr besteht, versehentlich heißt Bitlocker. Von Drittanbietern sind
Verschlüsselung einzelner Dateien. Daten übersehen zu haben. Allerdings TrueCrypt, BestCrypt und FreeOTFE
Jede zu verschlüsselnde Datei wird ist hierfür ein sehr tiefgehender Ein- (Free On-The-Fly Encryption) verfügbar,
dabei einzeln verschlüsselt und in ver- griff in das Betriebssystem nötig. Ins- die unterschiedliche Formen der Ver-
schlüsselter Form auf dem Datenträger besondere muss in den Bootvorgang schlüsselung unterstützen. Bei TrueCrypt
gespeichert. Dieses Verfahren ist auch eingegriffen werden, denn das Be- und FreeOTFE handelt es sich um ko-
am flexibelsten in dem Sinne, dass triebssystem steht ja nur verschlüsselt stenfreie Software, BestCrypt hingegen
der Anwender sehr genau kontrollie- zur Verfügung. Es muss also vor dem ist kommerzielle Software. FreeOTFE
ren kann, welche Dateien verschlüs- eigentlichen Laden des Betriebssystems gibt es zusätzlich zur normalen Win-
selt werden sollen und welche nicht. die Festplatte entschlüsselt werden, was dows-Version auch noch als Windows
Zudem kann im Prinzip jede Datei entsprechende Software voraussetzt. Mobile Version, so dass es auf Windows
mit einem individuellen Kennwort Dafür ist dieses Verfahren völlig trans- Mobile-6-basierten Mobiltelefonen zum
gesichert werden. Trotzdem hat diese parent für den Benutzer und sichert Einsatz kommen kann. Leider bietet
Methode einige gravierende Nach- das gesamte System ab, ohne dass der FreeOTFE im Gegensatz zu den übrigen
teile. Wesentlicher Nachteil ist es, dass Benutzer etwas dafür tun muss, abge- Produkten nicht die Möglichkeit, das
das Verfahren sehr aufwändig ist. Je sehen von der Eingabe des Kennworts gesamte System zu verschlüsseln, sondern
mehr Daten zu schützen sind, desto beim Booten. kann lediglich Datenpartitionen oder
mehr muss der Benutzer dafür tun. -container sichern.
Zudem läuft der Anwender ständig Bei der Wahl des Verschlüsselungs-
Linux
Gefahr, eine Datei zu übersehen, und verfahrens sollten auch noch weitere
zu allem Überfluss können typischer- Aspekte bedacht werden. Sollen Daten Auch unter Linux gibt es einige Software-
weise nicht alle Dateien eines Systemsmit anderen Rechnern geteilt werden, pakete, die das Gewünschte leisten. Un-
mit dieser Methode geschützt werden. gar über Betriebssystemgrenzen hin- ter „Bordmittel“ fällt die Verschlüsselung
Gerade Swap-Dateien, in denen das weg? In diesem Fall ist es unerlässlich, mit Hilfe von LUKS (Linux Unified Key
Betriebssystem bei Bedarf Teile des ein Verfahren zu wählen, das auf allen Setup) beziehungsweise dm-crypt. Viele
Hauptspeichers auslagert, enthalten relevanten Systemen verfügbar ist. Sol- aktuelle Linux-Distributionen unter-
häufig interessante Informationen wie len Daten mit anderen Anwendern stützen diese Form der Verschlüsselung
Passwörter und ähnliches, sind aber geteilt werden? Dann ist es ratsam, ein bereits nativ. Alternativ hierzu kann man
mit dieser Methode in der Regel nicht Produkt zu verwenden, das es erlaubt, auch auf BestCrypt oder TrueCrypt zu-
zu schützen. mehrere verschiedene Schlüssel zu ver- rückgreifen; beide Produkte stehen auch
wenden, damit jeder einzelne Anwen- in Linux-Versionen zur Verfügung, so
Die Verwendung ganzer verschlüsselter der einen eigenen Schlüssel hat und dass mit BestCrypt oder TrueCrypt auf
8
SCC news 2009 / 1
verschlüsselte Daten sowohl unter Win- dukte erlauben es, mehrere Kennwörter unbedingt und regelmäßig auch min-
dows als auch unter Linux zugegriffen zu vergeben, mit denen eine Entschlüs- destens noch an einer zweiten Stelle
werden kann. Aber auch LUKS-basierte selung erfolgen kann. Ein derartiger An- abgelegt werden. Dafür bietet das SCC
Verschlüsselung kann unter Windows satz ist dem Teilen von Passwörtern mit die Datensicherung per TSM (Tivoli
verwendet werden: FreeOTFE unter- Dritten unbedingt vorzuziehen. Storage Manager) an. Bei sensiblen Da-
stützt LUKS-basierte Verfahren. ten wird auch hierbei die Möglichkeit
Separates Notebook für Dienstreisen der Verschlüsselung empfohlen. Für ein
MacOS X
Windows-System geschieht dies bei-
Unter MacOS X steht neben dem mit- Verschlüsselung schützt letztlich nicht spielsweise über folgende Anweisungen
gelieferten „hdiutil“ auch TrueCrypt zur vor staatlichem Zugriff. Obwohl die in der TSM-Options-datei „dsm.opt“:
Verfügung. Wird der Datenaustausch Verschlüsselung auf technischer Ebene
mit Windows- oder Linux-Systemen vermutlich in den allermeisten Fällen encryptkey save
angestrebt, so sollte folglich TrueCrypt nicht angegriffen werden kann, wird encryptiontype aes128
verwendet werden. im Zweifelsfall auf die Herausgabe des include.encrypt “d:\...\*“
Kennwortes hingearbeitet werden. Zu
Kennwort enorm wichtig beachten ist außerdem, dass in anderen Damit werden im oben genannten
Ländern durchaus die Verwendung von Beispiel alle zu sichernden Dateien des
Unabhängig davon, welches Verschlüs- starker Verschlüsselung illegal sein kann. Laufwerks D über den TSM-Klienten
selungsverfahren und welches Produkt Gibt es also beispielsweise bei Auslands- mit dem bei der ersten Verwendung
eingesetzt werden, sollten einige Hin- dienstreisen Zweifel oder Befürchtungen, abgefragten Kennwort verschlüsselt und
weise stets beachtet werden: Jede Ver- dass ernsthaftes Interesse daran besteht, so im Backupsystem abgelegt. Der Be-
schlüsselung ist grundsätzlich nur so an die fraglichen Daten zu gelangen, so nutzer muss auch hier seinen Schlüssel an
gut wie das verwendete Kennwort. Es hilft Verschlüsselung nicht weiter. Ge- sicherer Stelle aufbewahren, bei Verlust
besteht immer die Gefahr eines so ge- rade in letzter Zeit wurde diesbezüglich oder Vergessen kommt niemand mehr
nannten „Brute Force-Angriffs“, bei über einige Staaten in der Tagespresse an die unverschlüsselten Daten.
dem wahrscheinliche Passwörter einfach berichtet. Das KIT-CERT empfiehlt oh-
stupide durchprobiert werden. Ist das nedies ganz allgemein, für Dienstreisen Ab TSM Version 5.5.1 gibt es alter-
gewählte Passwort zu schwach, so ist es ein separates Notebook zu benutzen, das nativ auch die Möglichkeit, dass das
sehr wahrscheinlich, dass die Verschlüs- ganz gezielt nur die allernötigsten Daten Verschlüsselungskennwort bei der ersten
selung auf diese Weise leicht zu brechen enthält und insbesondere nach jedem TSM-Sicherung dynamisch erzeugt und
ist. Allgemein ist von der Verwendung Einsatz komplett neu aufgesetzt wird. in verschlüsselter Form auf dem TSM-
von Wörtern, Geburtsdaten, Namen Dies ist beispielsweise im Institutsrah- Server aufbewahrt wird. Um diesen Me-
und ähnlichem abzuraten; eine probate men mit verhältnismäßig wenig Auf- chanismus verwenden zu können, ist in
Methode zum Generieren eines sicheren wand möglich. Dasselbe gilt in analoger der TSM-Optionsdatei statt der Anwei-
Passworts ist es, sich einen ganzen Satz Weise für Mobiltelefone und PDAs. sung „encryptkey save“ die Anweisung
auszudenken, der möglichst komplex „encryptkey generate“ zu verwenden.
ist und Zahlen enthält, beispielsweise: Bei der Verschlüsselung mobiler Datenträ-
„Ich gehe um acht Uhr in die Vorle- ger, beispielsweise USB-Sticks oder mobi- Das KIT-CERT empfiehlt daher all-
sung, da ist der Hörsaal immer leer!“, len Festplatten, ist zu bedenken, dass zum gemein die Verwendung geeigneter
und dann die Anfangsbuchstaben, Zah- Entschlüsseln das Passwort eingegeben Verschlüsselungsverfahren, wo immer
len und Satzzeichen als Kennwort zu werden muss. Wird der Datenträger an dies möglich ist, steht bei Fragen und
verwenden, im konkreten Beispiel also einem fremden Rechner entschlüsselt, so Problemen gerne zur Verfügung und
„Igu8UidV,didHil!“ Während das Kenn- besteht damit grundsätzlich die Gefahr, dass bietet Unterstützung beim Einrichten
wort schwer zu behalten ist und sicher die Tastatureingaben protokolliert werden von verschlüsselten Datenträgern.
in keinem Wörterbuch auftaucht, so und das Kennwort damit kompromittiert
kann man sich den Merksatz doch leicht wird. Es gibt zahlreiche Beispiele für Viren Tobias Dussa, Wolfgang Preuß
einprägen. Dieses Beispiel sollte natürlich und Trojanische Pferde, die ein derartiges
nicht mehr verwendet werden. Verhalten zeigen; ein solches Protokoll ist Weitere Informationen
also nicht unbedingt auf den Besitzer des http://www.freeotfe.org
Je mehr Personen von einem Kennwort fremden Rechners zurückzuführen. http://www.truecrypt.org
wissen, desto höher ist die Wahrschein- http://www.jetico.com
lichkeit, dass das Passwort irgendwann Wird unter Beachtung dieser Grundregeln http://de.wikipedia.org/wiki/
kompromittiert wird. Idealerweise ist ein eine geeignete Form der Verschlüsselung Festplattenverschlüsselung
Kennwort genau einem einzigen Anwen- angewendet, so kann das Risiko unge- http://www.bsi.de/gshb/deutsch/m/
der bekannt und wird überhaupt nicht wollten Datenverlusts bereits wirkungsvoll m04278.htm
mit anderen Personen geteilt. In diesem gesenkt werden. http://testlab.sit.fraunhofer.de/content/
Zusammenhang sei betont, dass bei- output/project_results/bitlocker/
spielsweise Vertretungsregelungen und Zweite Datenablage empfehlenswert BitLocker-Leitfaden.pdf
ähnliches auch nicht per se erfordern, http://www.fzk.de/fzk/idcplg?
Passwörter mehreren Personen bekannt Zur Vermeidung von Datenverlusten IdcService=FZK&node=5302
zu machen. Viele der vorgestellten Pro- sollten die originalen Benutzerdaten
9
SCC news 2009 /1
Neuer CPU-Benchmark im
Worldwide LHC Computing Grid
Wie viel Rechenleistung ist beim Grid Computing Centre Karlsruhe (GridKa) momentan verfügbar? Das ist
eine häufig gestellte, aber nicht ganz einfach zu beantwortende Frage. Eine internationale Arbeitsgruppe
hat jetzt einen neuen Standard erarbeitet, nach dem die großen Hochenergiephysik-Rechenzentren, allen
voran die am LHC (Large Hadron Collider)-Projekt beteiligten Grid-Zentren, die von ihnen bereitgestellte
CPU-Kapazität messen können. Das SCC war daran maßgeblich beteiligt.
Der Large Hadron Collider (LHC), der voraussicht- neutrale, leicht benutzbare Software zur Messung einer
lich im Spätsommer/Herbst 2009 am Europäischen weiten Bandbreite von Systemkomponenten (so ge-
Forschungszentrum CERN nach Reparatur erneut in nannte Benchmarks) von der CPU-Performance über
Betrieb genommen werden soll, wird gewaltige Da- JAVA, File-, Mail- und Webserver, Grafikkomponenten,
tenmengen produzieren. Um allen beteiligten Forscher- Hochleistungsrechner bis hin zur Stromaufnahme von
gruppen weltweit einen möglichst effizienten Zugriff Servern zu entwickeln [2].
auf diese Daten zu ermöglichen, wurde das Worldwide
LHC Computing Grid (WLCG) gestartet. Im Rahmen WLCG setzt auf SPEC CPU-Benchmark-Suite
dieses Grid-Projekts werden die LHC-Rohdaten an 12
Von Anfang an setzte das WLCG auf die SPEC CPU-
weltweit verteilte Tier1-Rechenzentren verteilt, auf die
Benchmark-Suite (anfangs SPEC CPU95, zuletzt auf
wiederum eine Reihe von regionalen kleineren Zentren
den Nachfolger SPEC CPU2000). Diese Suite besteht
(Tier2) zugreifen können.
aus jeweils einem Satz von Integer-Benchmarks, wel-
che die Ganzzahl-Rechenleistung der CPU bestimmen
In Deutschland nimmt das vom SCC betriebene Grid
sowie Floating-Point-Benchmarks zur Ermittlung der
Computing Centre Karlsruhe (GridKa) die Rolle des
vor allem in wissenschaftlichen Berechnungen wich-
Tier1-Zentrums wahr [1]. Dazu sind zurzeit 4,3 PB (Pe-
tigen Gleitkomma-Rechenleistung. Es werden keine
tabyte, netto) an Plattensystemen installiert, knapp 5
fertigen Binärpakete ausgeliefert, sondern die Quell-
PB sind auf Magnetbändern verfügbar, und daneben
programme, die erst vor Ort mit den vorhandenen
gibt es ein „großes“ PC-Cluster zur Auswertung der
Compilern in Maschinensprache übersetzt werden. Als
Daten (Stand: 1. Oktober 2008).
Programmiersprache wurden C, C++ und Fortran ver-
wendet.
Genaues Messverfahren erforderlich
Apropos „groß“: Wie kann man die „Größe“ eines sol- Wegen der im Hochenergie-Physik (HEP)-Umfeld
chen Clusters messen? Die Anzahl der verwendeten weitgehend dominierenden Ganzzahl-Berechnun-
Rechnerschränke (30 bis 35) mag für den Außenste- gen wurden im WLCG bisher nur die Integer-Bench-
henden zwar recht anschaulich und verständlich sein, marks verwendet. Für viele Systeme sind in der Er-
ist aber sicher kein aussagekräftiges Maß. Die Zahl der gebnisdatenbank der SPEC (www.spec.org) zwar
Systeme (rund 1.100) auch nicht, denn aufgrund der entsprechende, in der Regel von den Herstellern
turnusmäßigen, in der Regel jährlichen Erweiterungen gemessene und veröffentlichte Performancedaten
sind stets mehrere System-Generationen nebenein- abrufbar. Jedoch wurden die dort veröffentlichten
ander im Einsatz. Die zurzeit „langsamsten“ Knoten Ergebnisse von den Rechnerherstellern in der Re-
haben 2 Prozessoren mit jeweils 1 Kern (single-core), gel in optimierten Systemumgebungen ermittelt und
die schnellsten besitzen dagegen jeweils zwei 4-Kern- lassen sich nicht unmittelbar auf die bei den WLCG-
CPUs und sind damit um ein mehrfaches leistungsfä- Zentren installierte Systemumgebung übertragen.
higer! Um die Vergleichbarkeit und die Reproduzierbar-
keit der Messungen zu garantieren, wurde deshalb
In einem internationalen Gemeinschaftsprojekt wie seitens des WLCG Management Boards das Be-
dem WLCG, in dem die Anforderungen an die von den triebssystem, in dem die Messungen vorzunehmen
beteiligten Zentren bereitzustellenden Ressourcen ver- sind (= die von den Zentren installierte Linux-Dis-
bindlich festgelegt sind, ist ein wesentlich genaueres, tribution), der Compiler (bisher gcc-3.4) sowie die
reproduzierbares Messverfahren unbedingt notwendig. zu verwendenden Compiler-Optimierungsoptionen
Dazu hat man sich auf die SPEC CPU-Benchmarks ge- verbindlich vorgeschrieben.
einigt.
Neuer Standard erarbeitet
Die 1988 von mehreren Workstation-Herstellern ge-
Im Laufe der Zeit werden neue Rechnergenerationen
gründete System Performance Evaluation Corporation,
immer schneller und mit immer mehr Hauptspeicher
später in Standard Performance Evaluation Corporation
ausgestattet. Entsprechend wird die Anwendungssoft-
(SPEC) umbenannt, hat sich das Ziel gesetzt, hersteller-
10SCC news 2009 / 1
Intel Xeon 3,06 GHz
AMD Opteron 270 SPECint_base2000 (skaliert)
SPECint_base2006 (skaliert)
Intel Xeon 5160
HEP-SPEC06 (skaliert)
AMD Opteron 2356
Intel Xeon E5345
Intel Xeon E5430
AMD Opteron 2376
Abb. 1: Vergleichsstudie über die Skalierung verschiedener Varianten der SPEC-CPU-Benchmarks. Dabei wurden die Integer-Bench-
marks der Suites SPEC CPU2000 und CPU2006 sowie der Satz der C++-Benchmarks (HEP-SPEC06) auf mehreren Generationen von
Clustersystemen gemessen (s. Tabelle 1). Zur besseren Vergleichbarkeit ist jeweils das Verhältnis zum ältesten System (mit CPUs vom
Typ Intel Xeon 3,06 GHz) dargestellt. Es fällt auf, dass der ältere Benchmark CPU2000 auf neueren Systemen, vor allem mit Intel-CPUs,
deutlich bessere Performancedaten errechnet als der aktuelle CPU2006. Ursache sind die großen lokalen Caches der Intel-CPUs, in
denen wesentliche Teile des Benchmarks Platz haben, so dass die vergleichsweise niedrige Zugriffsgeschwindigkeit der CPUs auf den
Hauptspeicher nicht angemessen mit berücksichtigt wird. Systemumgebung: Scientific Linux 4, 32bit; Compiler: GNU Compiler Collec-
tion (gcc) 3.4; Compileroptionen: -O2 -pthread -fPIC.
ware immer umfangreicher und ressourcenhungriger. markergebnisse für A etwa 50 Prozent besser sein als
Die verwendeten Benchmarks müssen deshalb in re- für B. Beim bisher verwendeten Benchmark auf der
gelmäßigen Abständen überprüft und angepasst wer- Basis des SPEC CPU2000 hat sich gezeigt, dass die-
den. se Skalierung zuletzt mit jeder neuen Rechnergenera-
tion schlechter wurde. Ein wesentlicher Grund sind die
2008 war es wieder so weit. Die HEPiX (High Energy immer weiter vergrößerten, schnellen CPU-Caches, in
Physics UNIX Interest Group) [3], an der nahezu alle denen immer größere Teile des SPEC CPU2000 Platz
großen HEP-Rechenzentren weltweit beteiligt sind, finden, so dass die Leistungsfähigkeit der Anbindung
trifft sich zweimal jährlich zu einem einwöchigen Ge- der CPU an den Hauptspeicher immer weniger in die
dankenaustausch. Bei einem der letzten Treffen wurde gemessene Gesamtperformance einfließt. Jedoch ist
eine Arbeitsgruppe gegründet, die nun einen aktuellen gerade das - neben der eigentlichen CPU-Architektur -
Standard erarbeitet hat [4, 5]. ein wesentlicher Faktor.
Dieser muss mehrere Anforderungen erfüllen. In erster Daneben muss ein Benchmark aber auch einfach
Linie muss dieser Standard natürlich mit den Anwen- anwendbar sein. Ein Quasi-Industriestandard wie die
dungsprogrammen skalieren: Wenn die realen Re- SPEC-Benchmarks ist dafür bestens geeignet. Die
chenjobs (im Mittel) auf Rechner A 50 Prozent schneller HEPiX Benchmarking Working Group hat sich für die
sind als auf Rechner B, dann sollen auch die Bench- aktuelle Benchmark-Suite SPEC CPU2006 entschie-
11SCC news 2009 /1
den, die insgesamt 29 Einzel-Benchmarks in 2 Sätzen Literatur
enthält: 12 Integer-Benchmarks (genannt CINT2006)
[1] SCC news 2, September 2008, S. 8
sowie 17 Floating-Point-Benchmarks (CFP2006) zur [2] http://www.spec.org
Ermittlung der vor allem in wissenschaftlichen Berech- [3] https://www.hepix.org
nungen wichtigen Gleitkomma-Rechenleistung. Davon [4] H. Meinhard: IHEPCCC/HEPiX Benchmarking WG Status
sind 12 Benchmarks in der Programmiersprache C, 7 in Report. HEPiX Spring 2008, Genf (http://indico.cern.ch/getFile.py/
C++ und 6 in Fortran geschrieben. Vier weitere Bench- access?contribId=44&sessionId=11&resId=2&materialId=slides&c
onfId=27391)
marks verwenden sowohl C als auch Fortran. [5] H. Meinhard: (IHEPCCC/)HEPiX Benchmarking Working Group
Status Update. HEPiX Fall 2008, Taipeh (http://indico.twgrid.org/
Mehrere Varianten der aktuellen Suite SPEC CPU2006 getFile.py/access?contribId=140&sessionId=91&resId=2&materialId
– Integer-, Floatingpoint-Benchmarks sowie die Samm- =slides&confId=471)
lung der in C++ geschriebenen Benchmarks – wurden [6] M. Alef: CPU Benchmarking at GridKa. HEPiX Fall 2008, Taipeh
(http://indico.twgrid.org/materialDisplay.py?contribId=139&sessionI
auf allen derzeit vorhandenen Typen von Clustersyste- d=91&materialId=slides&confId=471)
men gerechnet und auf einigen Knoten auch mit meh- [7] M. Michelotto, M. Alef, M. Bly et.al.: A comparison of HEP code
reren relevanten HEP-Codes verglichen [6, 7]. Dabei with SPEC benchmark on multicore worker nodes. CHEP 2009
hat sich gezeigt, dass sowohl die Integer- als auch die
C++-Benchmarks sehr gut mit den HEP-Anwendungen
skalieren. Deshalb fiel die Entscheidung letztendlich auf
die C++-Variante, für die der Name HEP-SPEC06 ge-
wählt wurde.
Und um noch einmal auf die ursprüngliche Fragestel-
lung zurückzukommen: GridKa stellt momentan eine
CPU-Kapazität von knapp 47.000 HEP-SPEC06 bereit
— oder anschaulich ausgedrückt, rund 1.100 Cluster-
Systeme mit zusammen rund 6.150 CPU-Kernen bei
einer mittleren Rechenleistung von 7,64 HEP-SPEC06
pro Kern bzw. 42,7 HEP-SPEC06 pro Rechner!
Manfred Alef
Clustersystem Taktfrequenz Anzahl Jahr der
Cores Inbetriebnahme
pro CPU
Intel Xeon 3,06 GHz 3,06 GHz 1 2004
AMD Opteron 270 2,00 GHz 2 2006 (Produktion)
Intel Xeon 5160 “Woodcrest” 3,00 GHz 2 2007 (Produktion)
AMD Opteron 2356 “Barcelona” 2,30 GHz 4 2008 (Testsystem)
Intel Xeon E5345 “Clovertown” 2,33 GHz 4 2008 (Produktion)
Intel Xeon E5430 “Harpertown” 2,66 GHz 4 2008 (Produktion)
AMD Opteron 2376 “Shanghai” 2,30 GHz 4 2009 (Testsystem)
Tab. 1: Hardwaredetails der in Abb. 1 dargestellten Clustersysteme.
12SCC news 2009 / 1
Computernotfallteam für das KIT gegründet
Um als zentrale Anlaufstelle für das gesamte KIT im Bereich der IT-Sicherheit wirksam arbeiten zu
können, hat die SCC-Abteilung IT-Security und Service-Management (ISM) das Computer Emergency
Response Team des KIT (KIT-CERT) gegründet. Das KIT-CERT arbeitet sowohl präventiv als auch reaktiv.
Einerseits werden mit Methoden der Einbruchs- und Schadsoftwareerkennung der Datenfluss vom und
zum KIT auf eventuelle Angriffe hin untersucht und gegebenenfalls entsprechende Abwehrmaßnahmen
eingeleitet, andererseits werden bei konkreten Vorfällen den Mitgliedern des KIT Unterstützung und
Hilfe bei der Wiederaufnahme eines geregelten Betriebs sowie bei der Eindämmung und Beseitigung
von Beeinträchtigungen durch Schadsoftware angeboten. Mit seiner Gründung hat das KIT-CERT die
Aufgaben des SCC-Abuse-Teams übernommen.
Webseiten des CERT Kontaktinformationen des KIT-CERT
Das KIT-CERT unterhält eigene Webseiten, auf denen Die Kontaktinformationen des KIT-CERT können auf
auch Vorfälle aus dem Bereich der IT-Sicherheit mit- den Webseiten abgerufen werden. Daneben ist auch
tels eines Webformulars gemeldet werden können. Die der PGP-Fingerabdruck der beiden Teamschlüssel ein-
Webseiten sind erreichbar unter http://www.kit.edu/ sehbar. Die Kontaktdaten des KIT-CERT sind folgen-
cert/. Falls die Meldung von Vorfällen über elektroni- de:
sche Formulare nicht möglich ist, kann auch auf eine
Papier-Alternative zurückgegriffen werden. Telefonnummer: +49 721 608-5678
Faxnummer: +49 721 608-9030
Informationen des CERT Webseite: http://www.kit.edu/cert
E-Mail: cert@kit.edu
Das KIT-CERT betreibt eine Mailingliste, über die In-
Ansprechpartner: Adrian Wiedemann, Tobias Dussa
formationen zum KIT-CERT versendet werden. Diese
Liste ist öffentlich und kann von jedem abonniert wer-
PGP-Fingerprint: 69AF DA25 704D FD54 3BA1 C408
den (unter https://www.lists.kit.edu/sympa/info/cert-
291D 553C D742 DE72
info). Warnungen zu akuten, KIT-relevanten Sicher-
E-Mail: abuse@kit.edu
heitsproblemen werden über die an beiden Stand-
PGP-Fingerprint: FAE4 2005 21A6 9A39 A2AE E796
orten einschlägigen Kommunikationskanäle verteilt.
8331 4ABC 2885 1430
Für den Campus Süd ist das die Mailingliste mit den
Wartungsankündigungen (https://www.lists.uni-karls-
Das KIT-CERT stellt für die sichere Kommunikation per
ruhe.de/sympa/info/wartung), für den Campus Nord
E-Mail PGP-Schlüssel bereit.
existieren vier Mailverteiler, um die entsprechenden
Mitarbeiter zu erreichen: Der IT-Expertenkreis, PC-
Adrian Wiedemann, Tobias Dussa
Arbeitskreis, die LAN- sowie NT- Koordinatoren.
Kooperation mit anderen CERTs
Das KIT-CERT befindet sich derzeit in der Akkreditie-
rungs- und Aufnahmephase in verschiedene CERT-
Verbünde, um in engerer Zusammenarbeit mit ande-
ren CERTs effizienter arbeiten zu können. Die dafür
notwendigen Voraussetzungen wurden umgesetzt,
entsprechende Anträge gestellt und die Aufnahmepro-
zesse eingeleitet, so dass mit einiger Zuversicht davon
ausgegangen werden kann, dass die Mitgliedschafts-
anträge in naher Zukunft positiv beschieden werden.
13SCC news 2009 /1
Das SCC stellt sich vor
In dieser Ausgabe: Die Abteilung Informationsdienste
und Datenmanagement (IDA)
Rainer Kupsch studierte Mathematik und Physik an der Freien Universität Berlin.
Seit März 1973 ist er als Wissenschaftlicher Mitarbeiter am Forschungszentrum
Karlsruhe tätig. Zunächst arbeitete er in der Abteilung „Anwendungsunter-
stützung“ mit Schwerpunkt Datenbanken, 1995 übernahm er die Leitung der
Gruppe „Anwendungssysteme“. Seit August 2002 war er Leiter der Abteilung
„Datendienste, Anwendungen, Systemüberwachung und Infrastruktur (DASI)“
sowie Stellvertreter des Institutsleiters am Institut für Wissenschaftliches Rechnen
(IWR) am Forschungszentrum Karlsruhe. Mit der Gründung des SCC übernahm
er die Leitung der Abteilung IDA.
(red)
Foto: Ulrich Weiß
Ulrich Weiß, stellvertretender Abteilungsleiter, absolvierte an der Universität
Karlsruhe den Studiengang Informatik mit dem Ergänzungsfach Grafik Design,
das er an der University of Oregon in Eugene, USA, studierte. Bereits während
seiner Studienzeit arbeitete er im MicroBIT, dem Beratungs- und Informationsteam
des Universitätsrechenzentrums. Direkt im Anschluss an sein Studium steuerte
er maßgeblich den Aufbau des Internetauftritts der Universität Karlsruhe. Es
folgten fünf Jahre Tätigkeiten als Geschäftsführer der PropackExpo GmbH, einer
virtuellen Fachmesse im Bereich Prozess- und Verpackungstechnik, sowie die
Position des technischen Leiters der Gruner & Jahr Computerchannel GmbH in
Frankfurt und München. Seit seiner Rückkehr an das Universitätsrechenzentrum
im Jahr 2002 koordiniert Ulrich Weiß mit der Einführung eines zentralen Content
Management-Systems den Aufbau, die Struktur und Pflege der Internetauftritte
und Portale der Universitätseinrichtungen. Seit 2008 leitet er die IDA-Gruppe
„Web-, Informationsdienste und Portale (WIP)“.
Foto: Privat (red)
Jos van Wezel, stellvertretender Abteilungsleiter, studierte Biologie und In-
formatik an der Universität von Amsterdam in den Niederlanden. Zu Beginn
seiner Berufstätigkeit arbeitete er im Bereich Systemadministration an der Vrije
Universiteit. Von dort zog es ihn zum Forschungszentrum Karlsruhe, wo er seit
sechs Jahren für Massenspeicher und Fileserver des Grid Computing Centre
Karlsruhe (GridKa) verantwortlich ist. Seit der Restrukturierung am SCC leitet
er zusätzlich die IDA-Gruppe „Data Access Data Management (DADM)“, die
komplexe Speichersysteme für Anwendungen und Benutzerservices auf dem
KIT-Campus und für eine internationale Benutzergemeinde entwickelt, instal-
liert und betreut.
(red)
Foto: Ulrich Weiß
14Sie können auch lesen
