Системные администраторы давно нуждаются в способах защиты сообщений Outlook от копирования, пересылки, вывода на печать и запрета доступа к сообщениям после определенной даты. До недавнего времени такие возможности предоставляли исключительно инструменты и службы независимых поставщиков. В соответствии с инициативой Trustworthy Computing, учитывая требования к конфиденциальности цифровой информации, Microsoft предложила продукт Windows Rights Management Services (RMS) for Windows Server 2003 (http://www.microsoft.com/windowsserver2003/rm) для защиты документов и сообщений. Не следует путать RMS с DRM (Digital Rights Management — управление цифровыми правами), платформой Microsoft для безопасного распространения видео, аудио и других цифровых мультимедиа-файлов, которые пользователи могут воспроизводить только на компьютерах с авторизованным лицензионным ключом. С помощью реализованных в RMS функций управления информационными правами (Information Rights Management — IRM) организации могут ограничить круг лиц, работающих с документом или почтовым сообщением, и определить операции, которые можно производить с документом или сообщением.

Экран 1. Использование общедоступного сервера RMS для наложения ограничений

Компоненты RMS: размещаемый внутри предприятия Windows RMS Server, который работает с Windows 2003; Microsoft Office Professional Edition 2003 — первое клиентское приложение, с помощью которого можно создавать и читать защищенные документы; клиент Windows Rights Management (RM), обеспечивающий совместную работу приложений с RMS; модуль расширения Rights Management Add-on for Internet Explorer (RMA), клиентский компонент, который позволяет задействовать Microsoft Internet Explorer (IE) 6.0 Service Pack 1 (SP1) или IE 5.5 SP2 (для клиентов Windows Me) для просмотра — но не изменения — защищенного контента; комплекс разработки программ (SDK) для проектирования дополнительных клиентских приложений и серверных инструментов RMS. Имеется также неподдерживаемый инструментальный пакет, который позволяет более глубоко заглянуть в базу данных RMS и располагает некоторыми функциями управления.

Принцип работы RMS

RMS представляет собой модуль расширения Web-службы ASP.NET на основе языка Extensible Rights Markup Language (XrML — более подробную информацию об XrML можно найти по адресу http://www.xrml.org). Сервер RMS генерирует лицензии на использование цифрового контента и проверяет учетные данные, разрешая доступ к контенту авторизованным пользователям. После того как пользователь Office Professional 2003 или RMA осуществит начальную регистрацию машины и адреса электронной почты на сервере RMS, для отправки и чтения защищенных сообщений требуется выполнить лишь несколько дополнительных шагов.

Экран 2. Проверка авторизации получателя и получение лицензии на доступ

Принцип работы RMS следующий: пользователь задействует RMS-совместимое приложение (например, одну из программ Office Professional 2003 — Microsoft Office Outlook 2003) для назначения прав доступа к документу или почтовому сообщению. Приложение устанавливает связь с RMS-сервером, чтобы получить подписанную лицензию, содержащую информацию о том, как автор сообщения хочет защитить информацию, затем вставляет лицензию в файл или сообщение. Приложение шифрует файл или сообщение перед его сохранением или отправкой.

Когда получатель открывает файл или сообщение в RMS-совместимом приложении, программа передает лицензию и учетные данные пользователя в RMS-сервер, запрашивая лицензию на использование. После того как RMS-сервер проверит учетные данные и выдаст лицензию на использование, приложение дешифрует файл или сообщение, выводит его на экран и реализует назначенную автором политику разрешений.

Единственная политика разрешений для почтовых сообщений Outlook — Do Not Forward, которая блокирует пересылку, печать, копирование и распечатку экрана Windows (хотя последнюю операцию можно выполнить с помощью сторонних инструментов захвата экрана). Microsoft Office Excel 2003, Office PowerPoint 2003 и Office Word 2003 располагают более широкими функциями, о которых будет рассказано далее.

Активизация RMS в Outlook 2003

Процедура активизации RMS в Outlook 2003 или другом приложении Office 2003 состоит из двух этапов: установки клиента Windows RM и настройки конфигурации Outlook или Office для использования с конкретным RMS-сервером.

Экран 3. Защищенное RMS почтовое сообщение с защищенным отдельно присоединенным документом

Для развертывания RM-клиента на обычном предприятии удобно задействовать Microsoft Systems Management Server (SMS) или Group Policy. Если RM-клиент еще не установлен, то при первом щелчке пользователя Outlook на команде Do Not Forward (из меню File, Permission) для нового сообщения на экране появляется приглашение загрузить новейшую версию RM-клиента. Если пользователь подключен к Internet и щелкнул на кнопке Yes, то Outlook загружает установочный файл msdrmclient.msi. Загруженная программа разворачивает RM-клиента и предпринимает попытку активизации, установив соединение с сервером компании Microsoft. Прежде чем устанавливать на предприятии собственный сервер RMS, можно поэкспериментировать с общедоступным сервером RMS Microsoft. Чтобы назначить учетные данные для своего адреса электронной почты, пользователю необходимо зарегистрироваться на корпоративном сервере RMS или общедоступном сервере Microsoft (для этого требуется учетная запись Microsoft .NET Passport). В настоящее время доступ к экспериментальному серверу предоставляется бесплатно, но компания не гарантирует, что так будет всегда.

Отправление и прием RMS-защищенных почтовых сообщений

Чтобы послать защищенное сообщение из Outlook 2003, пользователь создает обычное сообщение, но перед его отправкой нужно выбрать функцию Do Not Forward из меню File, Permission. На экране 1 показано сообщение, защищенное с использованием учетной записи, подключенной к общедоступному RMS-серверу Microsoft посредством .NET Passport. Пользователи с несколькими учетными записями электронной почты могут выбрать одну из них для управления правами доступа к сообщениям с помощью функции Restrict Permission As из меню File, Permission. Из диалогового окна View, Options можно назначить срок действия сообщения Outlook.

Экран 4. Разрешения для присоединенного документа в защищенном RMS сообщении

Вид защищенного сообщения на экране зависит от версии Outlook, которой пользуется получатель, и наличия учетных данных службы RMS. Если получатель еще не установил и не активизировал RM-клиента, а также не имеет учетных данных для почтового адреса, на который поступило сообщение, мастер проводит пользователя по необходимым операциям. Если это первое открытое пользователем RMS-сообщение, то появляется окно, показанное на экране 2. После того как получатель установит соединение с сервером и загрузит лицензию на использование, открывается сообщение и предоставляется доступ к присоединенным файлам (экран 3). Если сообщение содержит присоединенные файлы, то на них распространяется та же лицензия и те же права доступа, что и на сообщение (экран 4).

Чтение RMS-почты с помощью IE

RMA можно бесплатно загрузить по адресу. Перед установкой этого модуля расширения необходимо сначала установить RM-клиент, который можно получить здесь.

Если защищенное сообщение посылается лицу, не имеющему Office Professional 2003, то пользователь получает сообщение с присоединенным файлом message.rpmsg и текстовым и HTML компонентами сообщения, в которых указан URL для загрузки RMA. После установки RMA в Windows появляются новые привязки файлов, и файлы с расширением .rpmsg открываются в программе rmarouter.exe. При первой попытке пользователя открыть файл .rpmsg модуль RMA запускает мастера установки, который настраивает IE на использование корпоративной учетной записи или учетной записи .NET Passport для работы с RMS-защищенными документами. После проверки учетных данных пользователя RMS-сервером файл сообщения .rpmsg открывается в IE. На пользователя IE распространяются те же правила, что и на пользователя Outlook.

Отправка защищенного RMS-документа

На любой файл Excel 2003, PowerPoint 2003 или Word 2003, присоединяемый к RMS-защищенному сообщению, распространяются все ограничения родительского сообщения. Если нужно защитить документ, не ограничивая доступ к сообщению, то следует определить разрешения доступа к документу, а не к основному сообщению. Этот метод расширяет выбор вариантов защиты. После того как будут определены разрешения и сохранен файл, можно создать новое сообщение Outlook, присоединить файл и послать сообщение как обычно, без ограничений.

Экран 5. Наложение разрешений на конкретный документ

Чтобы назначить разрешения доступа к документу Word так, чтобы его могли прочесть пользователи как Office Pro 2003, так и IE, требуется выполнить следующие действия:

  1. Перейти к функции Restrict Permission As в меню File, Permission и подождать, пока Word проверит учетные данные.
  2. Если на экране появляется диалоговое окно Select User, следует выбрать учетную запись пользователя, из которой предстоит назначать полномочия.
  3. В диалоговом окне Permission (экран 5) нужно установить флажок Restrict permission to this document. Если известно, что все получатели располагают Office Pro 2003, то можно ввести имена или адреса электронной почты получателей в поля Read и Change и щелкнуть на кнопке OK.
  4. Если неизвестно, какими программами располагают получатели, можно разрешить чтение документов в IE. Для этого нужно щелкнуть на кнопке More Options, чтобы вывести на экран расширенное диалоговое окно Permission (экран 6). Далее следует установить флажок Allow users with earlier versions of Office to read with browsers supporting Information Rights Management. Как указано в диалоговом окне, в этом режиме увеличивается размер файла, так как Word сохраняет отдельное представление документа в формате HTML, которое можно прочитать в IE. Затем можно щелкнуть на кнопке Set Defaults, чтобы по умолчанию открывать будущие документы в браузере.
  5. Если на этапе 3 получатели указаны не были, следует щелкнуть на кнопке Add, чтобы назначить получателей и установить для них уровень доступа. По умолчанию учетной записи, из которой были назначены разрешения для документа, всегда предоставляется Full Control.
  6. Указав любые другие параметры по своему выбору, необходимо щелкнуть на кнопке OK.

На экране 6 видно, что выбор параметров для защиты документа гораздо богаче, чем для электронного сообщения Outlook. Пользователям, которые имеют право только читать документы, можно разрешить копировать контент, или позволить всем перечисленным пользователям распечатать документ. Можно предоставить программный доступ или установить срок действия, хотя, как отмечалось ранее, срок действия можно назначить и для почтовых сообщений Outlook.

После завершения работы документ следует сохранить. Чтобы послать его одному из пользователей, перечисленных в диалоговом окне Permission документа, нужно создать новое сообщение Outlook и присоединить к нему файл документа. Команду File, Send To в Word, и команду File, Permission, Do Not Forward в Outlook использовать не следует.

Еще несколько советов по RMS

Office Professional 2003 хранит лицензии для файлов и почтовых сообщений на компьютере локального пользователя. Поэтому к сообщениям и файлам можно обращаться, даже не имея доступа к сети и общедоступному или корпоративному RMS-серверу. Однако может возникнуть ситуация, когда нельзя получить доступ к защищенному сообщению, загруженному на локальный компьютер. Если автор сообщения назначил дату и время действия сообщения, то по истечении этого срока получатели не смогут открыть его и присоединенные к нему файлы.

Экран 6. Наложение разрешений, дающих возможность чтения документа не только пользователям Office 2003 Pro

Ряд неожиданностей подстерегает пользователей и при ответе на RMS-защищенные сообщения. Тело исходного сообщения не входит в ответ, независимо от параметров Reply. Кроме того, Outlook автоматически применяет правила оригинального сообщения к ответному посланию. Чтобы отменить эти ограничения, следует выбрать функцию Unrestricted Access из меню File, Permission перед отправкой сообщения.

Богатый потенциал

В данной статье приведены лишь основные сведения, необходимые для того, чтобы приступить к самостоятельному изучению функционирования клиентов RMS с экспериментальной службой RMS. Наличие на предприятии собственного сервера RMS открывает много дополнительных возможностей, в том числе для создания шаблонов политик, в которых описываются стандартные параметры пользователей, полномочия и условия для защищенных документов и сообщений. Без этих шаблонов нельзя детально определить полномочия для пользователей Outlook 2003. Еще одно важнейшее преимущество корпоративного RMS-сервера — возможность установить доверительные отношения с другими организациями, использующими RMS, чтобы упростить обмен защищенными документами с деловыми партнерами. На Web-узле Microsoft приведена подробная информация об этих возможностях, а также другие технические сведения и ссылки на компании, которые используют RMS SDK для проектирования приложений со встроенной защитой информации. Office Professional 2003 — первый, но не последний RMS-клиент для подготовки контента.

Сью Мошер (sue@slipstick.com) — независимый консультант центра Slipstick Systems Outlook and Exchange Solutions Center (http://www.slipstick.com/), занимающегося проблемами с Outlook и Exchange Server