.

Разоблачения программы PRISM оказали огромное влияние на «облачное» сообщество. Никто не в восторге от мысли о том, что частные сообщения перехватываются и изучаются, и тот факт, что секретные службы подключаются к различным коммуникационным каналам для получения информации, стал неприятным сюрпризом, особенно для компаний, планирующих переход в «облако».

Как давний пользователь «облачных» служб, я не вижу проблемы в том, что кто-то может читать мою почту, но я понимаю, что мои данные представляют собой менее интересный объект для перехвата, чем данные крупных компаний, международных организаций и т.д. Поставщики «облачных» служб стараются заверить пользователей и потенциальных клиентов в безопасности передачи управления данными. 21 ноября 2013 года Microsoft анонсировала новую функцию шифрования сообщений в Office 365 (http://blogs.office.com/b/office365tech/archive/2013/11/21/introducing-office-365-message-encryption-send-encrypted-emails-to-anyone.aspx) как замену для старой службы Exchange Hosted Encryption (EHE). Новую службу можно будет приобрести уже в первом квартале 2014 года. Примерно в это же время на новую функцию шифрования сообщений в Office 365 перейдут клиенты, использующие EHE.

Функция шифрования в Office 365 включена в состав пакета управления правами Windows Azure (RMS), поэтому бесплатна для подписчиков Office 365, использующих тарифный план E3 или E4. Служба управления правами доступна как дополнительный компонент для подписчиков Office 365, использующих другие тарифные планы, за 2 долл. за пользователя в месяц (в США). Azure RMS также работает в гибридной среде Exchange, если сообщения из локальных почтовых ящиков проходят через защиту Exchange Online (EOP).

Как работает шифрование сообщений в Office 365

Новая функция шифрования перехватывает сообщения, проходящие по транспортному конвейеру, и шифрует те из них, которые отвечают критериям, установленным администратором. Пользователи не имеют возможности шифровать избранные сообщения; определение осуществляется через правила транспорта, поэтому требуется установка набора критериев для определения исходящих сообщений, которые должны шифроваться. Например, можно постановить, что будут шифроваться все сообщения, у которых в строке темы указано «Конфиденциальные данные», сообщения, направленные в конкретный домен, или сообщения, направленные конкретному пользователю. Для обработки разных обстоятельств можно создавать различные правила транспорта, результатом применения которых будет шифрование исходящих сообщений.

Шифрование сообщений в Office 365 расширяет правило modify the message security («изменить безопасность сообщений»), добавляя в него действие Apply Office 365 Message Encryption («применить шифрование сообщений в Office 365»). Поддерживается также действие Remove Office 365 Message Encryption («удалить шифрование сообщений Office 365»). Применение шифрования – одно из многих действий, инициируемых правилами транспорта; оно может комбинироваться с другими условиями и действиями правил для выполнения требуемой обработки. Поскольку шифрование встроено в правила транспорта, ни одно из сообщений не будет отправлено до прохождения оценки, и если оно отвечает критериям, установленным для правила применения шифрования, то непременно будет защищено перед отправкой.

Для защиты сообщений применяется 2048-разрядное шифрование с использованием алгоритма SHA-256 с помощью закрытого ключа домена клиента Office 365. Получатель этого ключа не знает; он видит, что сообщение содержит зашифрованное вложение и инструкции для просмотра содержимого. Вся роль почтовой системы сводится к транспортировке и доставке зашифрованного вложения. Это позволяет предположить, что данное решение будет работать для сообщений, направляемых другим коммерческим и пользовательским почтовым системам.

Щелчком на вложении открывается окно браузера на странице портала шифрования сообщений Office 365. Компании могут выполнить особую настройку этой страницы, поместив на ней свой логотип и инструкции для конечных пользователей. Для просмотра содержимого сообщения в окне интерфейса, как у веб-приложения Outlook, пользователь должен авторизоваться с использованием своей учетной записи Windows Live или Office 365. Ответ, отсылаемый отправителю, автоматически шифруется.

Развертывание шифрования сообщений Office 365

В целом мне нравится концепция решения, избранного Microsoft для реализации шифрования сообщений в Office 365. В этом решении, обеспечивающем защиту конфиденциальных сообщений от злоумышленников, проникающих в почтовый ящик или перехватывающих почту на пути следования, собраны преимущества Windows Azure RMS, правил транспорта и веб-клиента Outlook. Шифрование сообщений Office 365 – процесс, управляемый администратором, поэтому сами пользователи не решают, шифруются ли их сообщения. Вы также не должны заботиться о выпуске и обслуживании ключа, как в случае ориентированных на пользователя алгоритмов шифрования сообщений, зачастую отлично работающих для небольших групп пользователей, но вызывающих много хлопот при широком развертывании.

Несмотря на позитивные ощущения, я бы не торопился развертывать функцию шифрования сообщений в Office 365 – по крайней мере, без предварительного взвешивания. Необходимо решить, как определять конфиденциальные сообщения для правил транспорта, и как интегрировать шифрование в транспортный конвейер так, чтобы оно не мешало обработке других правил – например, тех, которые предотвращают потерю данных. Важно также выяснить уровень подготовленности пользователей и определить, что необходимо сделать для того, чтобы научить внешних партнеров по переписке обращаться с зашифрованными сообщениями, которые они теперь будут получать от вашей компании. Следует понимать, что доступ к зашифрованному содержимому сообщений сегодня полностью зависит от браузера и что поддержка автономных клиентов отсутствует.

Знание – залог успеха

Как при появлении любой новой возможности, вам еще предстоит исследовать ряд рабочих вопросов, таких как получение доступа к важным зашифрованным сообщениям теми, кто покидает компанию. Важно также учитывать, как использование шифрования сообщений в Office 365 повлияет на «план Б», то есть порядок «обратного хода» в случае, если «облачные» службы не будут работать для вашей компании. Ответ однозначен: отказываясь от использования клиента Office 365, вы откажетесь и от закрытого ключа службы управления правами, и все сообщения, зашифрованные с помощью этого ключа, станут для вас недоступными.

Повлияет ли разоблачение программы PRISM на планы по переходу на Office 365?

Если бы я был локальным поставщиком услуг размещения за пределами США, то постарался бы убедить любую компанию, задумывающуюся о переходе на Office 365, в том, что услуги локального поставщика могут быть значительно лучше (правда, дороже), чем услуги Microsoft. Кроме того, локальный поставщик дает клиенту возможность уберечь свои данные от перехвата. Однако будут ли последствия разоблачений программы PRISM продолжительными? Поживем – увидим.

Обнародованная Эдвардом Сноуденом информация о количестве данных, полученных правительством США от различных поставщиков ИТ-услуг, включая Microsoft, через программу PRISM, вызвала озабоченность у компаний, планирующих частичный или полный перенос своих инфраструктур на «облачные» службы (/www.zdnet.com/prism-heres-how-the-nsa-wiretapped-the-internet-7000016565/). Эта озабоченность понятна, так как никому не нравится вмешательство государства в дела компании, даже при заверениях, что все делается в рамках закона и под должным контролем.

Microsoft – американская корпорация, поэтому неудивительно, что ее операции, даже проводимые в таких местах, как Сингапур и Ирландия, регламентируются законодательством США, включая закон о борьбе с терроризмом. Этот факт был признан вскоре после выпуска Office 365 в июне 2011 года, когда исполнительный директор Microsoft в Великобритании подтвердил, что данные, хранящиеся в Office 365, могут поступить в распоряжение государственных органов США (www.zdnet.com/blog/igeneration/microsoft-admits-patriot-act-can-access-eu-based-cloud-data/11225). Данная ситуация имеет место и сегодня. Генеральный советник Microsoft Бред Смит 16 июля опубликовал заявление, в котором описан характер взаимодействия Microsoft с правительством США в части запросов на раскрытие информации (blogs.technet.com/b/microsoft_on_the_issues/archive/2013/07/16/responding-to-government-legal-demands-for-customer-data.aspx). В отношении Office 365 там говорится следующее:

«Корпоративная почта и хранилища документов. Получая запрос правительства на раскрытие данных корпоративного клиента, мы предпринимаем меры к тому, чтобы перенаправить правительство напрямую к этому клиенту. Мы также уведомляем клиента, если на это нет юридического запрета. Мы никогда не предоставляли правительству какие-либо данные наших корпоративных или государственных клиентов для целей национальной безопасности. Что касается обращений от правоохранительных органов, то мы уже сообщали в докладе Law Enforcement Requests Report, что за 2012 год подчинились только четырем таким запросам, имевшим отношение к корпоративным или государственным клиентам. В трех случаях мы уведомили клиентов о поступившем запросе, и клиенты попросили нас предоставить запрашиваемые данные. В четвертом случае клиент получил запрос напрямую и обратился к Microsoft с просьбой о предоставлении требуемых данных. Мы не предоставляем правительству ни возможность взломать шифрование, используемое нашими корпоративными клиентами для защиты их данных в «облаке», ни сами ключи шифрования».

Я получаю по почте множество сообщений, которые доступны для правительства США, поскольку использую Office 365, с вопросами о возможных последствиях разоблачений для Office 365. Я не думаю, чтобы ситуация сильно изменилась. Конечно, обнародовано больше информации и вырос общий уровень осведомленности о контроле конфиденциальных данных клиентов, но верно также и то, что государство уже давно занимается сбором информации от поставщиков ИТ-услуг с применением законных средств, какими бы они ни были. Просто ранее требуемые данные передавались на магнитных лентах (включая 9-трековые, 600 бит/дюйм), а теперь пересылаются в электронном виде. Анализируются также данные, проходящие по основным каналам Интернета. Следует признать, что большая часть почтовых сообщений пересылается между серверами в незашифрованном виде и доступна всякому, кто заинтересован в ее перехвате с помощью инструментов, которые легко найти. Даже трафик, защищенный с использованием 128- или 256-разрядного SSL-шифрования, может быть расшифрован при наличии достаточных вычислительных мощностей, а такие мощности у государственных органов имеются в избытке.

Текущая ситуация создает интересные возможности для локальных поставщиков услуг размещения за пределами США. Office 365 не является единоличным поставщиком услуг Exchange, SharePoint или Lync. Аналогичные услуги от локального провайдера, возможно, будут стоить дороже, чем Office 365, поскольку такой поставщик не будет иметь тех преимуществ, которыми обладает Microsoft. В самом деле, кто сравнится по масштабу деятельности с корпорацией, обладающей огромными центрами обработки данных? Кроме того, услуги локального поставщика будут стоить дороже, поскольку он будет вынужден платить за лицензирование программного обеспечения. С другой стороны, локальная хостинговая компания, расположенная, например, в Великобритании, Австралии, Германии или Франции, сможет гарантировать, что данные ее клиентов останутся внутри страны и не будут подпадать под действие закона о борьбе с терроризмом в США. Кроме того, подобная компания сможет обеспечивать более качественную и индивидуализированную поддержку, чем сегодня предусмотрена для Office 365. За свои деньги вы получите ожидаемое.

Вероятно также, что некоторые компании умерят свой пыл в стремлении перейти в «облако» и будут локально развертывать больше приложений, чем планировалось изначально. Мне известны компании, которые решили прибегнуть к локальному развертыванию Exchange 2013 вместо создания гибридной среды с Office 365. Впрочем, это может оказаться не долгосрочным решением, а, скорее, «полетом в зоне ожидания». Возможно, что они просто ждут дальнейшего развития событий, чтобы впоследствии сориентироваться.

Как ни странно, Microsoft позитивно воспринимает замедление темпов перехода на Office 365, так как это дает корпорации возможность выстраивать свою инфраструктуру под меньшим давлением и решить ряд проблем, о которых сообщают пользователи Office 365, таких как неудобный интерфейс поддержки первого уровня (особенно когда дело касается сложных вопросов, например синхронизации каталогов или подключений в гибридной среде) и отсутствие информативных ресурсов, способных помочь в переходе на Office 365.

Однако я предполагаю, что экономические соображения в конце концов победят, и переход на «облачные» службы со временем возобновится. Государственные органы прояснят, что именно они отслеживают, и сделают заявления, достаточные для снятия выражаемых сегодня опасений. Европейский союз потребует большего контроля конфиденциальных данных, и США сделает любые обнадеживающие заявления к удовлетворению Брюсселя. Привлекательность предсказуемых затрат, пользующегося неизменной популярностью программного обеспечения и возможности переложить на «облачных» поставщиков выполнение повседневных задач, таких как обслуживание сервера, продолжит оказывать побудительное воздействие, особенно на предприятия малого и среднего бизнеса.

Что касается меня, то я продолжу использовать Office 365, поскольку нахожу эту службу наиболее эффективной для работы приложений, поддерживающих мою производственную среду. Шпионы, читающие мою почту, меня не беспокоят, поскольку там нет ничего такого, что могло бы навлечь на меня неприятности. По крайней мере, я так думаю.