Защита информации в Microsoft Office 2003 с помощью служб RMS и IRM

Опубликовано: 1 декабря 2003 г.

Microsoft Office 2003

Официальный технический документ

Аннотация.

Служба управления правами на доступ к данным (Information Rights Management, IRM) представляет собой технологию, обеспечивающую стойкую защиту информации на уровне файлов, которая помогает защитить секретную информацию и цифровые данные, являющиеся интеллектуальной собственностью, от несанкционированного использования. Служба IRM позволяет задействовать все возможности службы управления правами (Rights Management Services, RMS) Microsoft® Windows®, используемой в Window Server™ 2003, в обозревателе Microsoft Internet Explorer и во всех версиях Microsoft Office 2003. В данном документе представлен обзор преимуществ данной технологии IRM, а также рассмотрены аспекты ее развертывания и внедрения.

Для получения самой последней информации посетите веб-узел http://office.microsoft.com/home/default.aspx

На этой странице

Основные понятия

Служба управления правами (Microsoft® Windows® Rights Management Services, RMS) ОС Windows Server™ 2003 представляет собой технологию защиты информации, которая используется с такими RMS-совместимыми приложениями, как Microsoft Office 2003. RMS обеспечивает защиту цифровой информации от ее неправомочного использования независимо от того, где и как она используется: автономно или в закрытой брандмауэром сети, или за пределами этой сети. Комбинируя возможности Windows Server 2003, средств разработки и промышленных технологий безопасности (включая шифрование, сертификаты на основе языка XrML (eXtensible rights Markup Language) и проверку подлинности), RMS расширяет стратегию защиты предприятия, используя для защиты информации стойкие политики, которые остаются с информацией независимо от того, где она используется.

Служба управления правами на доступ к данным (Information Rights Management, IRM) расширяет возможности использования службы RMS в приложениях Microsoft Office 2003, а также в обозревателе Microsoft Internet Explorer. Служащие, работающие с информацией, теперь могут указывать тех, кому разрешено использовать документ. Также они могут определять действия, которые разрешено производить с документом. Например, они могут предоставить права на открытие, внесение изменений, печать, пересылку документа, а также на выполнение ряда других действий. Организации могут создавать собственные шаблоны политик использования, например, шаблон «Конфиденциально – только для чтения», который можно применять непосредственно к финансовым отчетам, спецификациям продукции, информации о заказчике, сообщениям электронной почты и прочим важным документам.

Наверх страницы

Общая информация

Необходимой составляющей концепции защищенных информационных систем (Trustworthy Computing) является наличие технологии, способной надежно защитить содержимое и сохранить конфиденциальность частной информации, представленной в цифровом виде. Служба IRM, используемая в Microsoft Office, предоставляет в распоряжение организаций и их сотрудников, работающих с информацией, механизм, с помощью которого они могут обеспечить защиту важной информации.

В данном документе описывается использование службы RMS в инфраструктуре организации, ее поддержка службы IRM, а также расширение возможностей защиты информации в Microsoft Office 2003. Целью данного документа является предоставление единого источника информации, позволяющего понять задачи, связанные с защитой информации посредством использования служб IRM и RMS, а также обозначить пути их решения. Хотя информация, представленная в разделах данного документа, не может считаться всесторонне описывающей данный материал, ее вполне достаточно для того, чтобы обеспечить развертывание обычной конфигурации и ее управление. Кроме того, в документе приводятся ссылки на соответствующие разделы файлов помощи RMS и на те разделы веб-сайта RMS, которые содержат более полную информацию по рассматриваемым вопросам. Указанные источники предоставляют значительно больше информации по данной теме. Например, там перечислены преимущества использования RMS и IRM для бизнеса, описана архитектура и возможности топологии, а также представлена прочая информация, которую необходимо учитывать при планировании развертывания.

Наверх страницы

Обзор служб IRM и RMS

RMS представляет собой средство защиты информации ОС Windows, работающее с RMS-совместимыми приложениями и обеспечивающее защиту конфиденциальной и важной информации от ее несанкционированного использования независимо от того, где эта информация находится. В целях соответствия требованиям потребителей к улучшению защиты данных, Microsoft разработала службу RMS таким образом, что она позволяет использовать возможности ОС Windows Server 2003, средств разработчиков, а также промышленных технологий защиты (включая шифрование, использование сертификатов на основе XrML и проверку подлинности). Такой подход позволяет организациям создавать надежные решения защиты информации. Для получения дополнительной информации о значении и преимуществах IRM и RMS обратитесь к веб-узлу RMS http://www.microsoft.com/windowsserver2003/technologies/rightsmgmt/default.mspx.

IRM позволяет использовать возможности защиты информации, предоставляемые службой RMS, на настольных компьютерах. IRM представляет собой стойкую технологию защиты данных на уровне файлов, которая позволяет служащим, работающим с информацией, определять права доступа к документам или сообщениям электронной почты, а также защищать информацию, являющуюся интеллектуальной собственностью и представленную в цифровом виде, от несанкционированной печати, пересылки или копирования. Обратите внимание, что IRM и функция защиты документа, имеющаяся в Microsoft Office Word 2003, – это разные вещи. Функция защиты документа позволяет служащим, работающим с информацией, устанавливать ограничения на форматирование документа, а также предоставлять определенным пользователям и группам права на редактирование определенных частей документа.

Защита, обеспечиваемая технологией IRM, неразрывно связана с файлом. Как только Вы защитили документ или сообщение электронной почты с помощью технологии IRM, установленные для него права использования принудительно применяются независимо от того, где этот документ используется (даже если он используется за пределами сети организации). Для того чтобы ознакомиться с возможностями совместного использования IRM и RMS, обратитесь к документу Управление правами на доступ к данным в Microsoft Office 2003 Information Rights Management in Microsoft Office 2003.

Как только служащему, работающему с информацией, предоставляется право использования файла, при открытии этого файла вступают в силу соответствующие права на использование или ограничения (например, запрет на копирование) с помощью прикладного интерфейса пользователя (UI) и модели объектов. Однако, IRM не является средством безопасности; как и другие политики, эти ограничения не могут предотвратить все возможности неправильного использования.

Наиболее распространенные случаи использования IRM и RMS

С помощью IRM можно защитить информацию в различных ситуациях. Наиболее часто пользователи задействуют возможности IRM в Office 2003 в двух случаях:

Защита сообщений электронной почты. Электронная почта используется в качестве основного способа обмена информацией в организации и за ее пределами. Сотрудники используют электронную почту для связи с членами рабочей группы, других групп, потребителями и поставщиками. Торговые агенты, занимающихся продажей на местах, используют электронную почту для связи с корпоративным офисом с целью согласования новых ценовых политик и обновлений продукции. Исполнительные менеджеры используют электронную почту для обмена информацией в пределах организации. Сообщения электронной почты можно просматривать автономно в самолете или в отеле, что позволяет сотруднику, находящемуся за пределами офиса, очень просто изучать и составлять документы.

Однако именно из-за такой простоты обмена данными и увеличивается риск утечки информации. Сообщения электронной почты, содержащие конфиденциальную информацию (например, план выпуска новой продукции или сведения о готовящемся слиянии компаний) могут быть легко отосланы (даже просто случайно) конкуренту, поставщику или в средства массовой информации. Негативные последствия, к которым могут привести подобные утечки информации, могут включать в себя потерю преимущества над конкурентами, снижение дохода, а также потерю доверия потребителей к выпускаемой продукции. Использование защиты электронной почты на основе прав использования позволяет избежать утечек информации, предотвращая случайную пересылку сообщений. Также это исключает возможность возникновения ситуации, при которой злоумышленник может сослаться на незнание правил организации. Ниже на Рисунке 1 представлено сообщение электронной почты, защищенное с помощью шаблона «Не пересылать» (Do Not Forward). Получатели этого сообщения электронной почты не смогут переслать его, а также скопировать или распечатать его содержимое.

Рисунок 1 – Защита сообщения электронной почты с помощью шаблона «Не пересылать» (Do Not Forward) службы IRM

Защита документов. Огромный объем информации, создаваемой и используемой служащими, содержится в документах, созданных с помощью программ повседневного использования на настольных компьютерах. Менеджеры, сотрудники отдела продаж, отдела кадров, отдела разработки и исследования продукции используют программы из комплекта Office 2003 для создания финансовых прогнозов, планирования продаж, доходов, жизненного цикла товара и оценки работы подчиненных, а также для написания результатов исследований – для работы со всей той информацией, которая может представлять угрозу компании в том случае, если она попадет в чужие руки. IRM предоставляет в распоряжение сотрудников, работающих с информацией, средство, позволяющее при использовании программ, входящих в состав Office 2003, устанавливать защиту в виде прав доступа к важной информации, а также определять тех, кому разрешено открывать документ или вносить в него изменения в течение заданного периода времени.

Для того чтобы применить защиту IRM, необходимо воспользоваться кнопкой, расположенной на панели инструментов, как это показано ниже на Рисунке 2:

Рисунок 2 – Кнопка Не распространять (Разрешения) (Permission), присутствующая в программах Office 2003

В случае, если служба RMS была развернута на предприятии, то при нажатии на эту кнопку откроется диалоговое окно Разрешения (Permission), показанное на Рисунке 3:

Рисунок 3 – Диалоговое окно Разрешения (Permission), в котором указаны пользователи и назначены им права

Главное окно определения полномочий позволяет Вам быстро и просто предоставить разным пользователям права на чтение (Read) и внесение изменений (Change). При этом для определения пользователей используется адрес их электронной почты, который хранится в Active Directory, но также можно использовать и список рассылки. Кроме того, можно указывать внешние адреса в том случае, если в организации используется политика доверия, в которой они указаны. При нажатии на кнопку Дополнительные параметры (More Options) откроется диалоговое окно, представленное на Рисунке 4.

Рисунок 4 – Диалоговое окно Дополнительные параметры (More options)

С помощью первого дополнительного параметра можно установить срок истечения действия прав на использование документа. После указания даты те пользователи, у кого срок действия полномочий истек, не смогут открыть документ. Кроме указания срока действия прав в диалоговом окне Дополнительные параметры (More Options) авторы документов могут выборочно предоставить остальным служащим права на печать, копирование, а также на открытие документа программно. По умолчанию в поле Дополнительные параметры (Additional settings) указан адрес электронной почты автора документа, благодаря чему получатели могут обращаться к нему за получением дополнительных прав на использование данного документа (ниже на Рисунке 5 изображена ссылка Идет запрос дополнительных разрешений... (Request additional permissions)). Также автор документа может разрешить или запретить пользователям более ранних версий Office открывать документ для чтения. Наконец, автор документа может потребовать выполнять подключение при каждом открытии документа. При этом по умолчанию для проверки полномочий получателям необходимо подключаться с данного компьютера к RMS-серверу только один раз.

Когда пользователь Victoria, которой предоставлены права на чтение документа (см. Рисунок 4), получает документ и открывает его, Word 2003 устанавливает соединение с корпоративным RMS-сервером, на котором выполняется проверка ее прав. В случае подтверждения наличия прав на чтение документа, он будет открыт (если же обнаружится, что у нее нет соответствующих прав, то документ открыт не будет). После открытия документа она не может копировать, печатать или изменять его. Она может просмотреть имеющиеся собственные права на работу с данным документом, щелкнув в области задач:

Рисунок 5 – Просмотр разрешений на работу с защищенным файлом

В случае применения IRM права на использование информации всегда сохраняются вместе с ней даже в том случае, если эта информация используется за пределами сети. Это означает, что права на использование будут применяться к защищенной информации даже в том случае, если сотрудник открывает сообщение электронной почты или документ автономно или когда он предварительно сохранил его на диске.

Технический обзор IRM и RMS

На стороне сервера Windows RMS управляет функциями лицензирования, активации компьютеров, подачи заявок и администрирования. В своей работе RMS использует службу каталогов Windows Server Active Directory® (ОС Windows Server 2000 или более поздней), а также базу данных SQL, например, Microsoft SQL Server™ для хранения параметров конфигурации.

Для создания или просмотра защищенного содержимого на стороне рабочей станции требуется наличие RMS-совместимой программы. В Microsoft Office 2003 включены первые RMS-совместимые программы, разработанные корпорацией Microsoft. Для создания или просмотра защищенных документов, электронных таблиц, презентаций и сообщений электронной почты необходимо наличие Microsoft Office Professional 2003. При использовании других версий Office 2003 получатели защищенных документов могут только работать с ними (но не создавать их) в случае, если автор документа предоставил им соответствующие для этого права. Надстройка Управление правами (Rights Management Add-on, RMA) для обозревателя Internet Explorer позволяет сотрудникам просматривать защищенную информацию даже в том случае, если у них не установлен Microsoft Office 2003.

Архитектура IRM и RMS

RMS представляет собой управляемую веб-службу, которая использует ASP.NET, протокол запроса/ответа HTTP SOAP и язык XrML, что позволяет организациям создавать и развертывать собственные решения защиты информации. Благодаря высокой масштабируемости, гибкой топологии, простоте администрирования и использования, служба RMS позволяет удовлетворить все потребности любой организации в защите информации.

Основой технологии Windows RMS являются политики постоянного использования (известные так же, как права и условия использования). Авторы информации могут применять политики постоянного использования на уровне файлов. После того, как автор (владелец) применит эти политики к файлу, они будут действовать постоянно. Это будет происходить даже в том случае, если файл был перемещен за пределы корпоративной сети.

Система RMS обеспечивает принудительное применение постоянных политик благодаря установке следующих необходимых для этого элементов:

Основы функционирования RMS

Технология Windows RMS, которая использует как серверные, так и клиентские компоненты, предоставляет следующие возможности:

Компоненты RMS

Наряду с пакетом средств разработки (Software Development Kit, SDK) технология RMS включает в себя следующее программное обеспечение:

Серверное программное обеспечение RMS

Основой технологии Windows RMS является серверный компонент, который управляет сертификацией доверяемых объектов, лицензированием защищенной информации, подачей заявок и предварительной подачей заявок (sub-enrollment) для серверов и пользователей, а также выполняющий административные функции. Серверное программное обеспечение облегчает прохождение шагов по настройке, которые позволяют доверяемым объектам использовать защищенную информацию. Ниже указаны возможности, обеспечиваемые серверной частью RMS:

•	Настройка доверяемых объектов. Технология Windows RMS предоставляет средства для установки и настройки серверов, клиентских компьютеров и учетных записей пользователей в роли доверяемых объектов системы RMS. При этом выполняется: • Подача заявки для сервера. Подача заявки для сервера является частью подготовительного процесса. Во время подачи заявки для сервера открытый ключ отсылается из корневого RMS-сервера организации в службу подачи заявок RMS Server Enrollment Service корпорации Microsoft. Служба подачи заявок создает и возвращает XrML сертификат лицензиара, соответствующий открытому ключу организации. Служба RMS Server Enrollment Service не выдает пары ключей (открытый/закрытый ключ) корневому серверу организации, она просто подписывает открытый ключ. Службу RMS Server Enrollment Service нельзя использовать для разблокировки данных, создаваемых в организации. Во время данного процесса проверка подлинности не производится. • Предварительная подача заявок для сервера. После того, как в организации будет настроен корневой сервер установки для системы RMS, можно выполнять предварительную подачу заявок и настройку дополнительных серверов, которые будут частью системы. В процессе предварительной подачи заявок для сервера устанавливаются основанные на XrML сертификаты, которые позволяют дополнительным серверам выдавать доверяемые системой RMS лицензии. • Активация клиентского компьютера. Для того чтобы клиентские компьютеры могли использоваться в организации для создания и получения доступа к защищенной информации, должна быть произведена их активация. Во время этого процесса (выполняемого однократно) клиентскому компьютеру выдается уникальное защищенное хранилище RMS. Защищенное хранилище RMS обеспечивает принудительную защиту информации на стороне клиентского компьютера. Оно является уникальным для каждого компьютера и не может быть использовано на другом компьютере. • Сертификация пользователей. Организациям необходимо идентифицировать сотрудников, которые выступают в качестве доверяемых объектов в системе RMS. Для этих целей служба Windows RMS выдает основанные на XrML сертификаты для управления правами учетных записей, называемые также RAC (Rights management account certificates), с помощью которых устанавливается соответствие между учетными записями пользователей и определенными компьютерами. Рисунок 6 – Процесс получения RAC (выполняемый однократно) Наличие сертификатов позволяет служащему получать доступ и использовать защищенные файлы и информацию. Каждый уникальный сертификат содержит открытый ключ, используемый для получения лицензии на использование информации, предназначенной для этого служащего. • Подача заявок для клиентского компьютера. Иногда для публикации защищенной информации необходимо использовать клиентские компьютеры, не подключенные к корпоративной сети. В этом случае необходимо запустить локальный процесс подачи заявок. Клиентские компьютеры подают заявку серверу корневой инсталляции или серверу лицензирования службы RMS и получают от них сертификаты лицензиара клиента, управляющие правами. Это позволяет служащим публиковать защищенную информацию с этих компьютеров без необходимости подключения к корпоративной сети.
•	Лицензии на публикацию, которыми определяются права и условия использования. Доверяемые объекты могут использовать простые средства, включенные в состав RMS-совместимых приложений, для назначения особых прав и условий использования их информации, согласованными с политиками деятельности их организации. Права и условия использования указаны в опубликованных лицензиях, в которых перечислены авторизованные служащие, которым разрешен доступ к информации, а также определен порядок использования информации и предоставление ее для совместной работы. Для назначения прав и условий использования служба RMS использует язык XrML (eXtensible rights Markup Language) версии 1.2.1, основанный на языке XML.
•	Лицензии на использование, определяющие принудительное применение прав и условий использования. Каждый доверяемый объект, выступающий в роли получателя защищенной информации, при попытке ее открытия запрашивает и получает от RMS-сервера лицензию на использование, причем это выполняется незаметно для получателя. Лицензия на использование предоставляется авторизованным получателям, определяя для них права и условия использования информации. RMS-совместимые приложения используют возможности технологии Windows RMS для чтения информации, обработки и принудительного применения прав и условий использования, определенных в лицензии на использование.
•	Шифрование и ключи. Защищенная информация всегда зашифрована. RMS-совместимые приложения используют симметричные ключи для шифрования информации. Все RMS-серверы, клиентские компьютеры и учетные записи пользователей имеют пару RSA ключей (открытый и закрытый ключи) размером 1024-бит. Windows RMS использует открытый и закрытый ключи для шифрования симметричного ключа, хранящегося в публикуемых и используемых лицензиях, а также для подписания лицензий и сертификатов на основе XrML, используемых для управления правами, что позволяет предоставлять доступ только доверяемым объектам.
•	Шаблоны политики прав. Администраторы могут создавать и распространять официальные шаблоны политики прав, назначая определенным служащим права и условия использования. Для получения более подробной информации обратитесь к разделу «Использование шаблонов политики прав». Использование шаблонов в организации позволяет управлять информацией, приводя ее к упорядоченному иерархическому виду. Например, для служащих организации можно создать шаблоны политики прав, указав в них различные права и условия использования конфиденциальной информации компании, засекреченных и частных данных. Эти шаблоны могут использоваться RMS-совместимыми приложениями, что позволяет служащим легко и последовательно применять к информации предопределенные политики.
•	Списки отзыва. Администраторы могут создавать и распространять списки отзыва, в которых указываются доверяемые объекты, ставшие ненадежными, из-за чего они были удалены из системы RMS и стали недействительными (к доверяемым объектам относятся индивидуальные пользователи, группы пользователей, компьютеры или программы, которые являются доверенными участниками системы RMS). Список отзыва, распространяемый в организации, позволяет сделать недействительными определенные компьютеры или учетные записи пользователей. Например, в случае увольнения работника все связанные с ним доверяемые объекты могут быть добавлены в список отзыва, из-за чего они больше не будут использоваться в операциях, связанных с RMS.
•	Политики исключения. На стороне сервера администраторы могут применять политики исключения. Эти политики позволяют запретить обработку запросов лицензий, которые основаны на идентификаторе пользователя (учетных данных, используемых для входа в Windows, или паспорте .NET), сертификате, определяющего права учетной записи, или на версии защищенного хранилища, управляющего правами. Политики исключения запрещают обработку новых запросов лицензий, подаваемых ненадежными доверяемыми объектами, но в отличие от отзыва, политики исключения не делают недействительными доверяемые объекты. Администраторы также могут применить политику исключения к потенциально опасным или ненадежным приложениям, благодаря чему исключается возможность расшифровки защищенной информации этими приложениями.
•	Ведение журнала. Администраторы могут отслеживать и проверять использование защищенной информации в пределах организации. RMS обеспечивает поддержку ведения журнала, благодаря чему в организации имеется запись действий, связанных с использованием RMS, включая записи о выдаче или запрете выдачи лицензий на публикацию и использование.

Пакет средств разработки для RMS

Для службы Windows RMS имеется пакет разработчика Windows RMS SDK (Software Development Kit). В этот пакет включен набор средств, документация, а также примеры программного кода, которые позволяют организациям настраивать Windows RMS. В пакет SDK включены интерфейсы протокола SOAP (simple object access protocol), которые позволяют разработчикам создавать компоненты различного назначения, например, для:

Пакет SDK для RMS-клиентов

Технология Windows RMS предоставляет пакет SDK (Software Development Kit) для RMS-клиентов. В пакет SDK включен набор средств, документация, а также примеры программного кода, которые позволяют разработчикам создавать RMS-совместимые приложения. Используя пакет SDK и сопутствующие клиентские интерфейсы прикладного программирования (API), разработчики могут создавать доверяемые клиентские приложения, способные лицензировать, публиковать и использовать защищенную информацию.

В пакет SDK для RMS-клиентов включены следующие компоненты:

Клиентское программное обеспечение RMS

На каждом клиентском компьютере RMS-системы должен быть установлен клиент управления правами Windows (Windows Rights Management, WRM). Этот клиентский компонент, необходимый для использования RMS-совместимых приложений, представляет собой группу интерфейсов прикладного программирования Windows Rights Management API, которые можно предварительно установить или загрузить с сайта Windows Update. Клиент WRM также используется во время процесса активации компьютера.

Компоненты IRM

В Office 2003 включены первые RMS-совместимые приложения. Кроме того, приложения Office 2003 расширяют возможности RMS.

Принцип работы RMS/IRM

Для защиты данных с помощью Windows RMS служащим не нужно предпринимать никаких особых действий. Они работают точно так же, как и с обычной информацией.

Ниже на Рисунке 7 показан механизм работы RMS при публикации и использовании защищенной информации пользователями.

Рисунок 7 – Публикация и использование защищенной информации

В процессе публикации и использования информации выполняются следующие шаги (пронумерованные выше на рисунке):

1.	Перед тем, как авторы смогут защитить свой документ, им необходимо подать заявку в систему RMS и получить на свой компьютер защищенное хранилище, RAC и сертификат издателя клиента.
2.	Используя RMS-совместимое приложение (например, Office Professional 2003), автор создает файл и устанавливает для него права и условия использования.
3.	После этого приложение шифрует файл с помощью симметричного ключа, который в свою очередь шифруется с помощью открытого ключа RMS-сервера автора. После чего ключ добавляется в лицензию на публикацию, которая в свою очередь добавляется в файл. Только RMS-сервер автора может выдавать лицензии для дешифрования файла. Ниже на Рисунке 8 показано, из чего состоит защищенный файл Office 2003. Рисунок 8 – Содержимое защищенного файла
4.	Автор распространяет файл.
5.	Пользователь получает защищенный файл обычным способом и открывает его с помощью RMS-совместимого приложения или обозревателя. В случае, если на компьютере или устройстве получателя нет сертификата учетной записи, то сертификат будет выдан (при этом предполагается, что у получателя есть доступ к корневому RMS-серверу и имеется учетная запись на предприятии).
6.	Приложение запрашивает лицензию на использование у сервера, который выдал лицензию на публикацию защищенных данных. В запрос включен сертификат учетной записи получателя (в котором содержится открытый ключ получателя) и лицензия на публикацию (содержащей симметричный ключ, с помощью которого шифровался файл). В лицензии на публикацию, выданной сертификатом лицензиара клиента, содержится URL-адрес сервера, который выдал сертификат. В этом случае запрос лицензии на использование направляется RMS-серверу, который выдал сертификат лицензиара клиента, а не компьютеру, выдавшему лицензию на публикацию.
7.	RMS-сервер лицензирования проверяет имя пользователя, подтверждает подлинность получателя и создает лицензию на использование. Во время это процесса сервер дешифрует симметричный ключ с помощью закрытого ключа сервера, повторно шифрует его с помощью открытого ключа получателя и добавляет его в лицензию на использование. Кроме того, сервер добавляет в лицензию на использование такие соответствующие условия, как срок истечения, исключение определенных приложений или операционных систем. После этого только тот пользователь, кому предназначена эта информация, сможет дешифровать симметричный ключ, тем самым, дешифруя защищенный файл.
8.	После завершения проверки подлинности сервер лицензирования возвращает лицензию на использование клиентскому компьютеру получателя.
9.	После получения лицензии на использование приложение проверяет как лицензию, так и сертификат учетной записи получателя для определения того, имеется ли в доверительной цепочке сертификат, который необходимо проверить в списке отзыва. Если такой имеется, то приложение проверяет наличие локальной копии списка отзыва, срок действия которого еще не истек. В случае необходимости приложение получает копию действующего списка отзыва и после этого соблюдает все условия отзыва, которые применены в данном случае. Если нет ни одного условия отзыва, которое бы блокировало доступ к файлу, приложение предоставляет данные пользователю, после чего он может с ними работать в соответствии с теми правами, которые были ему предоставлены.

Наверх страницы