| Новые программы oszone.net |  |
ВведениеЛюбые организации сталкиваются со значительными правовыми и нормативными трудностями в таких областях как информационная безопасность, конфиденциальность и надежность. Решение этих проблем может потребовать серьезных изменений в системах и процессах по всей организации. Предприятиям необходимо учитывать усложняющуюся структуру и регулирование ответственности и контроля и реагировать на эти изменения, чтобы соответствовать правовым и этическим задачам. Соответствие нормам — это соответствие всем правовым и деловым требованиям к организации, которое она обязана проявить при выполнении операций и ведении дел. Соответствие нормам также означает понимание правовой платформы, в пределах которой действуют юридические и корпоративные требования. Приведение бизнеса в соответствие с нормами затрагивает каждый отдел и каждого сотрудника организации. Этого невозможно достичь применением одного единственного решения или процесса — необходимо внедрить принципы соответствия нормам в каждое подразделение организации. Нормативная среда имеет тенденцию к усложнению. Приведение бизнеса в соответствие с нормами зачастую представляет из себя непростой процесс. При этом нормы различаются по специфике выдвигаемых ими требований. Таким образом, организации необходимо провести полную оценку рисков и последствий. Задача этого документа — описать некоторые процессы и технологии, которые можно использовать в целях стандартизации и упрощения программ по нормативной совместимости в области обеспечения конфиденциальности электронной почты. В этом документе представлены ресурсы и варианты действий для предприятий малого и среднего бизнеса в процессе приведения деятельности в соответствие с законами и нормами. Этот документ не является руководством по приведению в соответствие, он также не предоставляет юридических рекомендаций по какому-либо из этих вопросов. Перед выполнением любой программы или процесса по приведению бизнеса в соответствие с нормами читателям следует обратиться за советом к собственным консультантам и юристам. Для кого предназначено это руководствоЦелевая аудитория данного руководства включает ИТ-специалистов, ответственных за установку, обслуживание и администрирование службы электронной почты на основе сервера Microsoft® Exchange Server 2003 в сетевых средах предприятия. Сведения, содержащиеся в данном руководстве, предназначены для малых и средних предприятий, нуждающихся в доставке конфиденциальных сообщений электронной почты по своим сетям. ОбзорНесмотря на то, что функции защиты сообщений входили в состав сервера Microsoft Exchange Server начиная с первой его версии, обычно они использовались только клиентами, имеющими особые требования безопасности и персоналом, ответственным за безопасность. Основные знания в области защиты электронной почты требовались только специалистам по безопасности и сотрудникам, которые занимались шифрованием. В связи с поддержкой сервером Exchange Server 2003 стандарта обеспечения безопасности S/MIME и необходимостью нормативной совместимости усвоение указанных принципов и понятий стало необходимым для администраторов. Пакет Messaging and Security Feature Pack для системы Windows Mobile 5.0 имеет поддержку сертификатов S/MIME для смарт-телефонов. Кроме того, сервер Microsoft Exchange Server 2003 с пакетом обновления 2 (SP2) имеет поддержку стандарта S/MIME для веб-клиента Microsoft Outlook® (OWA). Данный документ содержит введение в стандарт S/MIME и связанные с ним понятия, а также руководства по внедрению S/MIME. Специальные знания в области безопасности не требуются. В документе приведены базовые понятия S/MIME, которым можно найти конкретное применение при работе с сервером Exchange Server. Выгоды от использования S/MIMEДо появления S/MIME администраторы использовали для передачи сообщений электронной почты широко применявшийся протокол SMTP, изначально обладавший меньшим уровнем защищенности. Кроме этого, администраторы применяли более безопасные, но самостоятельно разработанные и, следовательно, специфичные решения. В сущности, перед ними стоял выбор между безопасностью и совместимостью. С появлением стандарта S/MIME администраторы получили альтернативу, обеспечивающую более высокий уровень безопасности, чем протокол SMTP, а также широкую совместимость и безопасность обмена сообщениями электронной почты. Стандарт S/MIME включает в себя две службы безопасности:
Эти две службы являются главными компонентами системы безопасности, основанной на стандарте S/MIME. Все остальные понятия, относящиеся к защите сообщений, предназначены для поддержки этих двух служб. Несмотря на то, что вся система защиты сообщений может показаться сложной для понимания, две указанные службы являются основой обеспечения безопасности сообщений. Цифровые подписи и шифрование сообщений не являются взаимоисключающими службами. Каждая из них направлена на решение определенных задач обеспечения безопасности. Цифровые подписи предназначены для решения задач проверки подлинности и предотвращения отказа от авторства, а шифрование сообщений направлено на обеспечение конфиденциальности. Поскольку каждая из этих служб выполняет только свою задачу, стратегия защиты сообщений требует работы обеих служб, причем зачастую одновременно. Обе службы разработаны с учетом возможности их совместного использования, так как каждая в отдельности обслуживает одну из сторон взаимоотношений отправителя и получателя. Служба цифровых подписей занимается вопросами безопасности, относящимися к отправителям, а служба шифрования — вопросами, связанными с получателями. При совместном использовании цифровых подписей и шифрования сотрудники предприятия извлекают пользу их обеих служб. При совместном применении ни одна из них не влияет на использование и работу другой. Цифровые подписиСлужба цифровых подписей является более широко используемой службой S/MIME. Как следует из названия, цифровые подписи являются электронным аналогом традиционных подписей на печатных документах, имеющих законную силу. Как и подписи на печатных документах, цифровые подписи обеспечивают следующие возможности защиты:
Шифрование сообщенийШифрование сообщений — это решение, обеспечивающее неразглашение информации. Службы электронной почты в Интернете на основе протокола SMTP не обеспечивают безопасность сообщений. Сообщение электронной почты, отправленное через Интернет по протоколу SMTP, может прочитать любой человек, обнаруживший его при передаче или в месте его хранения. Стандарт S/MIME помогает в решении этих проблем при помощи шифрования. Шифрование — это метод, при помощи которого данные изменяются таким образом, что их невозможно прочитать и понять, если не вернуть их в доступную для восприятия исходную форму. Несмотря на то, что шифрование сообщений применяется не так широко, как цифровые подписи, оно направлено на устранение самой серьезной, по мнению многих, уязвимости электронной почты, передающейся через Интернет. Шифрование сообщений обеспечивает две отдельные службы обеспечения безопасности.
Требования S/MIMEДля обеспечения конфиденциальности электронной почты требуется наличие в рабочей среде особых компонентов. В данном разделе перечислены эти компоненты. Инфраструктура открытых ключей (PKI)Инфраструктура PKI необходима решениям S/MIME, чтобы предоставлять цифровым сертификатам пары открытых или частных ключей и сопоставлять сертификаты в службе Active Directory®. Согласно стандарту S/MIME цифровые сертификаты, использующиеся в S/MIME, соответствуют стандарту X.509 Международного Союза Телекоммуникаций (ITU). Согласно версии 3 стандарта S/MIME цифровые сертификаты должны соответствовать версии 3 стандарта X.509. Поскольку S/MIME основан на установленном общепринятом стандарте структуры цифровых сертификатов, стандарт S/MIME строится на его основе и способствует его признанию. Инфраструктуру PKI для поддержки стандарта S/MIME можно реализовать одним из следующих двух способов: путем предоставления внешней организации инфраструктуры внутреннего сертификата либо путем использования служб сертификации в составе операционной системы Microsoft Windows Server™ 2003. Дополнительные сведения о службах сертификации в Windows Server 2003 см. на веб-узле «Инфраструктура открытых ключей для Windows Server 2003» (эта ссылка может указывать на содержимое полностью или частично на английском языке). Инфраструктура открытых ключей должна иметь механизм отзыва сертификата. Отзыв сертификата необходим при истечении срока действия сертификата или при возможном нарушении безопасности сертификата злоумышленником. Отзывая сертификат, администратор запрещает доступ любым пользователям, работающим с этим сертификатом. Каждый сертификат содержит данные о местоположении списка аннулированных сертификатов (CRL). Более подробные сведения об управлении отзывом сертификатов см. в статье «Управление отзывом сертификатов» (эта ссылка может указывать на содержимое полностью или частично на английском языке). Шаблоны сертификатовСистема Windows Server 2003 предоставляет определенные шаблоны сертификатов, чтобы выпускать цифровые сертификаты для использования со стандартом S/MIME. Для выдачи сертификатов безопасного обмена сообщениями электронной почты можно использовать три многофункциональных шаблона сертификатов.
Примечание. Корпорация Майкрософт настоятельно рекомендует обновить текущую версию инфраструктуры открытых ключей Windows Server 2003 до версии инфраструктуры открытых ключей Windows Server 2003 с пакетом обновления 1 (SP1), чтобы иметь возможность пользоваться улучшенными средствами защиты. Дополнительные сведения о шаблонах сертификатов см. в статье «Шаблоны сертификатов» на веб-узле Microsoft TechNet (эта ссылка может указывать на содержимое полностью или частично на английском языке). Active DirectoryСлужба Active Directory является ключевым компонентом для реализации сертификатов S/MIME. Для развертывания сертификатов пользователям с целью использования в службах электронной почты администратор может использовать такую функцию групповой политики, как автоматическая подача заявок на сертификаты. Кроме того, служба Active Directory в составе Windows Server 2003 включает в себя встроенную поддержку для нескольких клиентов электронной почты корпорации Майкрософт, в том числе приложений Microsoft Outlook и Outlook Express, а также веб-клиента Outlook (OWA) с S/MIME, в качестве каталога PKI и возможность отображать учетные записи пользователей в сертификаты. Для получения подробных сведений об отображении сертификатов см. статью «Сопоставление сертификатов и учетных записей пользователей» (эта ссылка может указывать на содержимое частично или полностью на английском зыке). Exchange Server 2003Обеспечивая поддержку ряду клиентов электронной почты, администраторы сервера Exchange Server 2003 могут настраивать развертывание клиентов для соответствия конкретным условиям. Поддержка сервером Exchange Server 2003 стандарта S/MIME для клиентов сходна с общей поддержкой клиентов в том аспекте, что пользователь может одновременно работать с любыми клиентами. Таким образом, основанное на S/MIME решение в составе сервера Exchange Server 2003 может поддерживать клиенты Microsoft Outlook, клиенты OWA и клиенты Outlook Express одновременно, используя протокол POP3. Между тем, поскольку клиент электронной почты должен поддерживать S/MIME версии 3 и поддерживаться сервером Exchange Server, не все клиенты могут являться клиентами S/MIME. Поддержка стандарта S/MIME также обеспечивается серверами Exchange Server 2000 и Exchange Server 2007. Клиенты электронной почтыСервер Exchange Server 2003 поддерживает клиентов S/MIME посредством существующей поддержки протоколов клиентов. Если поддерживаемый клиент также обеспечивает поддержку S/MIME, то такой клиент можно использовать совместно с сервером Exchange Server 2003. Если клиент не поддерживает версию 3 стандарта S/MIME , то такой клиент, тем не менее, можно использовать для прочтения четко подписанных сообщений. Microsoft Outlook 2003Приложение Microsoft Outlook поддерживает соединение с сервером Exchange Server 2003 через интерфейс MAPI. Кроме того, клиент Outlook может подключаться к серверу посредством протоколов POP3 и IMAP4. Сервер Exchange Server 2003 S/MIME можно использовать с любой версией Outlook, поддерживающей цифровые сертификаты стандарта X.509 (версия 3). Полная поддержка приложением Outlook сертификатов стандарта X.509 (версии 3) была впервые введена в Outlook 2000 с набором исправлений 1 (SR-1). Клиенты POP3 и IMAP4Если клиент электронной почты поддерживает версию 2 или 3 стандарта S/MIME, то сервер Exchange Server 2003 обеспечивает полную поддержку клиентов S/MIME с помощью стандартных протоколов POP3 и IMAP4. Любой клиент с поддержкой версии 2 или 3 стандарта S/MIME и поддержкой протокола POP3 или IMAP4 может использоваться в качестве клиента электронной почты в системе защиты сообщений в составе сервера Exchange Server 2003. Поскольку любой клиент с поддержкой стандарта S/MIME обеспечивает полную поддержку всех служб защиты сообщений, такие клиенты могут использоваться в качестве полноценных клиентов электронной почты. Майкрософт обеспечивает поддержку версии 3 стандарта S/MIME в клиентах POP3 и IMAP4 в Outlook Express версии 5.5 и выше и Outlook 2000 с набором исправлений SR-1a или более поздней версии. Примечание. Различные интернет-стандарты и клиенты электронной почты имеют собственные требования и методы обработки сертификатов стандарта X.509 версии 3. Учитывайте эти требования и вопросы совместимости при принятии решения о поддержке определенных клиентов электронной почты. Рекомендации по работеПосле внедрения и проверки элементов данного решения необходимо также постоянно выполнять большое количество действий, чтобы гарантировать, что решение будет успешно обеспечивать конфиденциальность сообщений электронной почты. Ниже перечислены основные рекомендации по работе.
Теги:
Комментарии посетителей
Комментарии отключены. С вопросами по статьям обращайтесь в форум.
|
|
