Embed Size (px)
Citation preview
Assurer la confidentialité de vos documents
Assurer la confidentialité de vos documents
Stephane SaunierTSP Sécurité
Microsoft France
La problématiqueLa problématique
Quelques faits
L information numérique est devenu une L information numérique est devenu une composante vitale de l entreprise.composante vitale de l entreprise.Elle n’a de valeur que si elle est utilisée Elle n’a de valeur que si elle est utilisée et partagée.et partagée.La technologie et la mobilité ont La technologie et la mobilité ont énormément étendus le périmètre énormément étendus le périmètre d’usage de cette information. d’usage de cette information. La taille des entreprises ne permet plus La taille des entreprises ne permet plus de se reposer sur la seule confiance de se reposer sur la seule confiance entre collègues.entre collègues.Les erreurs de manipulation sont Les erreurs de manipulation sont fréquentesfréquentes
Le département de la justice américaine estimait en 2004 a Le département de la justice américaine estimait en 2004 a 250 Millions de dollar le cout de fuites d information en 250 Millions de dollar le cout de fuites d information en entrepriseentreprisePerte d avantage complétifPerte d avantage complétif
Le département de la justice américaine estimait en 2004 a Le département de la justice américaine estimait en 2004 a 250 Millions de dollar le cout de fuites d information en 250 Millions de dollar le cout de fuites d information en entrepriseentreprisePerte d avantage complétifPerte d avantage complétif
La perte d information coute a l entreprise
La fuite de certain mails du haut management peuvent être La fuite de certain mails du haut management peuvent être embarrassant.embarrassant.Cela peut générer une perte de crédibilité pour la société et Cela peut générer une perte de crédibilité pour la société et faire descendre les revenus.faire descendre les revenus.
La fuite de certain mails du haut management peuvent être La fuite de certain mails du haut management peuvent être embarrassant.embarrassant.Cela peut générer une perte de crédibilité pour la société et Cela peut générer une perte de crédibilité pour la société et faire descendre les revenus.faire descendre les revenus.
Dans certain domaine (bancaire et financier par exemple) Dans certain domaine (bancaire et financier par exemple) une perte d information confidentiel peut générer des procès une perte d information confidentiel peut générer des procès couteux couteux
Dans certain domaine (bancaire et financier par exemple) Dans certain domaine (bancaire et financier par exemple) une perte d information confidentiel peut générer des procès une perte d information confidentiel peut générer des procès couteux couteux
Perte Perte financierefinanciere
Perte Perte financierefinanciere
Image & Image & CredibiliteCredibiliteImage & Image &
CredibiliteCredibilite
LegalLegalLegalLegal
Alors que faire ?Alors que faire ?
Peut on utiliser un schéma de Peut on utiliser un schéma de protection classique ?protection classique ?
Access Control
Access Control
ListListAccepté
Accepté
Refusé
Refusé UtilisateursUtilisateurs
FilFilee
FilFilee
Périmètre:Périmètre:
Pare-feuPare-feu
Contrôle d’accès classique (ACL)
Basé sur une protection de périmètre…Basé sur une protection de périmètre…
… … contrôle de l’accès, et non de contrôle de l’accès, et non de l’usagel’usage
Ou basé sur la confiance …Ou basé sur la confiance …
Les bases de la DRM
Alors que faire ?Alors que faire ?Peut on utiliser un schéma de protection Peut on utiliser un schéma de protection classique ?classique ?… … Non Non Il faudrait pouvoirIl faudrait pouvoir
Définir des droits d utilisationsDéfinir des droits d utilisationsLes rendre solidaire aux données a protéger Les rendre solidaire aux données a protéger Rendre les données inaccessibles hors de Rendre les données inaccessibles hors de control d un agent logiciel réglementant l control d un agent logiciel réglementant l usage.usage.… … Il faudrait que tout cela soit transparentIl faudrait que tout cela soit transparent
DRM / RELDRM / REL
Language d’expressions de droit (REL)
Chaque « expression de droits » peut spécifier Chaque « expression de droits » peut spécifier une combinaison de règles telle que :une combinaison de règles telle que :
quels quels droitsdroits sont disponible, sont disponible,
pour pour quiqui,,
Combien de Combien de foisfois, ,
Pendant quelle Pendant quelle période de tempspériode de temps,,
sous quelles sous quelles conditions d’accèsconditions d’accès, ,
pour quel pour quel montantmontant, ,
à l’intérieur de quel à l’intérieur de quel territoireterritoire, et , et
avec quellesavec quelles obligationsobligations,,
etcetc..
Les RELs aujourd’hui
Les langages d’expression de droits sont Les langages d’expression de droits sont généralement fondés sur XMLgénéralement fondés sur XML
On peut considérer qu’aujourd’hui, il existe On peut considérer qu’aujourd’hui, il existe deux grandes familles de standards publics deux grandes familles de standards publics de REL : de REL :
celle fondée sur ODRL (celle fondée sur ODRL (Open Digital Rights Open Digital Rights LanguagesLanguages) )
celle fondée sur XrML (celle fondée sur XrML (eXtensible Rights Markup eXtensible Rights Markup LanguageLanguage))
Sans compter les deux « standards Sans compter les deux « standards propriétaires » que sont propriétaires » que sont
AAC/FairPlay d’Apple (iPod/iTunes)AAC/FairPlay d’Apple (iPod/iTunes)
Connect/ATRAC de SonyConnect/ATRAC de Sony
DRM pour l’entreprise et DRM pour les médias
Gestion de droits Gestion de droits numériques en numériques en entreprise (IRM)entreprise (IRM)
DRM pour les DRM pour les médias (Windows médias (Windows Media DRM)Media DRM)
ContenuContenu EntrepriseEntreprise
Documents, email, pages Documents, email, pages web, etc.web, etc.
Commercial Commercial contentcontent
Musique, films, Musique, films, TV, etc.TV, etc.
AuthentificaAuthentificationtion
Fondée sur l’identitéFondée sur l’identité Fondée sur la Fondée sur la machinemachine
Politique/Politique/RèglesRègles
Politique de l’entreprisePolitique de l’entreprise
ConfidentialitéConfidentialité
Cycle de vie des Cycle de vie des documentsdocuments
ConformitéConformité
Règles businessRègles business
AchatAchat
LocationLocation
SouscriptionSouscription
Que sont RMS et IRM?
Rights Management ServicesRights Management Services (RMS) est (RMS) est une plateforme pour la mise en place de une plateforme pour la mise en place de solution de DRM en entreprise telle que solution de DRM en entreprise telle que décrite précédemment.décrite précédemment.
Supporte le développement de solutions tierces Supporte le développement de solutions tierces riches au dessus de RMS à l’aide du riches au dessus de RMS à l’aide du Software Software Development KitDevelopment Kit (SDK) RMS (SDK) RMS
IRM est un développement que MS Office a IRM est un développement que MS Office a effectué sur le socle RMS.effectué sur le socle RMS.
Caractéristiques des droit IRMCaractéristiques des droit IRM
Définir qui peut ouvrir, modifier, Définir qui peut ouvrir, modifier, imprimer, transférer et / ou imprimer, transférer et / ou entreprendre d’autres actions avec les entreprendre d’autres actions avec les données (possibilité d’utiliser des listes données (possibilité d’utiliser des listes de distribution contenues dans Active de distribution contenues dans Active Directory)Directory)
Fixer une date d’expiration sur des Fixer une date d’expiration sur des messages électroniques ou des messages électroniques ou des documents…documents…
… … à une date donnéeà une date donnée
… … tous les n jours, en exigeant tous les n jours, en exigeant l’acquisition d’une nouvelle licencel’acquisition d’une nouvelle licence
Les droits peuvent s appliquer a l Les droits peuvent s appliquer a l aide de Templatesaide de Templates
ArchitectureArchitecture
Les composants
RMS Client
•RMS Lockbox
•Client API
RMS Server
•Certification
•Licensing
•Templates
Active Directory•Authentication•Service Discovery•Group MembershipSQL Server•Configuration data•Logging
Applications Clientes & Serveurs compatibles RMS
Flux de publication RMS
AuteurAuteur DestinataireDestinataire
Serveur RMSServeur RMS
SQL Server Active Directory
2 3
4
5
2.2. L’auteur définit un ensemble de L’auteur définit un ensemble de droits d’utilisation et de règles droits d’utilisation et de règles pour son fichier. l’application crée pour son fichier. l’application crée une licence de publication une licence de publication (PL) (PL) et chiffre le fichier.et chiffre le fichier.
3.3. L’auteur distribue le fichier.L’auteur distribue le fichier.
4.4. Le destinataire ouvre le fichier, Le destinataire ouvre le fichier, l’application appelle le serveur l’application appelle le serveur RMS qui vérifie que l’utilisateur est RMS qui vérifie que l’utilisateur est valide (RAC) et fournit une licence valide (RAC) et fournit une licence d’utilisation (UL).d’utilisation (UL).
5.5. L’application effectue le rendu du L’application effectue le rendu du fichier et fait respecter les droits.fichier et fait respecter les droits.
1.1. L’auteur reçoit des certificats L’auteur reçoit des certificats (SPC/RAC/CLC) la première fois (SPC/RAC/CLC) la première fois qu’il protège des informations. qu’il protège des informations.
1
ApplicationApplicationL’application hôte est responsable du respect des
droits accordés à l’utilisateur.
Client RMClient RM
Le client contient toute la logique pour interagir avec le
serveur, pour publier de nouvelles licences et gérer le
stockage des licences
Architecture côté client
LockboxLockboxLa lockbox (boîte à clé) contient les clés, réalise les
opérations cryptographiques,
et fournit des défenses contre les modifications (ex : anti debug)
Information protégée
a
Droits et ayants droits (adresses e-
mail)
Clé de sessionChiffré avec
clé publique serveur
Licence publicatio
n
Contenu du fichier(Texte, Images, méta data, etc…)
Licences utilisatio
n
Clé de session
Droits pour l'ayant droit
Chiffré avec la clé
publique de l'ayant droit
Création lors de la
protection du fichier
Ajouté au fichier lors de l'ouverture par
les ayants droits
Chiffré avec clé de session,
typiquement DES56 ou
AES128 (AES128 pour Office 2003)
Chiffré avec clé publique
serveur
Chiffré avec la clé
publique de l'ayant droit
Les EUL E-mail (Outlook 2003) sont stockées sur le disque, et non avec les messages
Rendu HTML de documents protégés
Entête de document et métadonnées
Licence de publication et
Licence d’utilisation
Document chiffré (data stream
ou MIME part)
Rendu HTML chiffré (data stream
ou MIME part)
Pied de document
Le document est protégé par des droits numériques et un rendu HTML, lui- même protégé, est créé
RMA extrait le contenuHTML du fichier au format Office
RMA récupère une Licenced’utilisation et offre à l’utilisateurles droits qui lui ont été accordés.Ne peut pas être utilisé pour éditer le contenu
L’utilisateur crée un document Office 2003
FonctionnalitéFonctionnalité IRMIRM S/MIME S/MIME signatusignatu
rere
S/MIME S/MIME chiffremechiffreme
ntnt
ACLACLss
EFSEFS
Identification de l’émetteurIdentification de l’émetteur Permissions par utililsateurPermissions par utililsateur Contrôle de la lecture non autoriséeContrôle de la lecture non autorisée Chiffrement des contenusChiffrement des contenus Expiration temporelle de l’accès au Expiration temporelle de l’accès au contenucontenu Expiration liée à l’usage du contenuExpiration liée à l’usage du contenu Contrôle de la possibilité de lire, Contrôle de la possibilité de lire, transmettre, sauvegarder modifier ou transmettre, sauvegarder modifier ou imprimer un contenuimprimer un contenu
11
Elargir la protection au delà du Elargir la protection au delà du périmètre initial de publicationpérimètre initial de publication 22
1. Les ACLs peuvent être positionnées sur: modification, écriture ou lecture seule.1. Les ACLs peuvent être positionnées sur: modification, écriture ou lecture seule.2. Pour un fichier copié ou déplacé, le chiffrement EFS est maintenu uniquement si le support de destination est au format 2. Pour un fichier copié ou déplacé, le chiffrement EFS est maintenu uniquement si le support de destination est au format NTFS et si le répertoire de destination est identifié comme devant être chiffréNTFS et si le répertoire de destination est identifié comme devant être chiffré..
IRM/RMS: solution complémentaire…
Ce que IRM ne fait pas…
……restreindre l’utilisation des MP3restreindre l’utilisation des MP3
……être à l’épreuve du piratageêtre à l’épreuve du piratage
……protéger contre les attaques protéger contre les attaques analogiquesanalogiques
Les limites…
InstallationUtilisationInstallationUtilisation
Pré-requis RMS
Active DirectoryActive DirectoryWindows 2000 ou Windows 2003Windows 2000 ou Windows 2003
Utilisé pour l’authentification, la gestion des groupes (Utilisé pour l’authentification, la gestion des groupes (group group expansionexpansion), et la découverte des services), et la découverte des services
Windows Server 2003Windows Server 2003Toute version (Web, Standard, Enterprise Edition, Toute version (Web, Standard, Enterprise Edition, Datacenter)Datacenter)
IIS 6.0, ASP.NET, & MSMQ installésIIS 6.0, ASP.NET, & MSMQ installés
CompatibilitéCompatibilitéWindows 98, Windows Me, Windows 2000 SP3, Windows XP Windows 98, Windows Me, Windows 2000 SP3, Windows XP SP1 ou supérieurSP1 ou supérieur
Pré-requis RMS (suite)
Base de donnéesBase de donnéesPour stocker la configuration, certification, et le Pour stocker la configuration, certification, et le loggingloggingSQL Server 2000 ou compatible indispensableSQL Server 2000 ou compatible indispensable
MSDE supportés en SP1MSDE supportés en SP1
Applications compatibles RMSApplications compatibles RMSMicrosoft Office 2003 & le Microsoft Office 2003 & le Rights Management Rights Management Add-OnAdd-On pour Internet Explorer (disponibles) pour Internet Explorer (disponibles)
Microsoft Exchange 2003 n’est pas indispensable, Microsoft Exchange 2003 n’est pas indispensable, mais les utilisateurs doivent disposer d’une mais les utilisateurs doivent disposer d’une adresse de messagerie adresse de messagerie
1. Installer les servicesIIS, MSMQ, ASP.NET2. Installer le serveur RMS3. “Activer” le serveur RMS
Machines clientesServeur RMS
(configuration simple mono-serveur) Services hébergés par Microsoft
Partie publique de la paire de clefsCrée et signele SLC
Server Licensor Certificate (SLC) signé
Installation initiale d’un environnement RMS Actions administrateur
Installation du serverInstallation du server
Activation du Serveur
Serveur RMS
MSN Server Enrollment Server
1) Génération Bi 1) Génération Bi CléClé
2) requête de Certification clé publique
5) Réponse a la demande de certification
3) Clé public 3) Clé public dans SLCdans SLC
Clé privée CAClé privée CAMicrosoftMicrosoft
4) 4) Signature Signature
du du certificatcertificat
Server Server LicensorLicensor
CertificateCertificate
Server Server LicensorLicensor
CertificateCertificate
HWID hash
Rights Account Certificate (RAC)-User Private Key, chiffré avec la clef publique machine
-User Public Key
1. Installer les servicesIIS, MSMQ, ASP.NET2. Installer le serveur RMS3. “Activer” le serveur RMS
Machines clientesServeur RMS
(configuration simple mono-serveur) Services hébergés par Microsoft
Partie publique de la paire de clefsCrée et signele SLC
Server Licensor Certificate (SLC) signé
Installation de la partie cliente RMS
Installation d’applicationscompatibles RMS(e.g. Word, Outlook…)
Activation du client RMS Service d’activation
Authentification utilisateur & premier usage de RMS Certification:
Vérification du SID auprès de ADCrée + log une paire de clefs utilisateur
Installation initiale & provisioning d’un environnement RMS
Demande de CLC (Client Licensor Certificate) RAC
Validation du RACCrée une paire de clefs “Cliente”
Client Licensor Certificate (CLC)-CLC clef privée, chiffré avec la clef publique RAC
-CLC Clef publique et copie du SLC
Publication ou consommation EN LIGNE
Publication HORS ligne
Actions administrateur
Création d’une paire de clefs Machine (Machine Certificate)
Machine certificate
Authentication credentials
UtilisationUtilisation
RMS Website: http://www.microsoft.com/rms
RMS Blog: http://blogs.msdn.com/rms
RMS TechNet Virtual Lab: http://www.microsoft.com/technet/traincert/virtuallab/rms.mspx
Microsoft Security: http://www.microsoft.com/security
Microsoft IT’s RMS deployment: http://www.microsoft.com/technet/itsolutions/msit/infowork/deprmswp.mspx
RMS SDK on MSDN: http://msdn.microsoft.com/library/en-us/dnanchor/html/rm_sdks_overview.asp
Resources
Pour aller plus loin …
Hands-on Lab JMS 2006 Rights Hands-on Lab JMS 2006 Rights Management Services (RMS)Management Services (RMS)
Vous permettre de tester l installation, l Vous permettre de tester l installation, l utilisation de la solution sur des machines utilisation de la solution sur des machines virtuellesvirtuelles
Microsoft FranceMicrosoft France18, avenue du Québec18, avenue du Québec
91 957 Courtaboeuf Cedex91 957 Courtaboeuf Cedex
www.microsoft.com/france
0 825 827 8290 825 827 829
[email protected]@microsoft.com
Document /Document /MessageMessage
Droits (XrmL)Droits (XrmL)
Contenu ChiffreContenu Chiffre
API RMS ClientAPI RMS Client
SOAP sur SSLSOAP sur SSL
IIS + ASP.NETIIS + ASP.NET
IE ExtensionIE ExtensionRMARMA
Applicatif IRMApplicatif IRMIEIE Applicatif IRMApplicatif IRM
Office 2003 ProOffice 2003 ProWeb Service RMSWeb Service RMS
CertificationCertification
AdministrationAdministration
Web Service RMSWeb Service RMSLicensingLicensing
Doc Chiffre + License de publicationDoc Chiffre + License de publicationDoc Déchiffré + License d utilisationDoc Déchiffré + License d utilisation
Détection Protection DRMDétection Protection DRM
Client RMSClient RMS
ADAD
AuthentificationAuthentification
Logging – Séquestre clésLogging – Séquestre clés
Serveur RMSServeur RMS
SQLSQL
Obtention licencesObtention licences
Certification ClientCertification Client
CLCSPC RAC
