Informazioni sulla decrittografia di trasporto

Si applica a: Exchange Server 2010 SP2, Exchange Server 2010 SP3

Ultima modifica dell'argomento: 2010-06-28

In Microsoft Exchange Server 2010, Microsoft Outlook 2010 e Microsoft Office Outlook Web App, gli utenti possono utilizzare Information Rights Management (IRM) per proteggere i messaggi. È possibile creare le regole di protezione di Outlook per applicare automaticamente la protezione IRM ai messaggi prima che vengano inviati da un client Outlook 2010. È possibile anche creare le regole di protezione di trasporto per applicare la protezione IRM ai messaggi in transito che soddisfano le condizioni delle regole. La decrittografia di trasporto consente di accedere ai messaggi protetti con IRM per applicare i criteri di messaggistica.

Per informazioni sulle attività di gestione relative alla gestione IRM, vedere Gestione della protezione dei diritti.

Limitazioni di altre soluzioni di crittografia

Se è importante che l'organizzazione protegga le informazioni riservate, comprese le informazioni aziendali e quelle personali, è opportuno crittografare i messaggi di posta elettronica e gli allegati. Le soluzioni di crittografia dei messaggi di posta elettronica, ad esempio S/MIME, sono state disponibili per molto tempo. Tali soluzioni sono state utilizzate da diversi tipi di organizzazioni in diversi campi. Tuttavia, presentano le seguenti problematiche:

• Impossibilità di applicare i criteri di messaggistica   Le organizzazioni devono soddisfare i requisiti di conformità che richiedono di controllare il contenuto dei messaggi per fare in modo che sia conforme ai criteri di messaggistica. Tuttavia, i messaggi crittografati con la maggior parte delle soluzioni di crittografia basate su client, compreso S/MIME, impediscono il controllo del contenuto sul server. Se il controllo non viene eseguito, l'organizzazione non è in grado di confermare che tutti i messaggi inviati o ricevuti dagli utenti sono conformi ai criteri di messaggistica. Ad esempio, per essere conformi ad una normativa legale, è stata configurata una regola di trasporto per rilevare PII, come un numero di previdenza sociale ed è stato applicata una dichiarazione di non responsabilità al messaggio. Se il messaggio è crittografato, l'agente delle regole di trasporto sul server Trasporto Hub non è in grado di accedere al contenuto del messaggio e di conseguenza non verrà applicata la dichiarazione di non responsabilità. Questo determina una violazione del criterio.

• Sicurezza diminuita   Il software antivirus non è in grado di eseguire la scansione dei messaggi crittografati. L'organizzazione sarà maggiormente esposta al rischio di ricevere contenuti dannosi, come virus o worm. Di solito i messaggi crittografati vengono considerati affidabili dalla maggior parte degli utenti. Di conseguenza, aumenta la probabilità di diffusione di virus nell'organizzazione. Ad esempio, è stata configurata una regola di protezione di Outlook per applicare automaticamente la protezione IRM a tutti i messaggi inviati all'elenco di distribuzione Tutti i dipendenti con il modello RMS (Rights Management Service) riservato dell'azienda. La workstation dell'utente viene infettata da un virus che si diffonde utilizzando automaticamente Rispondi a tutti per rispondere ai messaggi. Se il messaggio contenente il virus è crittografato, lo scanner antivirus non è in grado di eseguire la scansione del messaggio.

• Impatto sugli agenti di trasporto personalizzati   Molte organizzazioni sviluppano agenti di trasporto personalizzati per scopi diversi, ad esempio soddisfare i requisiti di elaborazione per la conformità, sicurezza o routing dei messaggi personalizzati. Gli agenti di trasporto personalizzati sviluppati da un'organizzazione per controllare o modificare i messaggi non sono in grado di elaborare i messaggi crittografati. Se gli agenti di trasporto personalizzati sviluppati dall'organizzazione non sono in grado di accedere al contenuto dei messaggi, è possibile che la crittografia dei messaggi impedisca all'organizzazione di raggiungere gli obiettivi per i quali sono stati sviluppati gli agenti di trasporto.

Utilizzo della decrittografia di trasporto per il contenuto crittografato

In Exchange 2010, le funzionalità IRM risolvono questi problemi. Se i messaggi sono protetti con IRM, la decrittografia di trasporto consente all'utente di decrittografarli durante il trasferimento. I messaggi protetti con IRM vengono decrittografati dall'agente di decrittografia, un agente di trasporto per la verifica della conformità.

L'agente di decrittografia consente di decrittografare i seguenti tipi di messaggi protetti con IRM:

1. Messaggi protetti con IRM dall'utente in Outlook Web App.

2. Messaggi protetti con IRM dall'utente in Outlook 2010.

3. Messaggi automaticamente protetti con IRM dalle regole di protezione di Outlook in Outlook 2010.

La decrittografia di trasporto viene eseguita sul primo server Trasporto Hub di Exchange 2010 che gestisce un messaggio nella foresta di Active Directory. Se il messaggio viene trasferito su un server Trasporto Hub in un'altra foresta di Active Directory, verrà nuovamente decrittografato. Dopo la decrittografia, il contenuto non crittografato sarà disponibile sugli altri agenti di trasporto in quel server. Ad esempio, l'agente delle regole di trasporto su un server Trasporto Hub può controllare il contenuto del messaggio e applicare le regole di trasporto. Qualsiasi azione specificata nella regola, ad esempio l'applicazione di una dichiarazione di non responsabilità o la modifica del messaggio, può essere eseguita nel messaggio non crittografato. Gli agenti di trasporto di terze parti, ad esempio gli scanner antivirus, possono eseguire la scansione del messaggio per verificare la presenza di virus o altro malware. Dopo che altri agenti di trasporto hanno controllato il messaggio e apportato delle modifiche, il messaggio verrà nuovamente crittografato con gli stessi diritti utente che aveva prima di essere decrittografato dall'agente di decrittografia. Lo stesso messaggio non viene di nuovo decrittografato da altri server Trasporto Hub dell'organizzazione.

I messaggi decrittografati dall'agente di decrittografia non lasciano il server Trasporto Hub senza essere stati prima nuovamente crittografati. Se viene restituito un errore temporaneo durante la decrittografia o la crittografia del messaggio, il server Trasporto Hub tenta di eseguire l'operazione due volte. Al terzo tentativo non riuscito, l'errore viene considerato un errore permanente. Se si verificano errori permanenti, compresi gli errori temporanei considerati errori permanenti, il server Trasporto Hub li considera nel modo seguente:

• Se l'errore permanente si verifica durante la decrittografia, il rapporto di mancato recapito viene inviato solo se la decrittografia di trasporto è impostata su Mandatory e il messaggio crittografato viene inviato con il rapporto di mancato recapito. Per ulteriori informazioni sulle opzioni di configurazione disponibili per la decrittografia di trasporto, vedere la sezione Configurazione della decrittografia di trasporto descritta in seguito in questo argomento.

• Se l'errore permanente si verifica durante la nuova crittografia, il rapporto di mancato recapito viene sempre inviato senza il messaggio decrittografato.

Configurazione della decrittografia di trasporto

La decrittografia di trasporto viene configurata utilizzando il cmdlet Set-IRMConfiguration in Exchange Management Shell. Tuttavia, prima di configurare la decrittografia di trasporto, è necessario fornire ai server Exchange 2010 il diritto di decrittografare il contenuto protetto dal server AD RMS. È possibile eseguire l'operazione aggiungendo la cassetta postale di recapito federativo al gruppo di utenti con privilegi avanzati configurati nel cluster AD RMS dell'organizzazione.

Per i dettagli, vedere Aggiunta di una cassetta postale di recapito federato per il gruppo di utenti con privilegi avanzati AD RMS.

In Exchange 2010 esistono due impostazioni diverse quando si abilita la decrittografia di trasporto:

• Obbligatorio   Quando la decrittografia di trasporto è impostata su Mandatory, l'agente di decrittografia rifiuta il messaggio e restituisce un rapporto di mancato recapito al mittente se viene restituito un errore permanente durante la decrittografia del messaggio. Se l'organizzazione non desidera che il messaggio (non correttamente decrittografato) venga recapitato e se viene eseguita la scansione antivirus e vengono applicate le regole di trasporto, è necessario scegliere questa impostazione.

• Facoltativo   Quando la decrittografia di trasporto è impostata su Facoltativo, l'agente di decrittografia utilizza una tecnica migliore. Vengono decrittografati i messaggi in cui è possibile eseguire questa operazione. Tuttavia, vengono recapitati anche i messaggi in cui si è verificato un errore permanente durante la decrittografia. Se l'organizzazione stabilisce che il recapito dei messaggi ha la priorità sui criteri di messaggistica, è necessario utilizzare questa impostazione.

Per ulteriori informazioni sulla configurazione della decrittografia di trasporto, vedere Abilitazione o disabilitazione della decrittografia di trasporto.

 ©2010 Microsoft Corporation. Tutti i diritti riservati.