Microsoft 內部可信賴的訊息

技術解決方案概述

發佈日期: 2003 年 8 月,2005 年 2 月更新

微軟內部經驗分享

Microsoft 藉著佈署可信賴的訊息技術,替內部企業電子郵件使用者捍衛所傳送的商業機密資料,在提升業務靈活度的同時,不犧牲商業機密資料的完整性與隱密性。

本页内容

私密性期望
可信賴的訊息
b 商業優勢
可信賴的訊息技術概觀
訊息完整性保護
訊息內容保護
訊息機密性保護
結論

機密資料與智慧財產的私密性及安全性對企業來說至關重要。如果電子郵件系統無法讓企業使用者控制可以檢視寄送郵件的對象,便會限制企業營運的靈活度與效率。可惜的是,今日有許多企業因為不清楚相關技術,而過度限制使用電子郵件系統來傳輸機密資料。另外有些企業則根本不了解電子資料私密性和安全性的課題。這些企業隨意地將企業機密資料開放給並不打算存取這些資料的人員或組織。

正如其他身處激烈競爭市場中並創造的高價值智慧財產的企業一樣,Microsoft 需要能夠保障訊息中心流量的安全性,並保護其私密性。為此,Microsoft 資訊技術 (Microsoft IT) 小組實作了可信賴的訊息解決方案來達成這項目標。

私密性期望

假設公司決策主管透過電子郵件,將有關業務目標重大變革的機密訊息和輔助說明文件傳送給執行長 (CEO)。此寄件者期望只有 CEO 才能看見此訊息和附加的文件。而身為收件者的 CEO 則期望此訊息以及附加的文件經過保密且未經竄改。

基本的電子郵件技術並無法充分滿足這些期望。再者,CEO 可能會將機密訊息轉寄給其他人員,而他可能會列印訊息並讓訊息存留在印表機中,無意中將訊息公開給不相關的第三者,並可能因此洩漏給媒體或競爭公司。CEO 接收到訊息與附加的文件之前,它們也可能在傳輸途中遭到攔截及更改。在寄件者或收件者雙方不知情的情況下,附加的文件檔案可能被複製、列印或轉寄給他人。

雖然不常見,但這些都是可能發生的真實情況。不過,如果企業停止使用電子郵件來傳輸機密的商業訊息和文件,企業便會喪失靈活的競爭力。更符合邏輯的作法是,開發更能保護電子郵件使用者的系統,像是 Microsoft IT 實作的可信賴的訊息解決方案。

可信賴的訊息

做為比爾蓋茲草擬的「可信賴的電腦」(Trustworthy Computing) 計劃的一部份,Microsoft IT 使用 Microsoft® Windows Server™ 2003、Microsoft Exchange Server 2003 和 Microsoft Office Professional Edition 2003 提供的技術來建立可信賴的訊息環境。如今,所有 Microsoft 員工都能存取可保障線上商務通訊機密性且使用能夠防護此機密性的權限。可信賴的訊息提供同時使用安全多用獨網際網路郵件延伸標準 (Secure Multipurpose Internet Mail Extensions,S/MIME) 與 Microsoft Windows® Rights Management Services (RMS) 技術的能力,這是滿足電子郵件使用者安全性及私密性需求的必要措施。

可信賴的訊息解決方案為 Microsoft 提供許多寶貴的服務:

  1. 寄件者可以使用 S/MIME 數位簽章來簽署電子郵件訊息,此數位簽章能讓收件者信賴訊息內容的資料完整性。這個簽章可確保訊息經過簽署後未遭竄改。

  2. 寄件者可以利用版權管理,向透過 Office Professional Edition 2003 (Microsoft Office Word 2003、Microsoft Office Excel 2003、Microsoft Office Outlook® 2003 及 Microsoft Office PowerPoint® 2003) 應用程式建立的電子郵件與文件雙方面套用權限。這些權限可根據收件者的身分識別,限制收件者讀取、複製、轉寄、儲存和列印受保護內容的能力。

  3. 寄件者可以套用 S/MIME 加密來實施電子郵件內容的機密性層級。這項防護措施會要求收件者持有解密訊息所需的私密金鑰,藉此避免未經授權的收件者存取內容。

為了能夠使用可信賴的訊息包含的所有技術功能,Microsoft IT 要求全部用戶端使用者 (寄件者與收件者雙方) 都要使用 Office Professional Edition 2003。Microsoft IT 也需要在公司網路上部署 Windows Server 2003 和 RMS 基礎架構以支援可信賴的訊息計劃。Exchange Server 2003 為 Microsoft Outlook Web Access 提供 S/MIME 服務。

商業優勢

部署可信賴的訊息解決方案之後,Microsoft IT 發現兩項顯著的重大商業優勢:加強智慧財產的保障和提高機密資訊的共用性。

加強智慧財產的保障

限制存取電子郵件內的智慧財產的功能有助於保障企業資產。只有授權的使用者才能解密和存取受權限保護的訊息及文件。未經授權的使用者完全無法存取加密的內容,而授權使用者管理文件的能力需遵守授與他的權限設定。

提高機密資訊的共用性

可信賴的訊息能降低無意間公開機密資料的風險。由於風險降低,電子郵件使用者便能放心多使用電子郵件服務功能來共用商業資訊。電子郵件使用者更快做出完善的決策,進而提昇企業靈活度。

可信賴的訊息技術概觀

Microsoft IT 主要用來建立可信賴的訊息環境的兩項技術分別是 S/MIME 與 RMS。

S/MIME

S/MIME 是多用途網際網路郵件延伸標準 (Multipurpose Internet Mail Extensions,MIME) 的安全性導向超集合,這是一項廣泛應用在網際網路上的業界標準通訊協定。MIME 允許資料 (例如視訊、音訊及電腦檔案) 以二進位格式而非 ASCII 格式經由電子郵件在網際網路上傳輸。S/MIME 將公開金鑰加密與數位簽章支援加入 MIME。雖然舊版的 Microsoft 訊息產品就已經支援 S/MIME 技術,但 Outlook 2003 結合了 Windows Server 2003 公開金鑰基礎結構 (PKI) 與 Windows Server 2003 的 Active Directory® 目錄服務,使得 S/MIME 更容易使用。

S/MIME 提供兩項完整服務:數位簽章與加密。Microsoft IT 在其現有的 Windows Server 2003 PKI 建置這些功能來提供 S/MIME 技術,藉此充分發揮這些服務的優勢。

數位簽章

一般而言,經過數位簽署的電子郵件訊息可確保個人間或公司間的通訊可信度,因為它可保證簽章訊息的內容並未遭到任何方式的更改或洩漏。透過密碼程序,會在簽署以及驗證簽章時建立訊息雜湊。這些雜湊將驗證原始簽章的完整性,同時也驗證訊息在簽署之後,訊息內容未遭更改。對簽署訊息進行的任何變動都將造成簽章失效。

另一個附加益處是,數位簽章也可以提供一定程度的訊息來源保證。而這種保證的前提是必須明確信賴下列項目:簽署訊息使用的憑證、相關聯金鑰的保護,以及取得憑證的方法。

訊息加密

加密電子郵件內容 (包括任何附加檔案) 的功能有助於在寄件者與收件者之間進行機密的電子通訊。收件者必須擁有正確的私密金鑰,才能存取加密的訊息內容。這種加強安全性的通訊對許多類型的商務通訊都非常重要。財務或法律公報、產品發行計劃、駭客反制、策略性商業計劃以及其他敏感通訊內容都是很好的例子。

Microsoft IT 的 S/MIME 實作

Microsoft IT 的 S/MIME 實作使用 Windows Server 2003 (企業版) 提供的 PKI。這項基礎結構提供數位簽章與加密憑證。如需 Microsoft IT 如何設定其內部 PKI 的詳細資訊,請參閱「微軟內部經驗分享」白皮書<在 Microsoft 內部部署 PKI>(英文),網址是:http://www.microsoft.com/technet/itsolutions/msit/security/deppkiin.mspx

為了保護 S/MIME 憑證的私密金鑰,Microsoft IT 要求所有 S/MIME 簽章和加密憑證都存放在使用者的個人智慧卡中,並使用個人識別碼 (PIN) 加以保護。所有 Microsoft 員工都會配發多用途的智慧卡,例如當做照片識別證、出入辦公大樓的無線射頻辨識 (Radio Frequency Identification,RFID) 安全鑰匙、儲存和保護網路登入驗證憑證的工具,以及儲存和保護使用者的 S/MIME 憑證與私密金鑰的工具。

使用智慧卡也能促使 Microsoft 員工在行動中使用 S/MIME。由於 Microsoft 員工在工作時間會隨身攜帶智慧卡,他們可以使用任何支援其智慧卡的電腦來傳送和接收受 S/MIME 保護的電子郵件。

如需 Microsoft 內部的智慧卡基礎架構、部署及安全性工具的詳細資訊,請參閱「微軟內部經驗分享」白皮書<Microsoft 內部如何部署智慧卡>(英文),網址是:http://www.microsoft.com/technet/itsolutions/msit/security/smartcrd.mspx。如需 Microsoft IT 如何使用雙重驗證進行遠端網路存取作業的詳細資訊,請參閱「微軟內部經驗分享」白皮書<Microsoft 如何提升遠端存取的安全性>(英文),網址是:http://www.microsoft.com/technet/itsolutions/msit/security/rasecwp.mspx

RMS

RMS 是 Windows Server 2003 提供的 Microsoft .NET Connected Web 服務。使用者可以利用 RMS,將一系列權限指派給物件,這個物件可以是 Outlook 2003 電子郵件訊息,或是使用支援 RMS 的程式 (如 Word 2003) 所建立的文件。這些權限可以限制物件的使用方式以及允許的使用者。使用者可以根據 Windows Server 2003 Active Directory 中的使用者帳戶,針對個人或群組設定不同的權限。這些權限可以授與或拒絕授與下列權限給收件者:讀取、儲存、複製、修改、列印和轉寄保護的物件。使用者也可以將存取權限設定為在特定期限後到期。藉由使用 RMS 權限,一般寄件者可以避免內容在寄出很長一段時間後遭到不當共用。

受 RMS 保護的檔案內容使用 128 位元加密來防止未經授權者存取檔案資料。雖然 RMS 和 S/MIME 都使用加密來提供資料保護,並藉此限制第一個存取訊息及附件的使用者,但 RMS 還會限制收件者收到內容後所能採取的行動,來提供更深一層的保障。

RMS 權限會直接建立與物件檔案而非與其容器的關聯性。不同於來自 NTFS 等檔案系統的權限,使用 RMS 保護的檔案無論儲存在 Microsoft Windows SharePoint® Services 網站、檔案伺服器共用位置、電子郵件附件或磁片中,依然受到保護。即使透過公司防火牆傳送受保護的檔案,也不會影響這些權限。

授權

收件者若要存取 RMS 保護的資料,他必須從 Windows Server 2003 架構 RMS 伺服器取得數位授權。授權類型有兩種:發行和使用。發行授權是提供給每個文件的單一授權;在文件 (或電子郵件訊息) 一開始接受保護時,便會建立此授權。就 Office Professional Edition 2003 而言,用戶端無須連絡 RMS 伺服器便會產生發行授權。RMS 伺服器在允許的收件者存取具有 RMS 保護的文件時,會產生使用授權。每當允許的收件者存取每個受保護的文件時,便會執行授權動作。Outlook 2003 會在同步處理過程中自動取得 RMS 保護電子郵件訊息的使用授權。

RMS 透過指派給使用者的 Active Directory 帳戶的簡易郵件傳送通訊協定 (SMTP) 電子郵件位址來識別使用者,然後將這個位址與受保護內容相關聯的權限清單相對照。如果已授與指定使用者使用者權限,RMS 便會核發使用授權。接著信任的應用程式便可以使用該授權來解密內容。然後信任的應用程式會強制執行指派給收件者的特定使用限制。

這些權限將依層級方式套用至物件。例如,假設將 Word 2003 文件檔案附加到 Outlook 2003 電子郵件訊息。如果是將權限套用至電子郵件訊息而非附加的文件上,則附加文件將繼承這些電子郵件權限。如果 RMS 權限是套用到附加文件,則電子郵件權限並不會改變文件權限。

注意: 以上範例假設文件是在 Office Professional Edition 2003 中建立。

任何會產生文件檔案物件的程式都能編寫成利用 RMS 服務。Office Professional Edition 2003 是第一套使用 RMS 設計成為整合功能的程式集合。RMS 是伺服器端的版權管理。保護機密企業內容之版權管理技術的應用程式稱為「資訊版權管理」(IRM)。

注意: 雖然 Office Professional Edition 2003 是唯一能建立受 IRM 保護內容的 Office 2003 Editions 版本,但其他版本的 Office 2003 Editions 也支援從 Office Professional Edition 2003 程式內部套用到內容的 IRM 權限。

Office Professional Edition 2003 其中一項更有用的功能是,IRM 支援使用事先設定、預設的權限設定原則範本。這些範本可讓企業使用自己的用語來定義標準化的權限集以保護文件。

Microsoft IT 的 RMS 實作

Microsoft IT 的 RMS 實作需要添置三部專用 RMS 伺服器、一對 Microsoft SQL Server™ 2000 伺服器 (安裝為暖容錯移轉叢集),以及用來建立 RMS 伺服器的授權的三個硬體安全性模組。Microsoft IT 不需要額外安排人力來管理這些資源。Microsoft IT 內部實作 RMS 所花費的硬體總支出約為 $56,000 美金。如需 Microsoft IT 的 RMS 基礎結構與部署的詳細資訊,請參閱「微軟內部經驗分享」白皮書<Microsoft 內部如何部署 Windows Rights Management Services>(英文),網址是:http://www.microsoft.com/technet/itsolutions/msit/infowork/deprmswp.mspx

S/MIME 與 IRM 的功能比較

下表比較 S/MIME 數位簽章、S/MIME 加密與 IRM 之間不同的屬性及功能。

[表 1] Microsoft IT 的 S/MIME 簽章、S/MIME 加密與 IRM 實作比較。

功能

S/MIME 簽章

S/MIME 加密

IRM

驗證收件者

能夠使用智慧卡儲存金鑰

可以加密內容

具有防止內容竄改的防護

是 *

否 **

提供內容的到期限制

控制收件者的內容讀取、轉寄、儲存、修改或列印動作

按收件者區分權限

* S/MIME 數位簽章無法防止內容竄改,但是會提示使用者內容套用簽章後是否發生竄改情況。

** S/MIME 加密可避免未經授權使用者存取加密資料,但無法防止加密資訊被竄改。

Microsoft IT 建議使用 IRM 來保護公司內部以電子郵件傳送的「Microsoft 內部專用」商業機密內容。如果是外部傳送的所有加密電子郵件,Microsoft IT 則建議使用 S/MIME 加密。如果要以電子郵件傳送機密的商務關鍵 (最敏感的) 內容,無論內容是要傳送到內部或外部收件者,Microsoft IT 政策規定「必須」使用 S/MIME 簽章和加密。

訊息完整性保護

本節與下文中兩個主要章節將探討 Microsoft IT 中三個常見的商務通訊案例。這些案例說明 Microsoft IT 如何藉由運用可信賴的訊息的各項技術來解決問題。這些案例是各以前一個案例為基礎建置,因此後續案例的情況與需求將更為複雜。

Microsoft IT 的公司基礎架構服務 (Corporate Infrastructure Services,CIS) 小組的發行管理 (RM) 小組負責管理對內部收件者的企業官方通訊,這些內部收件者需要獲知 Microsoft 公司網路上的事件通知及病毒情況。RM 小組常會代表 Microsoft 的資訊長 (CIO) 與資訊安全長 (CISO) 傳達訊息。RM 小組通常透過代表此小組發佈官方消息的單一電子郵件別名傳送訊息。

在第一個案例中,RM 小組需要傳送有關資料中心重大變革的電子郵件給內部伺服器的擁有者。RM 小組認為這項訊息對收件者而言非常重要,希望每位收到電子郵件公告的使用者都能信賴這項資訊的準確性與完整性。可惜的是,駭客只要具備基本的電子郵件技術,就可以中途攔截寄件者的訊息,更改原始訊息的內容,然後重新傳輸更改過的訊息給收件者。基於這種竄改的可能性,即使可能是在遠端發生而且需要高超的技術,收件者對於一般電子郵件的完整性的信心而會因此削弱。

使用 S/MIME 簽署訊息

第一個案例的問題的解決方案就是在傳送訊息之前,先使用 S/MIME 來數位簽署訊息。在 RM 小組傳送簽署的訊息之前,RM 小組為小組電子郵件別名相關聯的 Active Directory 帳戶設定數位憑證。這個憑證是從 Microsoft IT 之 Windows Server 2003 PKI 的憑證授權單位 (CA) 服務取得,可讓負責傳輸小組通訊的個別小組成員從 RM 小組別名數位簽署訊息。

傳送電子郵件訊息的小組成員按一下 Outlook 訊息視窗上的 [數位簽章] 按鈕,即可套用簽章。當訊息準備好時,小組成員便會按一下 [傳送]。

Exchange 辨識此別名的數位 ID 名稱 (從小組成員在 Active Directory 中的 Windows 驗證帳戶的關聯性衍生而來),而 Outlook 會確定簽章要使用什麼憑證,並提示 [插入智慧卡] 對話方塊畫面。小組成員插入智慧卡之後,畫面出現文字方塊供小組成員輸入別名的智慧卡 PIN。如果小組成員正確輸入 PIN,系統便會套用簽章並傳送訊息。如果 PIN 不相符,則簽章套用失敗且不會傳送訊息。發生第二種情況時,小組成員可以選擇重新輸入 PIN,或再按一下 [數位簽章] 按鈕來移除數位簽章,然後再傳送訊息。

Microsoft 可以從 RM 小組在訊息中使用數位簽章而獲益。在第一個案例中,數位簽署訊息有助於驗證訊息在套用簽章之後,並未遭到竄改。這項措施能大幅提高收件者對於訊息內容完整性的信任度。

透過 Outlook Web Access 來使用 S/MIME 數位簽章

Outlook Web Access 是 Exchange Server 2003 的一項功能,可讓不在 Microsoft 公司網路上而無法存取 Microsoft 公司 Active Directory 目錄服務的電腦 (例如,員工的家用電腦) 也能使用 Microsoft IT 提供的 S/MIME 服務。Microsoft Internet Explorer 可供下載的 S/MIME ActiveX® 控制項讓使用這些電腦的 Microsoft 員工在存取 Outlook Web Access 這類服務時,能夠信賴經過 S/MIME 簽署的電子郵件訊息的內容完整性。

注意: 若要從家用電腦傳送數位簽署的電子郵件訊息,Microsoft 公司使用者必須先安裝 Microsoft IT 提供的智慧卡軟體工具。此外,使用者還必須安裝相容的智慧卡讀取裝置,好讓電腦存取位於智慧卡上的 S/MIME 數位簽章憑證。

訊息內容保護

在第二個案例中,RM 小組需要以電子郵件附件的方式,傳送在 Office Professional Edition 2003 中建立的商務關鍵狀態報告,以便向使用者提供不間斷的即時事件回應最新消息。RM 小組認為這些文件具有商業機密性質。

在進行事件管理與嚴重損壞修復階段的工作中,RM 小組需要嚴格控制這些文件內容的檢視者,以及收件者對這些文件執行的動作。影響所及的伺服器擁有者需要完全控制權限以管理狀態報告文件,而其他收件者則需要文件的唯讀權限。

由於狀態報告包含時效性資料,因此 RM 小組也必須將狀態報告設定為當新的狀態報告發行時,在預設日期到期。此外,為了靈活因應瞬息萬變的情勢,即使在傳送文件之後,小組仍需保留變更指派給文件之存取權限的權利。

如同第一個案例,收件者對於訊息內容未經竄改的信賴感非常重要。RM 小組利用 S/MIME 數位簽章來達到這個目的。但是,S/MIME 數位簽章並不會防止非預期的收件者看到訊息內容,也無法限制授與使用者存取此內容的類性。RM 小組必須能夠執行下列所有動作:

  • 對個別使用者套用細微限制以執行電子郵件訊息與文件的讀取、儲存、列印、複製或轉寄動作

  • 將文件存取設為在預設時間到期

  • 將權限設為允許在訊息傳送後動態變更

使用 IRM 套用版權管理原則

RM 小組運用 IRM 來完成所有新目標。藉由使用 Office Professional Edition 2003 的 Word 2003、Excel 2003 及 PowerPoint 2003 等來源程式,文件擁有者可以選擇針對所有收件者套用一般 IRM 權限至任何文件,或針對特定個人或群組指派專屬的權限組合來自訂 IRM 權限。

注意: IRM 權限只能套用至整份文件

或者,電子郵件寄件者可選擇使用 Outlook 2003 將 IRM 權限套用至訊息和訊息中可能包含之未受保護的 Office 2003 附件。在預設情況下,Outlook 2003 會套用唯讀存取權限 (除非事先已開發 Outlook 的自訂權限原則)。沒有 IRM 權限的附件會繼承電子郵件訊息的讀取存取權限。具有 IRM 權限的附件則會保留現有的那些權限。

注意: S/MIME 功能與 IRM 權限可以個別套用,也可以合併使用。

當 RM 小組成員需要個別自訂附加到電子郵件訊息的文件的權限時,小組成員從其中一個 Office Professional Edition 2003 應用程式 (Word 2003、Excel 2003 或 PowerPoint 2003) 中按一下 [權限] 工具列按鈕。接著會出現 [權限] 對話方塊。

在 [權限] 對話方塊中,小組成員可能已經指派唯讀或變更權限給所有使用者或指定個人。但是此時 RM 小組成員需要更多控制能力。小組成員使用 [其他選項] 按鈕來輸入每個伺服器擁有者的使用者帳戶名稱,然後指派 [完全控制] 權限。接著,小組成員指派唯讀存取給需要收到通知的 CIS 管理人員的使用者帳戶名稱。所有使用者的權限都設為兩天後到期。小組成員列出 RM 小組的電子郵件別名,做為使用者要求更高權限時的連絡人。最後,小組成員啟用每次存取文件時都要求新授權的功能。這項功能可以在使用電子郵件傳送文件之後,仍然能動態變更權限。如此一來,RM 小組隨時都能選擇進一步限制或放鬆一或多位使用者的控制。

注意: 若要在每次存取文件時要求新的使用授權,就必須與 RMS 伺服器線上連線,藉此防止離線存取文件

小組成員在 Outlook 中建立電子郵件訊息,並附加受 IRM 保護的文件。小組成員按一下訊息視窗中的 [數位簽章] 工具列按鈕,而且這次也按了 [權限] 按鈕。

小組成員知道,對電子郵件訊息套用個別權限表示只有訊息原始寄送對象的收件者具有內容的讀取存取權限,其中包括附加的狀態報告文件。一切就緒後,小組成員按一下 [傳送]。

在第一個案例中,系統會根據數位簽章來識別訊息。當小組成員輸入智慧卡 PIN 以取得數位簽章憑證的存取權時,便會簽署訊息。IRM 啟用後,Windows Server 2003 RMS 也會派上用場。與權限相關聯的帳戶使用者名稱會經由 Active Directory 驗證,並在用戶端為每個受保護的文件建立發行授權。

當其中一位收件者嘗試開啟電子郵件訊息時,Outlook 會顯示一則訊息,指出正在連絡 Microsoft 授權伺服器以取得受 IRM 保護的電子郵件訊息。RMS 識別要求電子郵件訊息之使用授權的收件者,接著透過網路傳送使用授權到收件者電腦,並解密電子郵件訊息。

收件者便會看到附加的 Office Professional Edition 2003 文件。當收件者試著開啟附加文件時,IRM 會強制執行每個開啟文件的執行個體都要取得新使用授權的這項原則。收件者在當下必須具有使用中的網路連線,Outlook 才能存取 RMS 伺服器。

注意: 收件者使用者不需要具有 Microsoft 公司網路的使用中連線,也能擷取 IRM 授權。不過,必須要有連線至網際網路的安全的超文字傳輸通訊協定 (HTTPS) (使用經由 Internet Security Accelerator (ISA) Server 2004 的 Proxy 連線) 才能存取 IRM 授權伺服器。若未將 IRM 權限設為每次存取受保護內容時都要求新授權,則本機快取的 IRM 授權版本將否定任何種類的網路連線需求

RMS 會識別要求文件使用授權的收件者,並將這項資訊與文件的保護狀態對照。RMS 還會檢查是否已經超過到期日 (若有設定的話)。通過 RMS 授權之後,便會授與 IRM 使用授權,並啟動適當的權限來開啟文件。

RM 小組使用 IRM 與狀態報告訊息使得 Microsoft 獲得許多方面的益處。IRM 提供對 Office Professional Edition 2003 文件非常細微的存取權層級。IRM 藉由使用加密、限制收件者能夠存取文件的期限,以及允許在傳送電子郵件訊息之後動態變更權限等方法,來防止非預期的使用者存取訊息內容。動態變更權限的功能讓 RM 小組能迅速回應變化莫測的商業需求。

收件者必備條件

至少在第一次存取受 IRM 保護的內容時,收件者必須具有 RMS 伺服器的網路存取連線。由 IRM 保護的 Office Professional Edition 2003 文件經過加密,沒有正確的使用授權便無法存取。IRM 可以設定為在文件存留期期間內要求一次使用授權,在特定日期關閉存取好讓文件過期,或是每次存取文件時都要求新的使用授權。在最後一種情況中,使用者必須在線上並存取 RMS 伺服器以取得新的使用授權,這樣可避免離線存取使用這些權限的文件。

預設的 IRM 權限範本

Office Professional Edition 2003 支援使用系統管理員建置的 IRM 權限範本來事先設定最常用的權限設定。即使是使用範本,使用者仍然可以套用自訂權限,以便滿足不同狀況的特定需求。Microsoft IT 提供六個事先設定的 IRM 範本,Microsoft 員工可以根據需要使用限制的個案需求,特別使用這些範本來建立受限的 Outlook 2003 電子郵件訊息。使用者在尚未傳送之訊息的視窗中,按一下 [檔案] 功能表上的 [權限] 即可存取這些範本。按一下特定的 [權限] 功能表命令便會套用該 IRM 範本的限制到電子郵件訊息。提供的選項如下:

  • 不要轉寄

  • 不要全部回覆

  • Microsoft 機密

  • Microsoft 機密唯讀

  • Microsoft FTE 機密

  • Microsoft FTE 機密唯讀

防火牆外的 RMS 可見度

取決於 RMS 基礎架構實作的方式,位於公司防火牆外面的收件者仍然可以存取受 IRM 保護的內容。RMS 伺服器可能位於防火牆之間的周邊網路 (也稱為 DMZ、非軍事區域,以及過濾的子網路),可讓外部公司使用者接收所需的使用授權。但是,在這種情況下,使用者必須先成功輸入其 Windows 驗證憑證,才能接收使用授權。

外部網路電子郵件存取的 SSL

如果經由公司防火牆存取受 IRM 保護的內容,無論是否使用 Outlook Web Access 或 RPC over HTTP, 所傳遞的使用授權都會經由安全通訊端層 (SSL) 通道運送。這項預防措施有助於確保通過公用網路的資料安全性。

注意: Microsoft IT 要求 SSL 通道一定要搭配 Outlook Web Access 及 RPC over HTTP 使用,無論內容是否受到 IRM 保護

使用版權管理與 Outlook Web Access

如同 S/MIME,收件者存取受 IRM 保護之電子郵件訊息與文件的能力需視收件者存取和使用數位授權的能力而定。

Rights Management Add-on for Internet Explorer

Outlook Web Access 使用者安裝 Rights Management Add-on for Internet Explorer (RMA) 這個可下載的 IRM 用戶端檢視器 ActiveX 控制項之後,便可以取得受 IRM 保護之電子郵件訊息與文件的唯讀存取權。即使收件者收到編輯權限,RMA 也不允許編輯受保護的內容。RMA 要求用戶端電腦具有公司 RMS 伺服器的存取權以進行使用授權交換 (可透過 HTTPS 型網際網路連線取得)。

注意: 使用者必須具有足夠的權限 (例如,在執行 Windows XP Professional 的電腦上具有系統管理員權限),才能在執行 Outlook Web Access 的電腦上安裝 ActiveX 控制項。專為公用而設定的電腦通常不提供這些權限

Outlook 訊息永遠可以使用 RMA 來檢視,但是在 Office Professional Edition 2003 應用程式 Word 2003、Excel 2003 及 PowerPoint 2003 中建立的檔案必須指定可以使用 RMA 來檢視這些檔案。收件者若要這麼做,可以在 Word 2003、Excel 2003 及 PowerPoint 2003 中套用 IRM 權限時,從 [權限] 對話方塊的 [其他選項] 區段中,選取 [允許具有舊版 Office 的使用者使用支援「資訊版權管理」的瀏覽器進行瀏覽] 核取方塊。

使用 RMA 之前,Outlook Web Access 使用者必須先安裝它。Outlook Web Access 使用者必須具有足夠的權限 (例如,在執行 Windows XP Professional 的電腦上具有系統管理員權限) 才能在電腦上進行安裝。藉由 RMA,Outlook Web Access 使用者可以啟用他具有安裝軟體權限的電腦來檢視受 IRM 保護的電子郵件訊息與附加文件。

建立受 IRM 保護之內容的限制

雖然 Outlook Web Access 使用者能夠利用 RMA 來檢視受 IRM 保護的內容,但建立受 IRM 保護的內容的唯一方法,是使用 Office Professional Edition 2003 中的程式,例如 Word 2003、Excel 2003、PowerPoint 2003 及 Outlook 2003。當其他程式設計為使用 RMS 服務之後,這些程式也可以建立受 IRM 保護的資料。

使用版權管理與行動裝置

目前不提供可下載的 IRM 用戶端檢視器 (如 RMA) 讓使用者在行動裝置上存取受 IRM 保護的電子郵件與文件。此外,Microsoft Pocket Word 或 Microsoft Pocket Excel 都不支援存取使用 IRM 權限的文件。

訊息機密性保護

在第三個案例中,RM 小組需要向內部用戶端,傳送有關重要政策資訊的機密電子郵件訊息以及新的服務提案。此訊息包含具有高度機密商業資訊的文件,例如尚未發表的 Microsoft 產品測試版和原型。

RM 小組知道,一般電子郵件訊息經過傳送之後,可能會被中途攔截或從收件者的電子郵件帳戶盜取。RMS 用來核發使用授權的驗證是基於收件者的 Windows 驗證。如果授權的收件者暫時離開已登入的電腦幾步,任何人都可以靠近並使用現成的驗證來存取受 IRM 保護的內容。RM 小組需要更有力的方法來保障訊息內容的機密性。

當然,之前的案例需求仍然是重要的訴求:信任訊息內容完整性,以及針對由 Office Professional Edition 2003 建立的電子郵件與文件自訂權限。正如前兩個案例所述,RM 利用 S/MIME 簽章和 IRM 來達成這些目標。但是,S/MIME 簽章或 IRM 都無法讓 RM 小組充分確保訊息內容的機密性。

使用 S/MIME 加密訊息

為了讓 RM 小組確定訊息內容的機密性,除了使用 S/MIME 簽章和 IRM,RM 小組還運用 S/MIME 加密。RM 小組成員使用智慧卡上的 S/MIME 加密數位憑證來加密訊息和訊息的附加文件檔案。這個加密動作需要每位收件者都提供儲存在智慧卡上的 S/MIME 私密金鑰來解密訊息。

注意: IRM、S/MIME 簽章和 S/MIME 加密可以個別套用,也可以合併使用

如果與 RM 小組別名相關聯的數位憑證尚未在小組成員的電腦上設定,則小組成員必須先註冊憑證,才能繼續進行 S/MIME 加密。

準備電子郵件訊息時,小組成員會在 Outlook 訊息視窗中按一下 [數位簽章] 和 [權限] 工具列按鈕,然後還會按一下稱為 [郵件加密] 的按鈕來套用 S/MIME 加密。當訊息準備好時,小組成員便會按一下 [傳送]。

Outlook 會識別加密要求,然後透過 Exchange 搜尋 Active Directory 以尋找每個收件者的公用 S/MIME 加密金鑰。如果 Active Directory 確定收件者沒有這類用途所需的有效數位憑證或沒有使用者帳戶,Outlook 便會顯示 [加密問題] 對話方塊。這個對話方塊可讓小組成員移除加密選項、在收件者可能無法讀取的情況下仍然傳送訊息,或取消傳送訊息。若要解密並讀取訊息,每位收件者必須存取憑證以及與公開金鑰 (寄件者用來加密訊息) 對應的私密金鑰。

既然訊息需要經過簽署和加密,RM 小組成員必須存取自己智慧卡上的私密金鑰,並且會收到將智慧卡插入讀取裝置的提示,然後輸入 PIN。當 RM 小組成員輸入正確的智慧卡 PIN 以存取數位簽章金鑰後,便會加密訊息,套用數位簽章,接著傳送訊息。

注意: 如果訊息除了加密功能之外,並未使用數位簽章,則寄件者將不會看見輸入智慧卡 PIN 的提示

當收件者嘗試開啟受 IRM 保護且包含簽章的加密訊息時,Exchange 會識別收件者的數位 ID 名稱,此數位 ID 名稱是衍生自收件者在 Active Directory 中的 Windows 驗證帳戶。Outlook 接著會顯示 [插入智慧卡] 對話方塊。當收件者插入智慧卡之後,會出現文字方塊供收件者輸入自己的智慧卡 PIN。如果收件者正確輸入 PIN,電子郵件訊息便會先解密再開啟。如果 PIN 不相符,則不會解密訊息。

驗證 PIN 之後,Outlook 會顯示一則訊息,指出正在連絡 Microsoft 授權伺服器以取得受 IRM 保護的電子郵件訊息。獲得電子郵件使用授權之後,當收件者嘗試開啟附加文件時,IRM 會強制執行每個開啟保護文件的執行個體都要取得新的 IRM 使用授權的這項原則。RMS 授權文件存取要求,適當的 IRM 使用授權便會透過網路傳送到收件者電腦。最後會啟動適當的權限來開啟文件。

Microsoft 因 RM 小組使用 S/MIME 加密而受益良多。由於解密作業需要使用 S/MIME 加密的私密金鑰,因此只有智慧卡上擁有適當數位憑證以及知道正確 PIN 的收件者才能開啟加密的訊息。如果非預期的收件者攔截加密的訊息,將會無法讀取訊息。

使用 S/MIME 加密與 Outlook Web Access

如同 S/MIME 簽章,可以利用 Outlook Web Access 在非公司電腦上使用 S/MIME 加密與解密。同樣可供下載的 Internet Explorer 的 S/MIME ActiveX 控制項可讓 Microsoft 員工在使用 Outlook Web Access 連線的家用電腦上,存取經過 S/MIME 加密及數位簽章的電子郵件訊息。這項作業需要使用者先安裝 Microsoft IT 提供的智慧卡軟體工具和相容的智慧卡讀取裝置,以便讓電腦存取智慧卡上的 S/MIME 加密憑證。

使用 S/MIME 加密與行動裝置

行動裝置上的作業系統 (例如 Pocket PC 或 Smartphone) 本身無法在預設設定中接受和使用數位憑證。因此,讓使用者存取電子郵件的行動裝置無法讀取或傳送 S/MIME 加密的電子郵件訊息。不過,協力廠商解決方案可讓 Pocket PC 接受及使用憑證,以便傳送和接收數位簽章的電子郵件。如需 Microsoft Windows Mobile™ 解決方案協力廠商計劃中提供的解決方案詳細資訊,請造訪 http://www.microsoft.com/windowsmobile/partners/logon/login.aspx (英文)

結論

Microsoft IT 為 Microsoft 公司電子郵件使用者提供可信賴的訊息解決方案,Microsoft 因此獲得下列益處:

  1. 電子郵件寄件者可以使用 S/MIME 簽章來識別訊息套用數位簽章後是否遭到竄改。

  2. 電子郵件寄件者可以套用版權管理權限來維護高度的控制能力,以決定哪些使用者可以存取電子郵件內容和這些使用者有權接收的存取層級。

  3. 電子郵件寄件者可以使用以公開金鑰為基礎的 S/MIME 加密,要求收件者提供對應的私密金鑰,以做為確保內容機密性的強制手段。

藉由使用改良過的存取控制層級和可信賴的訊息提供的內容防護功能,電子郵件使用者可以確信只有需要通知的相關人士才看得見商業機密資訊。此保護機制可讓 Microsoft 員工安全地使用公司電子郵件系統來交換資訊,進而確保最高度的企業靈活性。

更多信息

如需 Microsoft 產品或服務的詳細資訊,請洽 Microsoft Sales Information Center,電話 (800) 426-9400。加拿大地區請洽 Microsoft Canada information Centre,電話 (800) 563-9048。美國 50 州及加拿大以外的地區,請連絡當地的 Microsoft 分公司。若要透過網際網路存取資訊,請至:
http://www.microsoft.com (英文)
http://www.microsoft.com/taiwan/technet/itsolutions/msit/default.mspx
http://www.microsoft.com/technet/itsolutions/msit/default.mspx (英文)

若對本文有任何疑問、意見或建議,或想要取得有關「微軟內部經驗分享」的其他資訊 ,請將電子郵件寄到:
showcase@microsoft.com

現況

Microsoft 需要使用電子郵件來傳送商業機密資料,同時又擔心安全性、資料完整性及資料私密性。

解決方案

Microsoft IT 部署了可信賴的訊息解決方案,收件者與寄件者都可以享有三層的資料保護。這些解決方案皆採納 S/MIME 和版權管理原則。

益處

  • 訊息經過寄件者套用數位簽章後,收件者可識別訊息是否曾遭竄改。

  • 寄件者可以將細微的權限套用至一或多位收件者,藉此限制內容存取。

  • 透過加密訊息,之後再要求使用私密金鑰進行解密,寄件者能夠協助保護訊息的機密性。

產品和技術

  • Windows Server 2003

  • Exchange Server 2003

  • Office Professional Edition 2003

  • S/MIME

  • Windows RMS

  • 以 Windows 為基礎的 PKI 和 CA


下载

技術解決方案概述
279 KB
Microsoft Word 文件

IT 經驗分享
685 KB
Microsoft Word 文件

IT 專家網路廣播

顯示: