Все о почте





Защита конфиденциальности электронной почты в регулируемых отраслях

Автор TechNet   
09.03.2007 г.
Оглавление
1. Защита конфиденциальности электронной почты в регулируемых отраслях
2. Сценарий обеспечения конфиденциальности электронных сообщений
3. Включение параметров автоматической подачи заявок
защита конфиденциальности

Любые организации сталкиваются со значительными правовыми и нормативными трудностями в таких областях как информационная безопасность, конфиденциальность и надежность. Решение этих проблем может потребовать серьезных изменений в системах и процессах по всей организации. Предприятиям необходимо учитывать усложняющуюся структуру и регулирование ответственности и контроля и реагировать на эти изменения, чтобы соответствовать правовым и этическим задачам.

Соответствие нормам — это соответствие всем правовым и деловым требованиям к организации, которое она обязана проявить при выполнении операций и ведении дел. Соответствие нормам также означает понимание правовой платформы, в пределах которой действуют юридические и корпоративные требования. Приведение бизнеса в соответствие с нормами затрагивает каждый отдел и каждого сотрудника организации. Этого невозможно достичь применением одного единственного решения или процесса — необходимо внедрить принципы соответствия нормам в каждое подразделение организации.

Нормативная среда имеет тенденцию к усложнению. Приведение бизнеса в соответствие с нормами зачастую представляет из себя непростой процесс. При этом нормы различаются по специфике выдвигаемых ими требований. Таким образом, организации необходимо провести полную оценку рисков и последствий.

Задача этого документа — описать некоторые процессы и технологии, которые можно использовать в целях стандартизации и упрощения программ по нормативной совместимости в области обеспечения конфиденциальности электронной почты. В этом документе представлены ресурсы и варианты действий для предприятий малого и среднего бизнеса в процессе приведения деятельности в соответствие с законами и нормами. Этот документ не является руководством по приведению в соответствие, он также не предоставляет юридических рекомендаций по какому-либо из этих вопросов. Перед выполнением любой программы или процесса по приведению бизнеса в соответствие с нормами читателям следует обратиться за советом к собственным консультантам и юристам.

Для кого предназначено это руководство

Целевая аудитория данного руководства включает ИТ-специалистов, ответственных за установку, обслуживание и администрирование службы электронной почты на основе сервера Microsoft® Exchange Server 2003 в сетевых средах предприятия.

Сведения, содержащиеся в данном руководстве, предназначены для малых и средних предприятий, нуждающихся в доставке конфиденциальных сообщений электронной почты по своим сетям.

Обзор

Несмотря на то, что функции защиты сообщений входили в состав сервера Microsoft Exchange Server начиная с первой его версии, обычно они использовались только клиентами, имеющими особые требования безопасности и персоналом, ответственным за безопасность. Основные знания в области защиты электронной почты требовались только специалистам по безопасности и сотрудникам, которые занимались шифрованием. В связи с поддержкой сервером Exchange Server 2003 стандарта обеспечения безопасности S/MIME и необходимостью нормативной совместимости усвоение указанных принципов и понятий стало необходимым для администраторов.

Пакет Messaging and Security Feature Pack для системы Windows Mobile 5.0 имеет поддержку сертификатов S/MIME для смарт-телефонов. Кроме того, сервер Microsoft Exchange Server 2003 с пакетом обновления  2 (SP2) имеет поддержку стандарта S/MIME для веб-клиента Microsoft Outlook® (OWA).

Данный документ содержит введение в стандарт S/MIME и связанные с ним понятия, а также руководства по внедрению S/MIME. Специальные знания в области безопасности не требуются. В документе приведены базовые понятия S/MIME, которым можно найти конкретное применение при работе с сервером Exchange Server.

Выгоды от использования S/MIME

До появления S/MIME администраторы использовали для передачи сообщений электронной почты широко применявшийся протокол SMTP, изначально обладавший меньшим уровнем защищенности. Кроме этого, администраторы применяли более безопасные, но самостоятельно разработанные и, следовательно, специфичные решения. В сущности, перед ними стоял выбор между безопасностью и совместимостью. С появлением стандарта S/MIME администраторы получили альтернативу, обеспечивающую более высокий уровень безопасности, чем протокол SMTP, а также широкую совместимость и безопасность обмена сообщениями электронной почты.

Стандарт S/MIME включает в себя две службы безопасности:

цифровые подписи;

шифрование сообщений.

Эти две службы являются главными компонентами системы безопасности, основанной на стандарте S/MIME. Все остальные понятия, относящиеся к защите сообщений, предназначены для поддержки этих двух служб. Несмотря на то, что вся система защиты сообщений может показаться сложной для понимания, две указанные службы являются основой обеспечения безопасности сообщений.

Цифровые подписи и шифрование сообщений не являются взаимоисключающими службами. Каждая из них направлена на решение определенных задач обеспечения безопасности. Цифровые подписи предназначены для решения задач проверки подлинности и предотвращения отказа от авторства, а шифрование сообщений направлено на обеспечение конфиденциальности. Поскольку каждая из этих служб выполняет только свою задачу, стратегия защиты сообщений требует работы обеих служб, причем зачастую одновременно. Обе службы разработаны с учетом возможности их совместного использования, так как каждая в отдельности обслуживает одну из сторон взаимоотношений отправителя и получателя. Служба цифровых подписей занимается вопросами безопасности, относящимися к отправителям, а служба шифрования — вопросами, связанными с получателями.

При совместном использовании цифровых подписей и шифрования сотрудники предприятия извлекают пользу их обеих служб. При совместном применении ни одна из них не влияет на использование и работу другой.

Цифровые подписи

Служба цифровых подписей является более широко используемой службой S/MIME. Как следует из названия, цифровые подписи являются электронным аналогом традиционных подписей на печатных документах, имеющих законную силу. Как и подписи на печатных документах, цифровые подписи обеспечивают следующие возможности защиты:

Проверка подлинности Подпись служит для подтверждения личности. Служба проверяет ответ на вопрос «Кто вы?» с помощью средств проверки личности, а также путем получения подтверждения из надежного с точки зрения обеих сторон источника. Поскольку протокол SMTP не поддерживает проверку подлинности, он не дает возможности определить реального отправителя сообщения. Проверка подлинности с помощью цифровой подписи помогает в решении данной проблемы, предоставляя получателю возможность определить, действительно ли сообщение отправлено указанным в нем адресатом.

Невозможность отказа от авторства Уникальность подписи помогает доказать ее принадлежность при отказе владельца от своей подписи. Эта функция называется невозможностью отказа от авторства. Таким образом проверка подлинности, которую обеспечивает подпись, является средством реализации невозможности отказа от авторства. Понятие невозможности отказа от авторства наиболее часто используется в контексте договоров на бумажных носителях. Подписанный договор является документом, налагающим ответственность по закону. При этом отказаться от подтвержденной подписи очень трудно. Цифровые подписи служат той же цели и в некоторых областях все чаще принимают на себя функции подписей на бумаге, налагая ответственность по закону. Поскольку протокол SMTP не обеспечивает проверку подлинности, он не может предоставить функции невозможности отказа от авторства. Для отправителя не представляет сложности отказаться от авторства сообщения электронной почты, переданного по протоколу SMTP.

Целостность данных Дополнительной функцией защиты, которую обеспечивает служба цифровых подписей, является целостность данных. Проверка целостности данных становится возможной благодаря специальным операциям, необходимым для использования цифровых подписей. При использовании служб сохранения целостности данных получатель сообщения с цифровой подписью проверяет подлинность подписи и при этом удостоверяется, что получено действительно исходное сообщение, и оно не было изменено после его подписания и отправки. Любое изменение, внесенное при передаче сообщения после его подписания, делает подпись недействительной. Таким образом цифровые подписи дают гарантии, которые не могут дать подписи на бумаге, так как документ на бумажном носителе можно изменить после его подписания.

Шифрование сообщений

Шифрование сообщений — это решение, обеспечивающее неразглашение информации. Службы электронной почты в Интернете на основе протокола SMTP не обеспечивают безопасность сообщений. Сообщение электронной почты, отправленное через Интернет по протоколу SMTP, может прочитать любой человек, обнаруживший его при передаче или в месте его хранения. Стандарт S/MIME помогает в решении этих проблем при помощи шифрования.

Шифрование — это метод, при помощи которого данные изменяются таким образом, что их невозможно прочитать и понять, если не вернуть их в доступную для восприятия исходную форму.

Несмотря на то, что шифрование сообщений применяется не так широко, как цифровые подписи, оно направлено на устранение самой серьезной, по мнению многих, уязвимости электронной почты, передающейся через Интернет. Шифрование сообщений обеспечивает две отдельные службы обеспечения безопасности.

Конфиденциальность Шифрование сообщений помогает защитить содержимое сообщения электронной почты. Просматривать содержимое может только предполагаемый получатель, при этом содержимое остается конфиденциальным и недоступным для любого другого лица, имеющего возможность получить или просмотреть сообщение. Шифрование обеспечивает конфиденциальность сообщения при его передаче и хранении.

Целостность данных Как и цифровые подписи, шифрование сообщений обеспечивает проверку целостности данных благодаря специальным операциям, делающим шифрование возможным.

Требования S/MIME

Для обеспечения конфиденциальности электронной почты требуется наличие в рабочей среде особых компонентов. В данном разделе перечислены эти компоненты.

Инфраструктура открытых ключей (PKI)

Инфраструктура PKI необходима решениям S/MIME, чтобы предоставлять цифровым сертификатам пары открытых или частных ключей и сопоставлять сертификаты в службе Active Directory®. Согласно стандарту S/MIME цифровые сертификаты, использующиеся в S/MIME, соответствуют стандарту X.509 Международного Союза Телекоммуникаций (ITU). Согласно версии 3 стандарта S/MIME цифровые сертификаты должны соответствовать версии 3 стандарта X.509. Поскольку S/MIME основан на установленном общепринятом стандарте структуры цифровых сертификатов, стандарт S/MIME строится на его основе и способствует его признанию.

Инфраструктуру PKI для поддержки стандарта S/MIME можно реализовать одним из следующих двух способов: путем предоставления внешней организации инфраструктуры внутреннего сертификата либо путем использования служб сертификации в составе операционной системы Microsoft Windows Server™ 2003.

Дополнительные сведения о службах сертификации в Windows Server 2003 см. на веб-узле «Инфраструктура открытых ключей для Windows Server 2003» по адресу www.microsoft.com/windowsserver2003/technologies/pki/default.mspx (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Инфраструктура открытых ключей должна иметь механизм отзыва сертификата. Отзыв сертификата необходим при истечении срока действия сертификата или при возможном нарушении безопасности сертификата злоумышленником. Отзывая сертификат, администратор запрещает доступ любым пользователям, работающим с этим сертификатом. Каждый сертификат содержит данные о местоположении списка аннулированных сертификатов (CRL).

Более подробные сведения об управлении отзывом сертификатов см. в статье «Управление отзывом сертификатов» по адресу http://technet2.microsoft.com/WindowsServer/en/Library/de0ae267-14e6-46f8-bcc7-8ac480889b951033.mspx (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Шаблоны сертификатов

Система Windows Server 2003 предоставляет определенные шаблоны сертификатов, чтобы выпускать цифровые сертификаты для использования со стандартом S/MIME. Для выдачи сертификатов безопасного обмена сообщениями электронной почты можно использовать три многофункциональных шаблона сертификатов.

Администратор Позволяет администратору использовать сертификат для авторизации, шифрования в файловой системе EFS, безопасного обмена сообщениями электронной почты и подписывания списка надежных сертификатов.

Пользователь Позволяет пользователю применять сертификат для авторизации, шифрования EFS и безопасного обмена сообщениями электронной почты.

Пользователь смарт-карты Позволяет пользователю входить в систему при помощи смарт-карты и подписывать сообщения электронной почты. Кроме того, этот сертификат обеспечивает проверку подлинности клиента.

Примечание .   Корпорация Майкрософт настоятельно рекомендует обновить текущую версию инфраструктуры открытых ключей Windows Server 2003 до версии инфраструктуры открытых ключей Windows Server 2003 с пакетом обновления 1 (SP1), чтобы иметь возможность пользоваться улучшенными средствами защиты.

Дополнительные сведения о шаблонах сертификатов см. в статье «Шаблоны сертификатов» на веб-узле Microsoft TechNet по адресу technet2.microsoft.com/windowsserver/en/library/7D82B420-10EF-4F20-A56F-17EE7EE352D21033.mspx (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Active Directory

Служба Active Directory является ключевым компонентом для реализации сертификатов S/MIME. Для развертывания сертификатов пользователям с целью использования в службах электронной почты администратор может использовать такую функцию групповой политики, как автоматическая подача заявок на сертификаты. Кроме того, служба Active Directory в составе Windows Server 2003 включает в себя встроенную поддержку для нескольких клиентов электронной почты корпорации Майкрософт, в том числе приложений Microsoft Outlook и Outlook Express, а также веб-клиента Outlook (OWA) с S/MIME, в качестве каталога PKI и возможность отображать учетные записи пользователей в сертификаты.

Для получения подробных сведений об отображении сертификатов см. статью «Сопоставление сертификатов и учетных записей пользователей» на веб-узле по адресу technet2.microsoft.com/WindowsServer/en/library/0539dcf5-82c5-48e6-be8a-57bca16c7e171033.mspx?mfr=true (эта ссылка может указывать на содержимое частично или полностью на английском зыке).

Exchange Server 2003

Обеспечивая поддержку ряду клиентов электронной почты, администраторы сервера Exchange Server 2003 могут настраивать развертывание клиентов для соответствия конкретным условиям. Поддержка сервером Exchange Server 2003 стандарта S/MIME для клиентов сходна с общей поддержкой клиентов в том аспекте, что пользователь может одновременно работать с любыми клиентами. Таким образом, основанное на S/MIME решение в составе сервера Exchange Server 2003 может поддерживать клиенты Microsoft Outlook, клиенты OWA и клиенты Outlook Express одновременно, используя протокол POP3. Между тем, поскольку клиент электронной почты должен поддерживать S/MIME версии 3 и поддерживаться сервером Exchange Server, не все клиенты могут являться клиентами S/MIME.

Поддержка стандарта S/MIME также обеспечивается серверами Exchange Server 2000 и Exchange Server 2007.

Клиенты электронной почты

Сервер Exchange Server 2003 поддерживает клиентов S/MIME посредством существующей поддержки протоколов клиентов. Если поддерживаемый клиент также обеспечивает поддержку S/MIME, то такой клиент можно использовать совместно с сервером Exchange Server 2003. Если клиент не поддерживает версию 3 стандарта S/MIME , то такой клиент, тем не менее, можно использовать для прочтения четко подписанных сообщений.

Microsoft Outlook 2003

Приложение Microsoft Outlook поддерживает соединение с сервером Exchange Server 2003 через интерфейс MAPI. Кроме того, клиент Outlook может подключаться к серверу посредством протоколов POP3 и IMAP4. Сервер Exchange Server 2003 S/MIME можно использовать с любой версией Outlook, поддерживающей цифровые сертификаты стандарта X.509 (версия 3). Полная поддержка приложением Outlook сертификатов стандарта X.509 (версии 3) была впервые введена в Outlook 2000 с набором исправлений 1 (SR-1).

Клиенты POP3 и IMAP4

Если клиент электронной почты поддерживает версию 2 или 3 стандарта S/MIME, то сервер Exchange Server 2003 обеспечивает полную поддержку клиентов S/MIME с помощью стандартных протоколов POP3 и IMAP4. Любой клиент с поддержкой версии 2 или 3 стандарта S/MIME и поддержкой протокола POP3 или IMAP4 может использоваться в качестве клиента электронной почты в системе защиты сообщений в составе сервера Exchange Server 2003. Поскольку любой клиент с поддержкой стандарта S/MIME обеспечивает полную поддержку всех служб защиты сообщений, такие клиенты могут использоваться в качестве полноценных клиентов электронной почты. Майкрософт обеспечивает поддержку версии 3 стандарта S/MIME в клиентах POP3 и IMAP4 в Outlook Express версии 5.5 и выше и Outlook 2000 с набором исправлений SR-1a или более поздней версии.

Примечание .   Различные интернет-стандарты и клиенты электронной почты имеют собственные требования и методы обработки сертификатов стандарта X.509 версии 3. Учитывайте эти требования и вопросы совместимости при принятии решения о поддержке определенных клиентов электронной почты.

Рекомендации по работе

После внедрения и проверки элементов данного решения необходимо также постоянно выполнять большое количество действий, чтобы гарантировать, что решение будет успешно обеспечивать конфиденциальность сообщений электронной почты.

Ниже перечислены основные рекомендации по работе.

Применяйте пакеты обновления . Среди усовершенствований, включенных в пакет обновления 2 (SP2) для сервера Exchange Server, имеются функции фильтрации нежелательной почты. Для получения более подробных сведений см. статью «Усовершенствования для фильтрации нежелательной почты, внесенные в пакет обновления 2 (SP2) для сервера Exchange Server 2003» на веб-узле TechNet по адресу http://go.microsoft.com/fwlink/?linkid=55849 (эта ссылка может указывать на содержимое полностью или частично на английском языке).

Применяйте последние обновления для системы безопасности . Защитите все серверы с помощью обновлений из Центра загрузки Майкрософт.

Прогнозируйте технические проблемы . Регулярно посещайте веб-узел Центра обновления Майкрософт по адресу update.microsoft.com для загрузки и установки других обновлений для систем безопасности серверов Exchange Server и Windows Server.

Запускайте анализатор Microsoft Baseline Security Analyzer (MBSA) Загрузив MBSA, можно проверить сервер Exchange Server 2003 на отсутствие некоторых обновлений безопасностей.

Используйте интеллектуальный фильтр сообщений Microsoft Exchange . Уменьшите поток нежелательной почты при использовании интеллектуального фильтра сообщений Exchange с программой Outlook 2003 путем усовершенствованной эвристической фильтрации сообщений на сервере. Для получения подробных сведений о том, как обновлять интеллектуальный фильтр сообщений Exchange, см. статью Microsoft Exchange Server Intelligent Message Filter v2 Operations Guide на веб-узле http://support.microsoft.com/?kbid=907747.

Запускайте анализатор соответствия рекомендациям для Microsoft Exchange . Это средство, которое можно загрузить бесплатно, осуществляет удаленный сбор данных о конфигурации каждого сервера в топологии и анализирует эти данные. Полученный отчет содержит подробные сведения о критически важных вопросах конфигурации и потенциальных проблемах, а также параметры продукта, имеющие значения не по умолчанию. Следуя этим рекомендациям, можно повысить производительность, масштабируемость и надежность, а также увеличить время бесперебойной работы.

Регулярно проверяйте наличие обновленных сведений о безопасности . Чтобы получить инструкции по технической безопасности, посетите страницу библиотеки технической документации для Exchange Server 2003, посвященную безопасности и защите , по адресу www.microsoft.com/technet/prodtechnol/exchange/2003/security.mspx (эта ссылка может указывать на содержимое частично или полностью на английском языке).



 
« Сетевая разведка сервиса электронной почты   Российские законы против спама »

Какой формат писем вы предпочитаете?




Форум

Mail.ru обзавелся украинской "дочко...
Mail.ru в пятницу сообщил о регистрации украинской "дочки" - "Мэйл.ру ...
Автор: Последние новости
[email protected]:25
Афиша@Mail.Ru начала экспансию в СНГ
На Афише@Mail.Ru (http://afisha.mail.ru) появились афиши культурных ме...
Автор: Последние новости
[email protected]:58
Не работает HTML цитирование при ответах...
Попробуйте так: <% write(om.HTMLBody); //write(SourceMessagePart(mp...
Автор: Drema
[email protected]:22
Дайте срочно сайт платной почты плиззз !...
Дайте срочно сайт платной почты плиззз !!!
Автор: Гость
[email protected]:57
Нужен платный ящик
Дайте сайт платной почты срочно плиззз !!!
Автор: Гость
[email protected]:55
Не работает HTML цитирование при ответах...
В шаблоне на ответ в HTML у меня вот это (это было в стандартном шабло...
Автор: kiav
[email protected]:29
Создание HTML шаблона с помощью Potolook
Похоже на то, что у вас Outlook 2007 либо Бета, неправильно проинсталл...
Автор: Drema
[email protected]:03
Не работает просмотр вложений
На vista лучше поставить Outlook 2007, в котором это все есть в станда...
Автор: Drema
[email protected]:58
© 2006-2022 AboutMail.ru