Embed Size (px)
Citation preview
Gestion des droits numériques en entrepriseProtection persistante de documents
Cyril VOISINChef de programme Sécurité
Microsoft France
Sommaire
Les 3 facettes de la sécurité Respect (?) de la politique de sécurité aujourd’hui Limites classiques de la protection des données Gestion de droits numériques en entreprise Windows Rights Management Services (RMS) Scénarios d’utilisation Composants de RMS Fonctionnalités Flux de publication Architecture client Certificats et licences Utilisation sur un portail / démo Implémentation dans Office (IRM) Limites
Pas simplement des technos…Pas simplement des technos…
Les 3 facettes de la sécuritéLes 3 facettes de la sécurité
ArchitectureArchitecturesécuriséesécurisée
PersonnesPersonnesAdmin.Admin.de l’Entreprise
de l’EntrepriseAdm
in.
Admin
.
Du Dom
aine
Du Dom
aine
Service/Service/
SupportSupport
Développeur
DéveloppeurUtilisateurUtilisateur
ArchivageArchivage
Politique
Politiqued’accès
d’accès
Inst
alla
tion
Inst
alla
tion
Réparation
RéparationGes
tion d
es
Ges
tion d
es
évén
emen
ts
évén
emen
ts
Gestion desGestion des
perfsperfs
Gestion du
Gestion du
Changement /
Changement /
de la C
onfiguratio
n
de la C
onfiguratio
n
Proc
essu
s
Proc
essu
s
RestaurationRestauration Sauvegard
e
Sauvegard
e
Réponse à Réponse à IncidentIncident
Mic
roso
ft
Mic
roso
ft
Ope
ratio
ns
Ope
ratio
ns
Fram
ewor
k
Fram
ewor
k
Evalu
atio
n
Evalu
atio
n
de ri
sque
s
de ri
sque
s
Technologies
TechnologiesWindows 2000/XP/2003
Windows 2000/XP/2003
Active Directory
Active Directory
Service PacksService Packs
Correctif
s
Correctif
s
IPSECIPSEC
KerberosKerberos
PKIPKI
DF
SD
FS
EFSEFS
SSL/TLS
SSL/TLS
Clusters
Clusters
Détectio
n
Détectio
n
d’in
trusio
nd
’intru
sion
SMSSMS
MOMMOM
ISAISA
Antivirus
Antivirus
GPOGPO
RMSRMS
Respect (?) de la politique de sécurité aujourd’hui
Protection des donnéesLes limites des dispositifs classiques
Permissions sur les partages de fichiers Portails avec authentification Messagerie électronique avec signature et chiffrement Filtrage des accès réseau par pare-feu (périmètre
mouvant) N’empêchent pas les fuites (accidentelles ou volontaires)
de documents ou de messages, induisant pertes de revenu, pertes d’avantages concurrentiels, de confiance…
Augmenter la protection des données sensibles en contrôlant non seulement l’accès mais aussi l’usage via une technologie facile à déployer et à utiliser
Gestion de droits numériques en entreprise
Principe : augmente le respect de la politique de sécurité de l’organisation en protégeant les données sensibles et en y joignant de manière persistante des politiques d’utilisation, qui demeurent avec les données, où qu’elles aillent.
Pourquoi gérer les droits au niveau du fichier / des données ? 32% des pire incidents de sécurité sont causées par des
personnes à l’intérieur de l’organisation; 48% dans les grandes entreprises– Information Security Breaches Survey 2002, PWC
Le vol d’informations propriétaires est la plus grande source de dommages financiers parmi tous les incidents de sécurité– CSI/FBI Computer Crime and Security Survey, 2001
Rights Management Services Nouvelle technologie contribuant à la protection
des données sensibles contre une utilisation non autorisée, à la fois en ligne et en mode déconnecté, sur votre réseau ou à l’extérieur du périmètre de votre système d’information Les utilisateurs peuvent définir exactement
comment le destinataire pourra utiliser les données Les organisations peuvent créer des modèles de
politiques de sécurité personnalisés et les gérer de manière centralisée (ex : politique « Confidentiel entreprise »)
Permet aux développeurs de construire des solutions de protection des données flexibles et personnalisables
Scénarios d’utilisation de RMS
Messages et documents confidentiels : plans marketing, propositions de fusion/acquisition, contrats
Contenu Web rapports de vente ou financiers, données DRH, service juridique, …
RMS peut virtuellement s’appliquer à n’importe quel type de données
Composants de RMS
Windows Rights Management Services (RMS) Un service de Windows Server 2003 destiné à la
protection des données Partie cliente
Client Windows Rights Management (apporte les API pour Windows 98 ou ultérieur)
“Rights Management Add-on for Internet Explorer”
Applications utilisant RMS (exemple : application maison utilisant le SDK RM, Office System 2003)
Fonctionnalités
Définir qui peut ouvrir, modifier, imprimer, transférer et / ou entreprendre d’autres actions avec les données (possibilité d’utiliser des listes de distribution contenues dans Active Directory)
Fixer une date d’expiration sur des messages électroniques ou des documents… … à une date donnée … n jours après la publication … tous les n jours, en exigeant l’acquisition d’une
nouvelle licence
Fonctionnalités Les modèles RMS : ensemble de droits, de
groupes/utilisateurs, de conditions temporelles… Audit des requêtes vers le serveur (désactivé par défaut) Groupe « super users » pour accéder à tout contenu
(individus ou groupes) Révocation (licences, certificats, manifestes d’applications) Exclusions (utilisateur, application, lockbox, versions de
Windows) Certification croisée avec d’autres organisations (solution
Extranet) La fusion d’entreprises est prévue Utilise XrML pour l’expression des droits (www.xrml.org)
Approuvé par MPEG21 et OeBF En cours de revue
Flux de publication RMS
Destinataire du fichier
Auteurdu fichier
RMS
L’auteur crée un fichier et définit un ensemble de droits et de règles
L’appli chiffre le fichier et envoie une “licence de publication” non signée à RMS (Web Service); le serveur signe et retourne la licence de publication
L’auteur distribue le fichier
Fichier
L’application effectue le rendu du fichier et
fait en sorte que les droits soient respectés
Le destinataire clique sur le fichier pour l’ouvrir, l’application appelle RMS qui valide l’utilisateur et la requête et distribue une “licence d’utilisation”.
SQL Active Directory
ApplicationApplicationL’application hôte est responsable du respect des
droits accordés à l’utilisateur.
Client RMClient RM
Le client contient toute la logique pour interagir avec le
serveur, pour publier de nouvelles licences et gérer le
stockage des licences
Architecture côté client
LockboxLockboxLa lockbox (boîte à clé) contient les clés, réalise les
opérations cryptographiques,
et fournit des défenses contre les modifications (ex : anti debug)
Certificats et licences Machine Certificate – Identifie un PC de confiance et contient une
clé publique unique (une par machine)
RM Account Certificate – Publié d’après un Machine Certificate, il nomme l’identité d’un utilisateur de confiance (adresse e-mail) et contient la paire de clés privée/publique de cet utilisateur (un par utilisateur sur un PC donné)
Client Licensor Certificate – publié d’après un RAC, il nomme un utilisateur de confiance qui est autorisé à publier hors connexion des informations protégées par des droits numériques, c’est à dire signer des licences de publication hors ligne via la Lockbox (un par utilisateur sur un PC donné)
Publishing License – fournie soit par le serveur RMS soit par la Lockbox (publication hors connexion) elle définit la politique (noms/principals, droits & conditions) pour acquérir une licence d’utilisation d’informations protégées par des droits numériques et contient la clé symétrique qui a chiffré les données , chiffrée avec la clé publique du serveur RMS qui fournira les licences d’utilisation
Use License – publiée seulement par un serveur RMS, il accorde à un “principal” (utilisateur avec un RAC valide) les droits de consommer le contenu protégé basés sur la politique établie dans la licence de publication
Revocation Lists – Enumère les “principals” (en général des clés publiques) auxquels on ne fait plus confiance. Les licences d’utilisations peuvent exiger qu’une liste de révocation récente soit présnete avant d’autoriser le déchiffrement
RM RM AccountAccount
CertificateCertificate
MachineMachineCertificateCertificate
Client Client Licensor Licensor
CertificateCertificate
RM RM AccountAccount
CertificateCertificate
RM RM Publishing Publishing LicenseLicense
RMS RMS LicensorLicensor
Certificate Certificate (or CLC)(or CLC)
RMRM UseUse LicenseLicense
RM RM Publishing Publishing LicenseLicense
MachineMachineCertificateCertificate
Lockbox DLLLockbox DLL
Lockbox DLLLockbox DLL
Revocation de la clé Revocation de la clé RACRAC
RMRM AccountAccount CertificateCertificate Revocation
List
Portail
Back EndBack End FrontauxFrontaux ClientsClients
Base de donnéesBase de données
(ex :SQL Server)(ex :SQL Server)
BibliothèqueBibliothèque
documentairedocumentaireRMS RMS
PermissionsPermissions Co
uch
e R
MC
ou
che
RM
Co
uch
e R
MC
ou
che
RM
FrontalFrontalWebWeb
Demo
IRM (Information Rights Management)
Une implémentation de RMS, dans Office 2003
Empêche les messages de la direction d’arriver sur Internet
Réduit le transfert d’informations confidentiels vers l’interne/externe
Modèles pour gérer de manière centralisée les politiques
Message à nepas transférer
Les utilisateurs qui n’ont pas Office 2003 peuvent visualiser les fichiers protégés par des droits numériques
Assure le respect des droits assignés : afficher, imprimer, exporter, copier/coller, limites de temps
Compatibilité IE avec RMA, Windows RMS
Contrôle l’accès aux plans sensiblesDéfinit le niveau d’accès - afficher,
modifier, imprimer...Détermine la durée d’accès
Protection defichiers sensibles
Word 2003, PowerPoint 2003Excel 2003, Windows RMS
Outlook 2003Windows RMS
IRM : Information Rights Management
HTML dans les documents RM
Entête de document et métadonnées
Licence de publication et
Licence d’utilisation
Document chiffré (data stream
ou MIME part)
Rendu HTML chiffré (data stream
ou MIME part)
Pied de document
Le document est protégé par des droits numériques et un rendu HTML, lui- même protégé, est créé
RMA extrait le contenuHTML du fichier au format Office
RMA récupère une Licenced’utilisation et offre à l’utilisateurles droits qui lui ont été accordés.Ne peut pas être utilisé pour éditer le contenu
L’utilisateur crée un document Office 2003
Les limites…
Limites
RMS NE fournit PAS … …une sécurité à toute épreuve, un rempart
infranchissable pour les hackers …de protection contre les attaques analogiques
Ne constitue pas un mécanisme de sécurité en soit mais contribue à améliorer le respect de la politique de sécurité pour les données sensibles
Résumé
Améliore le respect de la politique de sécurité pour les données sensibles Intégrité des données sensibles Protection persistante pour les fichiers Amélioration de la collaboration, y compris hors
du périmètre sous contrôle du système d’information
Présentations Microsoft
9H15 à 10H15 Défense en profondeur
10H30 à 11H30 Gestion des correctifs de sécurité
11H30 à 12H30 Sécurité des réseaux Wi-Fi
13H30 à 14H30 NGSCB (ex-Palladium)
14H45 à 15H45 Gestion de droits numériques en entreprise (RMS)
15H45 à 16H45 Sécurité des réseaux Wi-Fi
http://www.microsoft.com/france/securite/evenements
