Службы управления правами

Службы управления правами (англ. Active Directory Rights Management Services, AD RMS, также известны как Rights Management Services или RMS до Windows Server 2008) — серверное программное обеспечение для управления правами доступа к информации, поставляемое с Windows Server. Оно использует шифрование и отказ от выборочной функциональности для ограничения доступа к таким документам, как корпоративные электронные письма, документы Microsoft Word и веб-страницы, а также авторизованных пользователей, работающих с ними.

Компании могут использовать эту технологию для шифрования информации, хранящейся в таких форматах документов, и с помощью политик, встроенных в документы, предотвращения дешифрования защищённого контента, за исключением определённых людей или групп, в определённых средах при определённых условиях и в течение определённых периодов времени.

Конкретные операции, такие как печать, копирование, редактирование, пересылка и удаление, могут разрешаться или запрещаться авторами контента для отдельных частей контента, а администраторы RMS могут развёртывать шаблоны RMS, которые группируют эти права вместе в предопределённые права, которые могут применяться в массовом порядке.

RMS дебютировал в Windows Server 2003 с библиотеками клиентских API, доступными для Windows 2000 и более поздних версий ОС. Клиент управления правами входит в состав Windows Vista и более поздних версий, доступен для Windows XP, Windows 2000 или Windows Server 2003^[1].

Кроме того, существует реализация AD RMS в Office для Mac для использования защиты прав в OS X, а некоторые сторонние продукты доступны для защиты прав на Android, Blackberry OS, iOS и Windows RT^[2][3].

Возможности политик против атак

В апреле 2016 года предполагаемая атака на реализацию RMS (включая Azure RMS) была опубликована и сообщена Microsoft^[4][5]. Опубликованный код позволяет авторизованному пользователю с правами просмотра защищённого документа RMS удалить защиту и сохранить форматирование файла. Такая манипуляция требует, чтобы пользователю было предоставлено право расшифровать контент для дальнейшего просмотра. Хоть службы управления правами и делают определённые утверждения безопасности в отношении неспособности неавторизованных пользователей к доступу к защищённому контенту, деление между различными правами использования для авторизованных пользователей считается частью возможностей обеспечения соблюдения политик, которые, как Microsoft утверждает, реализованы как «наилучшие усилия», поэтому корпорация не рассматривает проблему безопасности, а лишь ограничивает применение политики. Ранее RMS SDK обеспечивал подпись кода с использованием возможностей RMS, чтобы обеспечить некоторый уровень контроля над взаимодействием приложений с RMS, но эта возможность впоследствии была удалена из-за ограниченной возможности ограничить такое поведение, учитывая возможность писать приложения, используя веб-сервисы напрямую для получения лицензий на расшифровку содержимого^[6].

Кроме того, используя эту же технику, пользователь, которому были предоставлены права на просмотр защищённого документа, может манипулировать содержимым документа, не оставляя следов манипуляции. Поскольку Azure RMS не является решением без отказов и, в отличие от решений для подписи документов, не претендует на предоставление возможностей защиты от несанкционированного доступа, и поскольку изменения могут быть сделаны только пользователями, которым предоставлены права на документ, Microsoft не рассматривает последнюю проблему как фактическую атаку на заявленные возможности RMS^[7] Исследователи предоставляют доказательство концептуального инструмента, позволяющего оценивать результаты через GitHub.^[8].

Поддерживаемое ПО

RMS поддерживается следующими продуктами:

• Microsoft Office 2003 и позднее: Word, Excel, PowerPoint, Outlook, InfoPath^[9]
• Microsoft Office for Mac 2011^[en] и позднее: Word, Excel, PowerPoint, Outlook
• SharePoint 2007 и позднее
• Exchange Server 2007 и позднее
• XML Paper Specification (XPS)

Сторонние решения, такие как Secure Islands (приобретено Microsoft), GigaTrust и Liquid Machines (приобретено Check Point), могут добавить поддержку RMS для следующего ПО:

• SharePoint 2003^[10][11][12]
• Microsoft Visio
• Microsoft Project^[13][12]
• Adobe Acrobat^{[14][15][12][16]}
• Internet Explorer
• IIS 6.0

Примечания

Ссылки

• Windows Rights Management Services
• RMS Client downloads
• Download Rights Management Service SDK 2.1 from Official Microsoft Download Center
• Устранение неисправностей Windows Rights Management Services (RMS) — Предупреждение одного корневого сервера
• Active Directory Rights Management — Обзор
• Microsoft Rights Management SDKs (Windows) — MSDN
• Active Directory Rights Management Services SDK (Windows) — MSDN
• Active Directory Rights Management Services — TechNet
• Active Directory Rights Management Services SDK (Windows) — MSDN
• Secure Islands IQProtector — Защита и управление информацией с помощью Microsoft RMS
• Windows RMS 18/5000 Технический обзор

Эта страница в последний раз была отредактирована 13 ноября 2023 в 08:11.