Assurer la confidentialité de vos documents

1. Assurer la confidentialité de vos documents Stephane Saunier TSP Sécurité Microsoft France

2. La problématique

3. Quelques faits • L information numérique est devenu une composante vitale de l entreprise. • Elle n’a de valeur que si elle est utilisée et partagée. • La technologie et la mobilité ont énormément étendus le périmètre d’usage de cette information. • La taille des entreprises ne permet plus de se reposer sur la seule confiance entre collègues. • Les erreurs de manipulation sont fréquentes

4. La perte d information coute a l entreprise Perte financiere • Le département de la justice américaine estimait en 2004 a 250 Millions de dollar le cout de fuites d information en entreprise • Perte d avantage complétif Legal • Dans certain domaine (bancaire et financier par exemple) une perte d information confidentiel peut générer des procès couteux Image & Credibilite • La fuite de certain mails du haut management peuvent être embarrassant. • Cela peut générer une perte de crédibilité pour la société et faire descendre les revenus.

5. Alors que faire ? • Peut on utiliser un schéma de protection classique ?

6. Contrôle d’accès classique (ACL) Accepté Utilisateurs Refusé Access Control List Périmètre: Pare-feu File File Basé sur une protection de périmètre… … contrôle de l’accès, et non de l’usage

7. Ou basé sur la confiance …

8. Les bases de la DRM • Alors que faire ? • Peut on utiliser un schéma de protection classique ? • … Non • Il faudrait pouvoir • Définir des droits d utilisations • Les rendre solidaire aux données a protéger • Rendre les données inaccessibles hors de control d un agent logiciel réglementant l usage. • … Il faudrait que tout cela soit transparent

9. DRM / REL

10. Language d’expressions de droit (REL) Chaque « expression de droits » peut spécifier une combinaison de règles telle que : • quels droits sont disponible, • pour qui, • Combien de fois, • Pendant quelle période de temps, • sous quelles conditions d’accès, • pour quel montant, • à l’intérieur de quel territoire, et • avec quellesobligations, • etc.

11. Les RELs aujourd’hui • Les langages d’expression de droits sont généralement fondés sur XML • On peut considérer qu’aujourd’hui, il existe deux grandes familles de standards publics de REL : • celle fondée sur ODRL (Open Digital Rights Languages) • celle fondée sur XrML (eXtensible Rights Markup Language) • Sans compter les deux « standards propriétaires » que sont • AAC/FairPlay d’Apple (iPod/iTunes) • Connect/ATRAC de Sony

12. DRM pour l’entreprise et DRM pour les médias

13. Que sont RMS et IRM? • Rights Management Services (RMS) est une plateforme pour la mise en place de solution de DRM en entreprise telle que décrite précédemment. • Supporte le développement de solutions tierces riches au dessus de RMS à l’aide du Software Development Kit (SDK) RMS • IRM est un développement que MS Office a effectué sur le socle RMS.

14. Caractéristiques des droit IRM • Définir qui peut ouvrir, modifier, imprimer, transférer et / ou entreprendre d’autres actions avec les données (possibilité d’utiliser des listes de distribution contenues dans Active Directory) • Fixer une date d’expiration sur des messages électroniques ou des documents… • … à une date donnée • … tous les n jours, en exigeant l’acquisition d’une nouvelle licence • Les droits peuvent s appliquer a l aide de Templates

15. Architecture

16. Les composants • Active Directory • Authentication • Service Discovery • Group Membership • SQL Server • Configuration data • Logging • RMS Client • RMS Lockbox • Client API • RMS Server • Certification • Licensing • Templates Applications Clientes & Serveurs compatibles RMS

17. Flux de publication RMS • L’auteur reçoit des certificats (SPC/RAC/CLC) la première fois qu’il protège des informations. Active Directory SQL Server • L’auteur définit un ensemble de droits d’utilisation et de règles pour son fichier. l’application crée une licence de publication (PL) et chiffre le fichier. Serveur RMS • L’auteur distribue le fichier. 4 1 • Le destinataire ouvre le fichier, l’application appelle le serveur RMS qui vérifie que l’utilisateur est valide (RAC) et fournit une licence d’utilisation (UL). 2 5 3 • L’application effectue le rendu du fichier et fait respecter les droits. Auteur Destinataire

18. L’application hôte est responsable du respect des droits accordés à l’utilisateur. Application Client RM Lockbox La lockbox (boîte à clé) contient les clés, réalise les opérations cryptographiques, et fournit des défenses contre les modifications (ex : anti debug) Le client contient toute la logique pour interagir avec le serveur, pour publier de nouvelles licences et gérer le stockage des licences Architecture côté client

19. Information protégée a Création lors de la protection du fichier Ajouté au fichier lors de l'ouverture par les ayants droits Licence publication Licences utilisation Clé de session Droits pour l'ayant droit Chiffré avec clé publique serveur Chiffré avec la clé publique de l'ayant droit Droits et ayants droits (adresses e-mail) Clé de session Chiffré avec clé publique serveur Contenu du fichier (Texte, Images, méta data, etc…) Chiffré avec la clé publique de l'ayant droit Chiffré avec clé de session, typiquement DES56 ou AES128 (AES128 pour Office 2003) Les EUL E-mail (Outlook 2003) sont stockées sur le disque, et non avec les messages

20. Rendu HTML de documents protégés RMA récupère une Licenced’utilisation et offre à l’utilisateurles droits qui lui ont été accordés.Ne peut pas être utilisé pour éditer le contenu L’utilisateur crée un document Office 2003 Entête de document et métadonnées Licence de publication et Licence d’utilisation Document chiffré (data stream ou MIME part) RMA extrait le contenuHTML du fichier au format Office Rendu HTML chiffré (data stream ou MIME part) Le document est protégé par des droits numériques et un rendu HTML, lui- même protégé, est créé Pied de document

21. IRM/RMS: solution complémentaire… 1. Les ACLs peuvent être positionnées sur: modification, écriture ou lecture seule. 2. Pour un fichier copié ou déplacé, le chiffrement EFS est maintenu uniquement si le support de destination est au format NTFS et si le répertoire de destination est identifié comme devant être chiffré.

22. Ce que IRM ne fait pas… • …restreindre l’utilisation des MP3 • …être à l’épreuve du piratage • …protéger contre les attaques analogiques

23. Les limites…

24. InstallationUtilisation

25. Pré-requis RMS • Active Directory • Windows 2000 ou Windows 2003 • Utilisé pour l’authentification, la gestion des groupes (group expansion), et la découverte des services • Windows Server 2003 • Toute version (Web, Standard, Enterprise Edition, Datacenter) • IIS 6.0, ASP.NET, & MSMQ installés • Compatibilité • Windows 98, Windows Me, Windows 2000 SP3, Windows XP SP1 ou supérieur

26. Pré-requis RMS (suite) • Base de données • Pour stocker la configuration, certification, et le logging • SQL Server 2000 ou compatible indispensable • MSDE supportés en SP1 • Applications compatibles RMS • Microsoft Office 2003 & le Rights Management Add-On pour Internet Explorer (disponibles) • Microsoft Exchange 2003 n’est pas indispensable, mais les utilisateurs doivent disposer d’une adresse de messagerie

27. Installation initiale d’un environnement RMS Actions administrateur Serveur RMS (configuration simple mono-serveur) Services hébergés par Microsoft Machines clientes 1. Installer les services IIS, MSMQ, ASP.NET 2. Installer le serveur RMS 3. “Activer” le serveur RMS Partie publique de la paire de clefs Crée et signe le SLC Server Licensor Certificate (SLC) signé

28. Installation du server

29. Server Licensor Certificate Server Licensor Certificate Activation du Serveur Clé privée CA Microsoft MSN Server Enrollment Server Serveur RMS 2) requête de Certification clé publique 1) Génération Bi Clé 3) Clé public dans SLC 4) Signature du certificat 5) Réponse a la demande de certification

30. Installation initiale & provisioning d’un environnement RMS Actions administrateur Serveur RMS (configuration simple mono-serveur) Services hébergés par Microsoft Machines clientes 1. Installer les services IIS, MSMQ, ASP.NET 2. Installer le serveur RMS 3. “Activer” le serveur RMS Partie publique de la paire de clefs Crée et signe le SLC Installation d’applicationscompatibles RMS (e.g. Word, Outlook…) Server Licensor Certificate (SLC) signé Installation de la partie cliente RMS HWID hash Service d’activation Activation du client RMS Création d’une paire de clefs Machine (Machine Certificate) Authentification utilisateur & premier usage de RMS Machine certificate Certification: Vérification du SID auprès de AD Crée + log une paire de clefs utilisateur Authentication credentials Publication ou consommation EN LIGNE Rights Account Certificate (RAC) -User Private Key, chiffré avec la clef publique machine -User Public Key Demande de CLC (Client Licensor Certificate) Validation du RAC Crée une paire de clefs “Cliente” RAC Client Licensor Certificate (CLC) -CLC clef privée, chiffré avec la clef publique RAC -CLC Clef publique et copie du SLC Publication HORS ligne

31. Utilisation

32. RMS Website: http://www.microsoft.com/rms RMS Blog: http://blogs.msdn.com/rms RMS TechNet Virtual Lab: http://www.microsoft.com/technet/traincert/virtuallab/rms.mspx Microsoft Security: http://www.microsoft.com/security Microsoft IT’s RMS deployment: http://www.microsoft.com/technet/itsolutions/msit/infowork/deprmswp.mspx RMS SDK on MSDN: http://msdn.microsoft.com/library/en-us/dnanchor/html/rm_sdks_overview.asp Resources

33. Pour aller plus loin … • Hands-on Lab JMS 2006 Rights Management Services (RMS) • Vous permettre de tester l installation, l utilisation de la solution sur des machines virtuelles

34. Microsoft France 18, avenue du Québec 91 957 Courtaboeuf Cedex www.microsoft.com/france 0 825 827 829 msfrance@microsoft.com

35. RAC CLC SPC SQL AD Document / Message Client RMS Logging – Séquestre clés Droits (XrmL) Authentification Contenu Chiffre Serveur RMS Détection Protection DRM Administration Applicatif IRM IE Applicatif IRM Office 2003 Pro Web Service RMS Certification Web Service RMS Licensing IE Extension RMA Obtention licences Doc Chiffre + License de publication IIS + ASP.NET Doc Déchiffré + License d utilisation API RMS Client Certification Client SOAP sur SSL