Philippe BERAUD Consultant Architecte Microsoft France philber@microsoft.com Stéphane SAUNIER TSP...

download Philippe BERAUD Consultant Architecte Microsoft France philber@microsoft.com Stéphane SAUNIER TSP Sécurité Microsoft France stephsau@microsoft.com.

of 48

  • date post

    03-Apr-2015
  • Category

    Documents

  • view

    103
  • download

    0

Embed Size (px)

Transcript of Philippe BERAUD Consultant Architecte Microsoft France philber@microsoft.com Stéphane SAUNIER TSP...

  • Page 1
  • Philippe BERAUD Consultant Architecte Microsoft France philber@microsoft.com Stphane SAUNIER TSP Scurit Microsoft France stephsau@microsoft.com
  • Page 2
  • Constats Des information sensibles (documents, e-mails, contenu intranet, etc.) peuvent tre divulgues accidentellement ou intentionnellement http://www.internalmemos.com Les cots associs en termes de perte de revenu, davantage concurrentiels, de confiance clients peuvent savrer important Le vol dinformations propritaires est la plus grande source de dommages financiers parmi tous les incidents de scurit CSI/FBI Computer Crime and Security Survey, 2001 Besoins Protection permanentes des informations sensibles Technologie qui soit facilement utilisable Technologie qui soit souple, facilement dployable, et extensible Technologie qui aille au-del du contrle daccs et du chiffrement Contrle de lusage
  • Page 3
  • Technologie dinfrastructure destine aux environnements dentreprise pour la protection des documents et courriels Nest pas destine la protection de laudio, vido et media en streaming Ne ncessite pas dinfrastructure PKI X.509 REL Certificats/Licences XrML (eXtensible Rights Markup Language, http://www.xrml.org) intgrs et transparents pour lutilisateur et ladministrateur http://www.xrml.org Permet non seulement le contrle daccs linformation, mais surtout le contrle de lusage qui en est fait Protection de linformation indpendamment dun primtre La protection est attache linformation Lauteur/propritaire dfinit et applique une politique dusage Attache linformation Indpendant du format des donnes Persiste et suit linformation
  • Page 4
  • Page 5
  • Page 6
  • 2.Lapplication fait un appel au client RMS pour crer une nouvelle session 1.Lutilisateur tente de publier ou consommer un contenu
  • Page 7
  • 2.Lapplication fait un appel au client RMS pour crer une nouvelle session Activation de la machine 3.Le client RMS commence sa procdure dinitialisation
  • Page 8
  • Activation de la machine a.Le client RMS gnre une paire de cls RSA 1024-bit b.La cl prive est scurise par les Crypto APIs c.La cl publique est stocke dans le Security Processor Certificate (SPC) d.Le SPC est sign par le client RMS
  • Page 9
  • Activation de la machine a.Le client RMS gnre une paire de cls RSA 1024-bit b.La cl prive est scurise par les Crypto APIs c.La cl publique est stocke dans le Security Processor Certificate (SPC) d.Le SPC est sign par le client RMS
  • Page 10
  • SPC Certification du compte
  • Page 11
  • SPC a.Le client RMS initie une demande de certification au serveur RMS en envoyant le SPC b.Lutilisateur est authentifi DOMAIN\username SID d.Ladresse de courriel est obtenue de lAD DOMAIN\username SID username@domain.com e.Une paire de cls RSA 1024-bit est gnre et stocke dans la base de donnes RMS SID Certification du compte SPC c.Le serveur valide le SPC
  • Page 12
  • Certification du compte SPC f.La cl prive de lutilisateur est chiffre avec la cl publique de la machine DOMAIN\username SID username@domain.com a.Le client RMS initie une demande de certification au serveur RMS en envoyant le SPC b.Lutilisateur est authentifi d.Ladresse de courriel est obtenue de lAD e.Une paire de cls RSA 1024-bit est gnre et stocke dans la base de donnes RMS c.Le serveur valide le SPC
  • Page 13
  • RAC Certification du compte SPC g.Le Rights Management Account Certificate (RAC) est cr, l@ de courriel de lutilisateur et la cl publique y sont ajoutes h.Le serveur signe le RAC f.La cl prive de lutilisateur est chiffre avec la cl publique de la machine DOMAIN\username SID username@domain.com
  • Page 14
  • SPC RAC Certification du compte i.Le RAC est retourn au client Lutilisateur dispose maintenant un RAC quil peut utiliser pour consommer du contenu Pour publier, lutilisateur a encore besoin dun Client Licensor Certificate (CLC) g.Le Rights Management Account Certificate (RAC) est cr, l@ de courriel de lutilisateur et la cl publique y sont ajoutes h.Le serveur signe le RAC
  • Page 15
  • RAC Enrlement du client a.Le client RMS contacte le serveur pour senrler en fournissant son RAC c.Il gnre une paire de cls RSA 1024-bit pour le CLC d.La cl prive est chiffre avec la cl publique du RAC SPCRAC b.Le serveur valide le RAC
  • Page 16
  • CLC RAC Enrlement du client e.Le CLC est cr permettant lutilisateur de publier de linformation SPCRAC f.Des informations serveur telles que lURL et la cl publique du serveur sont ajoutes au CLC a.Le client RMS contacte le serveur pour senrler en fournissant son RAC c.Il gnre une paire de cls RSA 1024-bit pour le CLC d.La cl prive est chiffre avec la cl publique du RAC b.Le serveur valide le RAC
  • Page 17
  • CLC Enrlement du client g.Le serveur signe le CLC SPCRAC CLC h.Le CLC est retourn au client Le client est maintenant prt a publier et consommer du contenu f.Des informations serveur telles que lURL et la cl publique du serveur sont ajoutes au CLC
  • Page 18
  • Publication a.Lutilisateur cre du contenu avec une application compatible RMS c.Lapplication appelle la couche RMS cliente pour publication b.Lutilisateur prcise le destinataire, les droits et les condition de publication group@example.com read, print expire aprs 30 jours CLCSPCRAC
  • Page 19
  • c.Lapplication appelle la couche RMS cliente pour publication PLPublication group@example.com read, print expire aprs 30 jours d.Le client RMS gnre une cls de chiffrement 128-bit AES, e.Chiffre le contenu, f.Et cre une Publishing License (PL) CLCSPCRAC
  • Page 20
  • CLCSPCRAC f.Et cre une Publishing License (PL) PLPublication g.Les droits et la cl de chiffrement sont chiffrs par la cl publique du serveur inclue dans le CLC group@example.com read, print expire apres 30 jours h.LURL du serveur est ajoute a la PL i.La PL est signe par le CLC group@example.com read, print expire aprs 30 jours
  • Page 21
  • Publication i.La PL est signe par la CLC j.Le client retourne la PL lapplication. k.Lapplication peut maintenant combiner la PL avec le contenu PL group@example.com read, print expire aprs 30 jours PL group@example.com read, print expire aprs 30 jours Le contenu peut maintenant tre distribu !! CLCSPCRAC
  • Page 22
  • Le contenu peut maintenant tre distribu !! CLCSPCRACPublication PL group@example.com read, print expires 30 days Le document est distribu aux destinataires comme nimporte quel document Imaginons que la machine du destinataire soit dj initialise Le destinataire a besoin dune licence pour accder au document CLCSPCRAC
  • Page 23
  • a.Le destinataire ouvre le document dans une application compatible RMS Acquisition de licence b.Lapplication invoque la couche client RMS pour obtenir une licence dutilisation PL group@example.com read, print expires 30 days c.Le client RMS envoie la PL et la RAC au serveur RMS RAC d.Le serveur valide la RAC et la PL e.Les donnes de la PL sont dchiffres PL group@example.com read, print expires 30 days group@example.com read, print expires 30 days CLCSPCRAC
  • Page 24
  • UL group@example.com read, print expires 30 days Acquisition de licence f.Si le contenu a t publi pour un groupe, le serveur vrifie lappartenance au groupe dans lAD PL group@example.com read, print expires 30 days g.Si lidentit dans le RAC correspond la PL, le serveur commence a construire une Using License (UL) e.Les donnes de la PL sont dchiffres h.Les droits sont crits dans lUL CLCSPCRAC user@example.com read, print expires 30 days group@example.com read, print expire aprs 30 jours user@example.com read, print expire aprs 30 jours
  • Page 25
  • RAC UL user@example.com read, print expires 30 days Acquisition de licence i.La cl de chiffrement du contenu est chiffre par la RAC PL group@example.com read, print expires 30 days j.Puis ajoute lUL h.Les droits sont crits dans lUL j.LUL est retourne au client k.LUL est signe par le serveur CLCSPCRAC
  • Page 26
  • Acquisition de licence PL group@example.com read, print expires 30 days CLCSPCRAC Le destinataire peut maintenant consommer le contenu !! UL user@example.com read, print expires 30 days i.La cl de chiffrement du contenu est chiffre par le RAC j.Puis ajoute lUL h.Les droits sont crits dans lUL l.LUL est retourne au client k.LUL est signe par le serveur
  • Page 27
  • UL user@example.com read, print expires 30 days Accs au contenu PL group@example.com read, print expires 30 days SPCRACCLC SPCUL user@example.com read, print expire aprs 30 jours RAC
  • Page 28
  • Accs au contenu SPCUL user@example.com read, print expire aprs 30 jours RAC b.Le client RMS utilise le certificat du Security Processor pour dchiffrer la cl prive du RAC a.Lapplication invoque la couche client RMS Client pour dchiffrer le contenu c.La cl prive du RAC dchiffre la cl de chiffrement du contenu
  • Page 29
  • Accs au contenu SPCUL user@example.com read, print expire aprs 30 jours RAC d.Le client RMS dchiffre le contenu c.La cl prive du RAC dchiffre la cl de chiffrement du contenu e.Lapplication affiche le contenu et applique les restrictions associe au document
  • Page 30
  • La protection de linformation est importante pour les communications internes La protection de linformation est critique pour les communications externes