Za sedmero horami a sedmero řekami byla jednou jedna firma, kde uživatelé znali cenu dat a dle toho se k nim chovali. Kde král sítě nikdy nemusel čelit pokusu o nájezd cizích rytířů – hackerů za účelem získání firemních dat, ba dokonce každý jednotlivý poddaný – uživatel byl zcela neúplatný a data chránil vlastní ctí. Zazvonil konec a pohádky je konec.
Ano, toto je možné skutečně jen v pohádkách, a tak je potřeba mít nástroje, díky kterým by náš pomyslný král mohl ochránit data tak, aby se nemohla dostat do rukou nepovolaným osobám.
Nepovolané osoby nemusí být nutně cizí „rytíři“, ale i vlastní „poddaní“. Jaká je tedy realita? Krutá! Tu pravou realitu a cenu dat si bohužel uvědomuje velmi málo společností, a tak nechávají svá data často nestřežena či je chrání metodikou zamčené brány, okolo které je ovšem místo betonové zdi velmi pěkné posekaný nízký živý plůtek. Aneb „berte, berte“, jako kořenářky na trhu.
Na co se ale spolehnout, když bych chtěl mít opravdu bezpečná data? Slyšeli jste už někdy o Information Rights Managementu (IRM)? Ne? Pak tomuto textu můžete vesele holdovat dále.
IRM a Windows Server
Microsoft poskytuje IRM jako serverovou roli v každé edici operačního systému Windows Server 2008 R2. Její celý název je Active Directory Rights Management Services (dále jen ADRMS). Cílem této role je povýšit standardní mechanismy zabezpečení dokumentů a informací na zcela jinou úroveň. Jak typická firma zabezpečuje data? Jednoduše tak, že nastaví práva na složky či jednotlivé soubory a lidé ve firmě do dané složky mají nebo nemají přístup. Klasická správa NTFS ACL, tak jak ji známe asi všichni. Jenže definice oprávnění pomocí NTFS je svým způsobem hodně povrchní a funguje trochu arabským modelem, tedy „buď a nebo“. Buďto někdo má přístup k datům (alespoň pro čtení), nebo nemá. Nic mezi. Těžko určíte, zda-li ten či onen uživatel může s daným dokumentem nakládat tak či onak. Tím se rozumí, zda-li si může například vykopírovat obsah dokumentu do jiného dokumentu, zda-li ho může „vyfotit“ pomocí print screen nebo snipping toolem. Takovýchto scénářů a možností bychom našli spousty. Pokud jste si v předešlém krátkém výčtu řekli „aha, to by vážně nebylo špatné hlídat“, pak vězte, že IRM/ADRMS je přesně to, co potřebujete.
IRM a Office
Proberme si teď, co vlastně ADRMS může nabídnout. Jeho primárním účelem je poskytnout ochranu dokumentů proti riziku krádeže jeho obsahu. Nebavíme se teď o souboru, ale o obsahu souboru. Krádež informací nemusí nutně pocházet jen od cizích lidí, čili hackerů, jak se často lidé domnívají. Nejčastěji informace kradou, ztrácejí nebo nevhodně použijí vlastní interní zaměstnanci. A pokud takovým lidem na NTFS nastavíte práva pro práci s daty, protože je to jejich práce, už nemáte žádný mechanismus, jak ohlídat, aby se s informacemi nakládalo bezpečně. ADRMS umí pracovat s formáty souborů aplikací kancelářského balíku Microsoft Office 2003, 2007 a 2010, konkrétně Word, Excel, Outlook, PowerPoint a InfoPath. Všechny edice Office mohou chráněný obsah číst, ale vytvářet takový obsah je možné pouze v edicích Ultimate, Professional Plus, Enterprise. ADRMS umí daleko více formátů, například PDF, ale k implementaci takového řešení je nutné využít podpory výrobců softwaru třetích stran. A o jaké ochraně dokumentů mluvíme? ADRMS může hlídat, kdo smí dokument například otevřít, upravit, tisknout, přeposlat a tak dále. Protože dokument je šifrován, i kdyby ho oprávněná osoba zaslala v příloze neoprávněné osobě, tak tato neoprávněná osoba si nic nepřečte, protože nebude ověřena její identita proti ADRMS serveru.
Jak to vlastně celé funguje?
Na jedné straně je klientská stanice a na straně druhé je ADRMS server, nebo servery. Stanice získá certifikát pomocí aktivace ADRMS klienta, který je integrován v operačním systému Windows 7. U některých OS se musí agent doinstalovat, či aktualizovat. Aktivovat se však musí i konkrétní uživatel, aby oba byli jednoznačně identifikovatelní pro ADRMS servery. ADRMS klient zároveň zprostředkovává komunikaci mezi klientem a servery ADRMS. Tedy, pokud by uživatel chtěl otevřít chráněný dokument, tento požadavek a veškerou režii okolo něj bude zprostředkovávat ADRMS klient. Řekněme, že je to takový váš právní zástupce před soudem, který rozhoduje, zda-li vám dá přístup k obsahu dokumentu a jaká práva vůči němu budete mít.
Jak již bylo uvedeno, chráněný obsah IRM lze číst nebo vytvářet pouze aplikacemi k tomu určenými. Klasickým Notepadem chráněný obsah neotevřete, i kdyby formát souboru byl s Notepadem kompatibilní. Notepad prostě neumí komunikovat s ADRMS klientem.
Vůči uživateli se vše chová velmi jednoduše, není se tedy třeba obávat, že nasazení a využití této technologie vyžaduje od uživatelů hodiny a hodiny studia či školení na danou technologii. Výhodou také je, že ADRMS se nespoléhá na to, že když uživatel píše e-mail, tak vždy uvědoměle zprávu opatří IRM. Na základě politik se totiž mohou ADRMS politiky aplikovat automaticky!
A jaký z toho všeho plyne závěr? Můžeme být klidně v zemi Mordoru a stejně se vševidoucí oko nedozví, kde prsten, který vládne všem, je. Pokud ho chrání vhodně nastavené ADRMS, pak je v bezpečí i před samotným Frodem, který i kdyby chtěl, informaci nevynese.
Jan Pilař | KPCS
