Sicher ist sicher

Datensicherheit mit Office 365 und SharePoint On Premise (Teil 2)
Kommentare

Was ist IRM?
Information Rights Management ist eine Technologie, die verhindert, dass vertrauliche Informationen durch nicht autorisierte Personen kopiert, gelesen, gedruckt oder in einer Mail, weitergeleitet

Was ist IRM?

Information Rights Management ist eine Technologie, die verhindert, dass vertrauliche Informationen durch nicht autorisierte Personen kopiert, gelesen, gedruckt oder in einer Mail, weitergeleitet werden. Der Autor kann festlegen, was mit dem Dokument passieren darf und für wen es bestimmt ist. Schränkt er den Zugriff auf das Dokument ein, wird es verschlüsselt und mit Nutzungsinformationen versehen. An zentraler Stelle kann der Zugriff auf die Datei gesteuert werden, ohne dass sie sich noch innerhalb der Organisation aufhalten muss.

Information Rights Management im Überblick

  • Organisationen können den Zugriff auf vertrauliche Informationen einschränken bzw. verhindern; anders als eine Firewall deckt IRM auch die Weitergabe von Daten durch berechtigte Benutzer ab
  • Datenschutz, Kontrolle und Integrität von Informationen
  • Mitarbeiter können sicherstellen, dass bestimmte Inhalte nur von bestimmten Personen gelesen werden
  • Der Schutz ist mit dem Inhalt verbunden und kann nur durch den Herausgeber des Dokuments entfernt werden
  • Basierend auf Verschlüsselung und Richtlinien
  • Arbeitet mit anderen Infrastrukturen zusammen, z. B. Exchange oder SharePoint
  • Bietet eine enge Office-Client-Integration
  • Unterbindet versehentliches oder absichtliches Durchsickern von vertraulichen Informationen
  • Der Herausgeber, also der Autor einer E-Mail oder eines Dokuments, kann bestimmen, was damit geschehen soll
  • Geschützte Inhalte haben ein Ablaufdatum und können danach nicht mehr geöffnet werden
  • Verhindern von Weiterleiten, Ändern, Drucken, Faxen, Speichern oder Ausschneiden und Einfügen von IRM-geschützten Inhalten durch autorisierte Empfänger
  • Schützen von Anlagen in unterstützten Dateiformaten mit der gleichen Schutzstufe wie die Nachricht
Wovor schützt IRM nicht?

  • Verwendung von Drittanbieterprogrammen für Bildschirmaufnahmen
  • Verwendung bildgebender Geräte (z. B. Kameras) zum Fotografieren IRM-geschützter Inhalte, die auf dem Bildschirm angezeigt werden

IRM sollte sich nahtlos in das Arbeitsumfeld integrieren und reibungslos funktionieren, ohne dass die Mitarbeiter sich umstellen müssten. Wann immer manuelle Schritte notwendig sind, steigt die Chance, dass sie auch einmal ausgelassen werden.

In Abbildung 3 ist der Vorgang entsprechend dargestellt:

  1. Autor: Erhält einmalig ein RAC- und ein CLC-Zertifikat.
  2. Autor: Der Autor legt fest, wer der Leser des Dokuments sein wird. Die Clientanwendung verschlüsselt die Datei mitsamt der Veröffentlichungslizenz.
  3. Autor: Der Autor sendet Dokument zum Empfänger.
  4. Empfänger: Der Empfänger öffnet die Datei. Die Clientanwendung spricht mit dem RMS-Cluster. Anhand der Veröffentlichungslizenz wird überprüft, ob der Empfänger für das Dokument bestimmt ist. Ist das der Fall, wird eine Endbenutzerlizenz vom Cluster generiert und ausgestellt.
  5. Empfänger: Die Clientanwendung entschlüsselt das Dokument und kümmert sich darum, dass die definierte Policy eingehalten wird.
Abb. 3: IRM-Schema
Abb. 3: IRM-Schema
Was ist eine Veröffentlichungslizenz (Issuance License IL)?

Eine Veröffentlichungslizenz legt fest, für wen das Dokument bestimmt ist und welche Operationen zulässig sind, z. B. Lesen, Editieren, Drucken, Weiterleiten, Kopieren usw.). Außerdem wird festgelegt, von wann bis wann dieses Dokument gültig ist und sich öffnen lässt.

Was ist eine Endbenutzerlizenz (End-User License, EUL)?

Eine Endbenutzerlizenz erhält der Empfänger eines Dokuments direkt oder indirekt vom AD RMS Cluster [2], nachdem die Clientanwendung, z. B. Microsoft Word 2010, die Veröffentlichungslizenz und die persönlichen Daten des Empfängers übermittelt hat. In dieser Lizenz ist festgelegt, was die Person mit dem Dokument machen darf. Sie hat eine bestimme Gültigkeitsdauer, kann nicht auf eine andere Person übertragen werden und ist nur gültig auf dem jeweiligen Gerät, das das Dokument heruntergeladen hat. Die Clientanwendung des Endanwenders folgt den Richtlinien der Endbenutzerlizenz.

SharePoint und IRM

Firmen, die SharePoint eingeführt haben, legen den Großteil ihrer Dokumente auch dort ab. Wann immer es um das Ablegen von vertraulichen Informationen geht, spielt der Schutz der Inhalte eine große Rolle. Glücklicherweise gibt es die Möglichkeit, SharePoint und IRM zusammenzubringen. Ist in der Domäne ein AD RMS Cluster vorhanden, so kann dieses über die Zentraladministration mit der Farm verbunden werden. Danach können die jeweiligen Websiteadministratoren pro Dokumentenbibliothek bestimmen, ob die IRM-Infrastruktur die Inhalte schützen soll.

Abb. 4: Konfiguration des IRM-Schutzes für eine Dokumentenbibliothek
Abb. 4: Konfiguration des IRM-Schutzes für eine Dokumentenbibliothek

IRM in Verbindung mit SharePoint stellt sich für den Endbenutzer ziemlich transparent dar. Wie eben beschrieben, muss sich lediglich der Administrator der Website um die Konfiguration kümmern (Abb. 4), alle anderen Funktionen übernimmt SharePoint. Out-of-the-Box lässt sich IRM für die gängigen Office-Dokumente einsetzen, zusätzliche Dateiformate müssen separat installiert und registriert werden. Wichtig ist, dass IRM nach der Aktivierung für die jeweilige Dokumentenbibliothek zur Verfügung steht und dabei die Berechtigungen, die auf das jeweilige Element innerhalb einer Dokumentenbibliothek wirken, eine Rolle spielen (Tab. 1).

Tab. 1: Beziehungen zwischen SharePoint und IRM-Berechtigungen

ACL-Rechte IRM-Berechtigungen
Berechtigungen und
Website verwalten
Vollzugriff auf die Dokumente, wie in der Clientanwendung definiert. Erteilt dem Benutzer die allgemeine Berechtigung zum Lesen, Bearbeiten, Kopieren, Speichern und Ändern von Berechtigungen für das Dokument.
Listenelemente bearbeiten, Liste verwalten, Seiten hinzufügen und anpassen Bearbeiten, Kopieren und Speichern von Berechtigungen. Der Benutzer kann das Dokument nur drucken, wenn die IRM-Einstellungen der Dokumentbibliothek so konfiguriert sind, dass das Drucken des Dokuments zulässig ist.
Listenelemente anzeigen Leseberechtigungen: Der Benutzer kann das Dokument lesen, den Inhalt jedoch weder kopieren noch bearbeiten. Er kann das Dokument nur drucken, wenn die IRM-Einstellungen der Dokumentbibliothek so konfiguriert sind, dass das Drucken des Dokuments zulässig ist.
Alle anderen ACL-Rechteeinstellungen, z. B. Benutzerinformationen bearbeiten Nicht zutreffend, keine entsprechenden IRM-Berechtigungen.
Arbeitsweise

Damit IRM funktioniert, verwendet SharePoint sogenannte Schutzkomponenten. Sie stellen sicher, dass Dokumente in das verschlüsselte Format konvertiert werden und wieder zurück. Es gibt zwei unterschiedliche Arten von Schutzkomponenten:

  • Die integrierte Schutzkomponente verwendet SharePoint Foundation, um den ganzen Prozess mit der AD-RMS-Plattform abzuwickeln. Die fertig generierten Zertifikate und Schlüssel werden nur noch verpackt. Es gibt keine Möglichkeit, die Rechte und Richtlinien anders umzusetzen als beispielsweise oben in der Tabelle vorgegeben.
  • Mit einer autonomen Schutzkomponente erhält der Entwickler die volle Kontrolle über den Rechteverwaltungsprozess und kann auch jede beliebige Rechteverwaltungsplattform einbinden. Anders als eine integrierte Schutzkomponente spricht die autonome Schutzkomponente mit der RMS-Plattform und kümmert sich um den ganzen Prozess.

Wie so oft in SharePoint-Projekten, steht man vor der Wahl, die vorhandene, integrierte Schutzkomponente zu verwenden oder aber eine eigene Lösung zu bauen, die es ermöglicht, beispielsweise die Rechte auf das Dokument feingranularer zu gestalten, da die gegebenen Konfigurationsmöglichkeiten etwas allgemein gehalten sind.

In SharePoint Foundation werden die Dokumente unverschlüsselt abgelegt. Das hat den Vorteil, dass sie indiziert und durchsucht werden können, ebenso kann der Virenscanner seine Arbeit verrichten, und spezielle Auflagen, die das unverschlüsselte Ablegen von Dateien verlangen, werden erfüllt.

Herunter- und Hochladen von Dokumenten

Ist der IRM-Schutz aktiviert und lädt ein Benutzer ein Dokument herunter, so wird erst einmal überprüft, ob für diesen Dateityp eine Schutzkomponente registriert ist. Findet SharePoint keine Zuordnung zu diesem Dateityp, wird das Dokument ungeschützt versendet. Gibt es eine Zuordnung zu einer Schutzkomponente, so generiert SharePoint Foundation Folgendes:

  • Einen privaten Dokumentschlüssel, der nur für das Dokument gilt. Er dient zum Verschlüsseln von Daten im Dokument mit verwalteten Rechten.
  • Eine Liste mit Benutzern, die auf das Dokument zugreifen können und ihre entsprechenden Berechtigungen. SharePoint Foundation fügt sich selbst und den Benutzer, der das Dokument heruntergeladen hat, dieser Liste hinzu.
  • Die GUID der Dokumentbibliothek, aus der dieses Dokument heruntergeladen wird.

Anschließend wird die Schutzkomponente aufgerufen. In unserem Beispiel ist es die integrierte. Jetzt wird geprüft, ob das Dokument geschützt ist. Wenn es bereits mit verwalteten Rechten ausgestattet ist, wird es heruntergeladen. Ist das nicht der Fall, dann generiert SharePoint Foundation mit dem AD RMS Cluster Folgendes:

  • Veröffentlichungslizenz (Issuance License IL)
  • Server-Endbenutzerlizenz (End User License, EUL)
  • Dokumentvorlage (optional)

Liegen alle Zutaten bereit, wird alles verpackt und versendet. Der Benutzer erhält ein IRM-geschütztes Dokument mitsamt einer persönlichen Endbenutzerlizenz. Abbildung 5 zeigt den beschriebenen Downloadprozess.

Abb. 5: SharePoint-Dateidownload mit einer integrierten Komponente
Abb. 5: SharePoint-Dateidownload mit einer integrierten Komponente

Checkt ein Anwender ein Dokument in einer IRM-geschützten Dokumentenbibliothek ein, so prüft SharePoint Foundation, ob es eine registrierte Schutzkomponente für das entsprechende Dateiformat gibt. Falls dem jeweiligen Dateityp keine Schutzkomponente zugeordnet wurde, wird je nach Konfiguration der Upload-Vorgang verweigert oder das Dokument wird ungeschützt abgelegt. Abbildung 6 stellt diesen Vorgang dar.

Abb. 6: SharePoint-Dateiupload mit einer integrierten Komponente
Abb. 6: SharePoint-Dateiupload mit einer integrierten Komponente

Innerhalb einer Dokumentenbibliothek können folgende Richtlinien definiert werden:

  • Name und Beschreibung der Richtlinie für Informationsrechte
  • Angaben, ob Benutzer Dokumente mit verwalteten Rechten drucken dürfen
  • Angaben, ob der Benutzer Microsoft Visual Basic for Applications (VBA) und anderen benutzerdefinierten Code in der Datei ausführen kann
  • Die Anzahl von Tagen, für die die Lizenz gültig ist; nach der angegebenen Anzahl von Tagen läuft die Lizenz ab, und der Benutzer muss die Datei erneut aus der Dokumentbibliothek herunterladen
  • Angaben, ob der Benutzer Dateitypen, die IRM nicht unterstützen, hochladen darf; ist diese Option aktiviert, dürfen nur Dateien hochbeladen werden, für die es eine entsprechende IRM-Schutzkomponente gibt.
  • Optional: Angaben zum Datum, an dem die Einschränkung von Berechtigungen für die Dokumentbibliothek beendet wird; nach dem angegebenen Datum werden alle Einschränkungen der Rechteverwaltung von SharePoint Foundation aus den Dokumenten der Bibliothek entfernt
Unsere Redaktion empfiehlt:

Relevante Beiträge

Meinungen zu diesem Beitrag

X
- Gib Deinen Standort ein -
- or -