Безопасность сообщений Exchange Server 2003

Шаблоны сертификатов

Шаблоны сертификатов определяют атрибуты для типов сертификатов. Можно сконфигурировать центр сертификации предприятия так, чтобы он выдавал определенные типы сертификатов авторизованным пользователям и компьютерам. Когда ЦС выпускает сертификат, он использует шаблон сертификатов для указания его атрибутов, таких как авторизованные способы применения данного сертификата, криптографические

алгоритмы, которые должны использоваться с ним, длина открытого ключа и срок его действия. Шаблоны сертификатов хранятся в Active Directory. В табл. 5.3 приводится список стандартных типов сертификатов.

Онлайновые шаблоны сертификатов используются для выдачи сертификатов заявителям, которые имеют учетные записи Windows Server 2003 и поддерживают получение сертификатов непосредственно от ЦС предприятия. Автономные шаблоны используются для выдачи сертификатов заявителям, которые не имеют учетных записей Windows Server 2003 или не поддерживают получение сертификатов от ЦС предприятия.

При выдаче онлайнового сертификата ЦС получает информацию о заявителе из его учетной записи Windows Server 2003 для включения в этот сертификат. При выдаче автономного сертификата ЦС включает в этот сертификат информацию из запроса, такую как имя пользователя, адрес электронной почты, отдел и остальные данные, введенные заявителем в веб-форму.

База данных сертификатов

В базу данных сертификатов записываются все транзакции сертификатов, такие как запросы сертификатов. В нее записывается факт одобрения или отклонения запроса, а также информация о самом сертификате (его регистрационный номер и дата окончания его действия). В этой базе данных помечаются и отслеживаются отозванные сертификаты. Для работы с контрольным журналом (audit trail) используется оснастка Certification Authority (Центр сертификации).

Модули Exit (Выход)

Модули выхода отправляют сертификат в место, указанное в запросе. Это могут быть службы каталогов LDAP, файловые системы и URL-адреса. Можно создавать специализированные модули выхода, чтобы новые сертификаты отправлялись в сообщениях электронной почты или в общую папку в сети. В зависимости от ваших потребностей можно создать большое число модулей выхода или лишь несколько модулей. Эти модули записываются с помощью СОМ-интерфейса, что позволяет уведомлять любой объект или каталог о выпуске сертификата. Например, можно написать модуль выхода, чтобы передавать уведомление о новом сертификате в определенную базу данных для выписывания счетов.

Управление инфраструктурой открытых ключей

Теперь, когда вы знаете, как устроена инфраструктура открытых ключей Windows Server 2003, и знакомы с работой службы сертификатов, вам нужно научиться инсталлировать оснастку Certification Authority (Центр сертификации) и работать с ней. Используйте эту оснастку консоли ММС для управления одним или несколькими ЦС. Подробнее о том, как создаются настраиваемые оснастки, рассказывается в гл. 8.

Инсталляция и конфигурирование службы сертификатов

Если вы не включили службу сертификатов (Certificate Services) как дополнительный компонент при инсталляции Windows Server 2003, то можете установить ее в любой момент, выбрав компонент Certificate Services в окне Add/Remove Programs (Добавить/Удалить программы), как показано на рис. 5.2. Сразу после выбора службы сертификатов появится окно сообщения, указывающего, что после инсталляции этой службы вы не сможете переименовать сервер или переместить его из данного домена.

В окне выбора Certification Authority Type (Тип центра сертификации) (см. рис. 5.3) выбирается тип ЦС-сервера, который нужно установить. По умолчанию выбран корневой ЦС предприятия (Enterprise root СА). Выберите тип, подходящий для вашей инсталляции.

(рис 5.3) Окно выбора типа СА

Если требуется сконфигурировать дополнительные параметры для открытых и секретных ключей, отметьте опцию Use Custom Settings To Generate The Key Pair And CA Certificate (Измененные параметры создания пары ключей и сертификата ЦС) и нажмите кнопку Next (Далее). Появится окно, показанное на рис. 5.4. В табл. 5.4 приводится список вариантов выбора, представленных в этом окне.

Отобразится окно, в котором будет указываться, что в данный момент генерируется ключевая пара. Оно в большинстве случаев отображается не больше 2 секунд. После генерации ключей программе установки понадобится выяснить, в какое место следует поместить базу данных. Введите соответствующий путь. Как видно из рис. 5.6, можно отметить опцию Store Configuration Information In A Shared Folder (Сохранять данные конфигурации в общей папке). Эта опция создает папку, которая делает информацию о центре сертификации доступной пользователям. Данная опция полезна только в том случае, если происходит установка отдельного ЦС и отсутствует Active Directory.

Щелкните на кнопке Next - отобразится окно сообщения, указывающего, что нужно прекратить работу служб IIS. Нажмите кнопку ОК, и мастер сконфигурирует нужные компоненты. После окончания его работы будет установлена служба сертификатов. В меню Administrative Tools (Администрирование) появится оснастка Certification Authority (Центр сертификации) (см. рис. 5.7).

Инсталляция поддержки веб-регистрации

По умолчанию при инсталляции служб сертификатов Windows Server 2003 на том же сервере устанавливается поддержка веб-регистрации (см. рис. 5.8). Кроме того, можно выбрать установку формы веб-регистрации на другом компьютере, работающем под управлением Windows Server 2003. Это делается при большом объеме трафика для службы сертификатов, если нужно распределить трафик регистрации более чем на один сервер.

(рис 5.8) Начальная страница веб-регистрации

По умолчанию для страниц веб-регистрации используется местоположение <ducK:>\%windir%\System32\Certsrv,где <диск:> - буквенное обозначение дискового устройства, на котором будут устанавливаться эти страницы. Чтобы установить страницы веб-регистрации на сервере, отличном от сервера, где находится служба сертификации, щелкните на значке Add/Remove Programs в панели управления и выберите Certificate Services, как если бы вы инсталлировали эту службу. Но затем нажмите кнопку Details (Подробно) и отключите опцию Certificate Services (см. рис. 5.9). Проследите за тем, чтобы была включена опция Certificate Services Веб Enrollment Support (Поддержка веб-регистрации для службы сертификации), и нажмите кнопку ОК. Следуйте инструкциям мастера вплоть до завершения.

Использование страниц веб-регистрации

Пользователи получают доступ к страницам веб-регистрации посредством URL http://uMR_cepeepa/certsrv.В первом окне пользователь имеет несколько вариантов выбора. Вариант Download The CA Certificate, Certificate Chain, Or CRL (Считывание сертификата ЦС, цепочки сертификатов или списка отозванных сертификатов [CRL]) позволяет считывать сертификат ЦС или текущий CRL. После выбора этого варианта и щелчка на кнопке ОК появится окно, где пользователь может выполнить несколько задач, в том числе установить доверие к цепочке сертификатов ЦС в хранилище сертификатов на локальном компьютере (см. рис. 5.10). Эта задача заключается в установке пути доступа к сертификату ЦС в хранилище сертификатов на локальном компьютере (см. рис. 5.10). Эта опция наиболее полезна, когда требуется доверие подчиненному ЦС, но сертификат корневого ЦС в вашем локальном хранилище сертификатов отсутствует.

Чаще всего пользователи будут обращаться к этому веб-сайту для получения нового пользовательского сертификата. Чтобы начать этот процесс, пользователю нужно щелкнуть на ссылке Request A Certificate (Запрос сертификата) и нажать кнопку Next. На следующей странице (см. рис. 5.11) пользователь запрашивает стандартный сертификат или выбирает опцию Advanced Request (Расширенный запрос) для получения более сложного сертификата. Информацию по параметрам расширенного запроса см. в следующем разделе.

Для запроса нового стандартного пользовательского сертификата выберите опцию User Certificate Request (Запрос пользовательского сертификата) и нажмите кнопку Next. Появится страница User Certificate -Identifying Information (Пользовательский сертификат - идентифицирующая информация) (см. рис. 5.12). Здесь отображается информация о том, что для генерации сертификата ЦС больше не требуется каких-либо данных.

После щелчка на кнопке Submit происходит генерация сертификата. Нажмите Yes (Да) или ОК, когда появятся два окна сообщения, чтобы завершить запрос. На следующей странице поддержки пользователь может установить данный сертификат (см. рис. 5.13).

Нажмите кнопку Install This Certificate (Установить этот сертификат) -и данный сертификат будет установлен на локальном компьютере. Этот сертификат доступен только пользователю, для которого он был сгенерирован. Если другие пользователи будут подключаться к данному компьютеру, они не смогут использовать этот сертификат. Затем появится последняя страница регистрации, указывающая, что сертификат установлен правильно. Чтобы проверить, что данный сертификат действительно создан, откройте оснастку Certification Authority и выделите папку Issued Certificates (Выданные сертификаты). Сертификат данного пользователя появится в панели подробной информации (см. рис. 5.14).

Чтобы проверить, что данный пользовательский сертификат был установлен, откройте клиент Microsoft Outlook 2003, выберите пункт Options (Параметры) из меню Tools (Сервис) и щелкните на вкладке Security (Безопасность) (см. рис. 5.15). В секции Encrypted (Шифрование) нажмите кнопку Settings (Параметры), чтобы открыть окно Change Security Settings (см. рис. 5.16).

Нажмите кнопку Choose (Выбрать) для сертификата подписи (Signing Certificate) и сертификата шифрования (Encryption Certificate), чтобы отобразить, что сертификат установлен в Outlook. Нажмите ОК в окне Select Certificate, чтобы присвоить только что созданный сертификат клиенту Outlook (см. рис. 5.17). На рис. 5.18 показан способ отображения сертификатов на вкладке Security (Безопасность). Алгоритм хэш-функции и алгоритм шифрования могут быть изменены, однако сам сертификат изменить нельзя.

Если установлено несколько различных сертификатов, укажите нужный сертификат посредством нажатия кнопки Choose и выбора нужной опции (см. рис. 5.19). Хотя элементы в этом списке выглядят как несколько копий одного и того же сертификата, это на самом деле не так. Каждый элемент списка представляет собой уникальный сертификат.

Создание расширенного запроса

Опция Advanced Request (Расширенный запрос) позволяет пользователю указывать дополнительные параметры при создании запроса на сертификат. На рис. 5.20 показаны три типа запросов. Первый вариант, Create And Submit A Certificate Request To This CA (Создать и представить запрос на сертификат данному ЦС), позволяет пользователю использовать расширенную форму. Вы можете применить эту форму для запроса любых типов сертификатов, поддерживаемых ЦС данного предприятия. Также данная форма позволяет выполнять настройку параметров ключа, формата и хеш-функции для запроса на сертификат. Как правило, с расширенной формой работают только администраторы, так как она достаточно сложна для обычного пользователя.

Второй вариант, Submit A Certificate Request Using A Base-64-Encoded CMC Or PKCS #10 File, Or Submit A Renewal Request By Using A Base-64-Encoded PKCS #7 File (Подать запрос на сертификат, используя файл в формате Base64 Encoded PKCS #10, или возобновить запрос, используя файл в формате Base64 Encoded PKCS #7), позволяет пользователю представлять запрос, используя файл, а не форму. Файл уже должен существовать в base64 с использованием формата шифрования #10 или #7 PKCS. Вам также понадобится выбрать тип запрашиваемого сертификата в области Certificate Template (Шаблон сертификата).

Последний вариант, Request A Certificate For A Smart Card On Behalf Of Another User Using The Smart Card Enrollment Station (Запрос сертификата для смарт-карты от имени другого пользователя с помощью станции регистрации смарт-карт), позволяет администратору создавать сертификат для пользователя смарт-карты, который можно затем установить на физической карте.

Просмотр информации о сертификатах

Для просмотра информации о сертификатах перейдите в папку Issued Certificates (Выданные сертификаты) в оснастке Certificate Authority и откройте нужный сертификат. Чтобы открыть сертификат, щелкните на нем правой кнопкой мыши и выберите команду Open (Открыть). На рис. 5.21 показана вкладка General (Общие) страницы свойств пользовательского сертификата. В этой вкладке приводится список целей, для которых предназначен сертификат, кем он выдан, кому, а также даты начала и окончания действия сертификата. Если сравнить информацию пользовательского сертификата с информацией сертификата для контроллера домена (см. рис. 5.22), то вы увидите, что они отличаются по своему назначению. Напомним, что назначение сертификата наследуется из его шаблона.

На рисунках 25.21 и 25.22 кнопка Issuer Statement (Комментарий ЦС) затенена (недоступна), поскольку в данном случае ЦС, выдавший сертификат, не предоставил никакого комментария. Но при наличии комментария ЦС для определенного сертификата можно щелкнуть на этой кнопке и прочитать дополнительную информацию о сертификате из веб-сайта ЦС, выдавшего сертификат.

В окне вкладки Details (Подробно) показана информация, которую содержит данный сертификат. Если выбрать элемент в колонке Field (Поле), то содержимое этого поля раскрывается в колонке Value (Значение). На рис. 5.23 выделено поле Public Key (Открытый ключ). В столбце Value указано, что это 1024-битный ключ.

В окне вкладки Certification Path (Путь сертификации) (см. рис. 5.24) показан статус доверия сертификата. При возникновении проблемы, касающейся сертификата или пути сертификации, в этой вкладке появится предупреждение с информацией, раскрывающей суть проблемы.

На стороне клиента можно использовать Outlook 2003 для редактирования определенных свойств сертификата. Открыв сертификат, нажмите кнопку Edit Properties (Редактировать свойства) внизу страницы свойств сертификата, чтобы увидеть страницу, показанную на рис. 5.25. Здесь можно изменить дружественное имя (Friendly name) и описание (Description) для данного сертификата, а также ограничить цели использования сертификата. По умолчанию активизированы все цели, но вы можете вручную отключить определенные цели или все цели (что сделает сертификат ненужным).

Вкладка Cross-Certificates (Перекрестные сертификаты) (см. рис. 5.26) позволяет указать для данного сертификата перекрестные сертификаты. Перекрестные сертификаты - это специальные сертификаты, используемые для установки полного или одностороннего доверия между ЦС, между которыми изначально нет какой-либо взаимосвязи. Если в организации есть несколько распределенных отделов информационных технологий, то у вас может отсутствовать возможность создания единой структуры с доверием. В данной ситуации реализовывается модель доверия с сетевой иерархией, в которой все ЦС являются самоподписывающимися, и доверительные отношения между центрами сертификации базируются на перекрестных сертификатах.

Защищенный обмен сообщениями в Outlook 2003

С точки зрения клиента необходимо ответить на вопрос, каким образом клиент Outlook 2003 определяет сертификаты, которым можно доверять. Ответ находится в свойствах Microsoft Internet Explorer. При инсталляции Internet Explorer в его установку встраивается большое число сертификатов. Outlook использует поставщика криптографических услуг (CSP) Internet Explorer для чтения этих сертификатов и определения того, можно ли доверять данному ЦС. Чтобы определить, каким ЦС можно доверять, выберите в Internet Explorer пункт Internet Options (Свойства обозревателя) из меню Tools (Сервис), затем щелкните на вкладке Content (Содержание) и нажмите кнопку Certificates (Сертификаты). На рис. 5.27 показан частичный список доверенных корневых центров сертификации, которые поставляются вместе с Outlook 2003 и Internet Explorer 6.

В этом окне можно добавлять и удалять как корневые ЦС, так и отдельных пользователей. Предположим, нам нужно удалить сертификат корневого ЦС из списка доверенных корневых ЦС. В диалоговом окне Certificates щелкните на вкладке Trusted Root Certification Authorities (Доверенные корневые центры сертификации), выделите корневой ЦС, который нужно удалить, и нажмите кнопку Remove (Удалить). Появится окно сообщения, подтверждающее эту операцию.

Принятие решения о доверии сертификату

Если компания реализует свои собственные ЦС, или имеются определенные ЦС, которым следует доверять, но они не встроены в IE, то можно импортировать их сертификаты с помощью кнопки Import (Импорт).

Вы должны тщательно продумать, можно ли изначально доверять определенному сертификату. Например, если сертификат включен в инсталляционный CD-ROM от Microsoft, то будьте уверены, что ему можно доверять. Но если вы загружаете программное обеспечение, такое как Internet Explorer, из интернета, то вполне возможно, что в него может быть включить сертификат, которому нельзя доверять. Чтобы воспрепятствовать этому, Microsoft использует для своего программного обеспечения сертификаты Authenticode. В случае несовпадения битов во время инсталляции вы получите уведомление, что подпись неверна, и не следует инсталлировать это ПО.

Можете проверить сертификаты независимым путем, обращаясь непосредственно к корневому ЦС, чтобы убедиться в правильности регистрационного номера сертификата. Некоторые ЦС помещают регистрационные номера на свои веб-сайты, или можно обратиться к системному администратору ЦС предприятия.

Шифрование и Outlook 2003

Если обе стороны - отправитель и получатель - используют Outlook 2003 вместе с сертификатами, их сообщения остаются зашифрованными от начала и до конца, то есть клиент Outlook 2003 шифрует их при отправке, и они остаются нерасшифрованными, пока их не откроет получатель. Шифрованные сообщения, помещенные в хранилище, остаются нерасшифрованными. Следовательно, если кто-то получит доступ к почтовому ящику на сервере Exchange, он не сможет прочитать эти сообщения, поскольку не имеет секретного ключа для дешифрирования сообщения. Только получатель, которому предназначено это сообщение, может дешифрировать сообщение, поскольку он обладает нужным секретным ключом.

Ниже показано, как Outlook 2003 обеспечивает конфиденциальность сообщения. Сначала отправитель составляет и адресует сообщение. Затем Outlook находит получателя в Active Directory, выполняя поиск в адресной книге. Если отправитель решил зашифровать выходные сообщения, то Outlook считывает сертификат получателя. Чтобы увидеть параметры шиф

рования, выберите пункт Options (Параметры) из меню Tools (Сервис) в Outlook 2003 и щелкните на вкладке Security (см. рис. 5.28).

Outlook извлекает открытый ключ получателя из его сертификата и генерирует разовый "сейф" (lockbox), шифруя все данные с помощью разового симметричного ключа и помещая их внутри этого "сейфа". "Сейф" вместе с его содержимым шифруется с помощью открытого ключа получателя и затем отправляется этому получателю. Когда получатель открывает данное сообщение, его клиент дешифрирует "сейф", используя секретный ключ получателя, извлекает симметричный ключ и дешифрирует сообщение с помощью этого симметричного ключа. После этого получатель может читать сообщение.

Цифровые подписи и Outlook 2003

Цифровые подписи юридически так же связаны с документом, как и подпись на бумаге. Цифровые подписи обеспечивают аутентификацию источника, поскольку только отправитель имеет секретный ключ, используемый для генерации подписи. Подпись обеспечивает целостность данных, поскольку представляет защищенный хеш-код сообщения; это означает, что документ хешируется и затем шифруется с помощью секретного ключа шифрования владельца подписи, а после верификации он дешифрируется с помощью секретного ключа владельца подписи. Если во время передачи сообщения изменится хотя бы один бит, то хеш-код на принимающей стороне тоже изменится, и сообщение будет считаться

недействительным. Данная подпись генерируется только для одного сообщения и никогда больше не используется. Действие цифровых подписей объясняется тем, что в каждую подпись встраивается указатель, который описывает хеш-функции, используемые отправителем. Получатель может использовать ту же функцию и рассчитать с ее помощью того же хеш-кода после получения сообщения. Если хеш-коды совпадают, то подпись считается достоверной. Если сообщение зашифровано, то его нужно дешифрировать, прежде чем запустить алгоритм сравнения хеш-кодов.

SIMIME и Outlook 2003

Стандарт S/MIME (Secure/Multipurpose Internet Mail Extensions - защищенные/многоцелевые почтовые расширения интернета) был разработан консорциумом поставщиков, возглавляемым фирмой RSA, в 1995 г. На момент написания книги существует третья версия этого стандарта в виде черновых документов интернета. S/MIME позволяет получателям использовать программное обеспечение фирм, не связанных с Microsoft, для чтения шифрованных защищенных сообщений, отправленных пользователями Outlook 2003.

Когда сообщение подписывается, его содержимое преобразуется в формат MIME. Заголовки и тело сообщения используют алгоритм с секретным ключом пользователя для обеспечения проверки целостности сообщения (Message Integrity Check, MIC). Результатом этой операции является цифровая подпись. После этого сообщение отправляется с копией открытого ключа получателя, вложенной в сообщение.

При прочтении сообщения на компьютере получателя генерируется MIC, и результаты сопоставляются с цифровой подписью отправителя. Если они совпадают, подпись воспринимается как действительная.

При шифровании открытый ключ получателя используется для зашифровки данных. Чтобы отправить шифрованное сообщение, отправитель должен получить открытый ключ получателя. Получатель сможет затем дешифровать сообщение с помощью своего секретного ключа. По умолчанию клиент Outlook осуществляет поиск открытого ключа получателя либо в Active Directory, либо в личном хранилище сертификатов получателя.

Чтобы вся эта схема работала, необходимо наличие общего ЦС, пользующегося доверием как отправителя, так и получателя. Верификация доверия (так называется операция, при которой выясняется, является ли доверенным источник данного открытого сертификата) осуществляется клиентом Outlook (и Outlook Express) на рабочем столе.

Конфигурирование Outlook 2003 для защищенного обмена сообщениями

Служба сертификатов интегрирована в Active Directory, и вы можете указать, нужно ли публиковать сертификаты в файловой системе в дополнение к Active Directory. Чтобы настроить этот параметр, откройте окно свойств службы в оснастке Certification Authority, откройте вкладку Exit Module (Модуль выхода), после чего нажмите кнопку Properties (Свойства) (см. рис. 5.29).

Преимуществом публикации сертификата в Active Directory является то, что сертификат становится атрибутом в учетной записи пользователя, как это показано на рис. 5.30. Прежде чем пользователь отправит шифрованное сообщение другому пользователю, клиент сможет найти учетную запись получателя в Active Directory, чтобы проверить, имеет ли сертификат этот получатель. Если да, то сообщение отправляется, как это описано выше. Кроме того, клиент периодически (каждые 24 часа) получает список доверия и список отозванных сертификатов, которые публикуются службой сертификатов, и применяет их при необходимости. При отсутствии иерархической структуры ЦС клиент строит линейную сеть доверия различных ЦС.

В клиенте Outlook используйте вкладку Tools\Options\Security (Сервис\ Параметры\Безопасность) (см. рис. 5.27), чтобы указать, нужно ли подписывать, шифровать или выполнять оба действия с электронной почтой.

Установка шаблонов сертификатов Exchange

В Microsoft Exchange 2000 Server нужно было вручную добавлять шаблоны сертификатов Enrollment Agent (Computer), Exchange User и Exchange Signature Only перед установкой сервера управления ключами Key Management Server (KMS). В Exchange Server 2003 KMS больше не используется, и сертификат Users, установленный по умолчанию, имеет следующие функции:

Так как "характерные" сертификаты пользователей в настоящее время содержат эти функции, объединенные в один сертификат, вы обнаружите, что конфигурация службы сертификатов в Windows Server 2003 по большей части отвечает всем вашим требованиям, основанным на требованиях ваших пользователей.

Однако в некоторый момент вам понадобится установить дополнительные шаблоны сертификатов, чтобы выпускать сертификаты для других нужд. Это можно легко сделать в оснастке Certificate Authority. Чтобы добавить другой шаблон сертификата к уже имеющимся по умолчанию, щелкните правой кнопкой мыши на папке Certificate Template в оснастке Certification Authority, наведите указатель мыши на пункт New (Добавить) и выберите Certificate Template To Issue (Шаблон для выпуска сертификата). Появится диалоговое окно, показанное на рис. 5.31. В этом окне можно выбрать по умолчанию следующие шаблоны.

Ниже приведены шаблоны по умолчанию, устанавливаемые со службой сертификатов.

Работа с локальным хранилищем сертификатов

Работа может осуществляться с сертификатами, установленными на компьютере либо связанными с учетной записью пользователя. Для работы с сертификатами, установленными на компьютере, создайте новую консоль Microsoft Management Console (MMC) и добавьте оснастку Certificates (Сертификаты). Выберите опцию Computer Account (Учетная запись компьютера) в поле выбора оснастки Certificates. После этого выберите свой собственный локальный компьютер или удаленный компьютер. В одной консоли ММС можно создать несколько оснасток, осуществляющих управление всеми сертификатами на всех серверах и/или рабочих станциях в рассматриваемой среде. В больших информационных системах это неприемлемо, однако в некоторых средах данный вариант может оказаться предпочтительным.

На рис. 5.32 показано, что ММС содержит обе установленные оснастки сертификатов - для локального компьютера и текущего пользователя. Обратите внимание, что под оснасткой Certificates - Current User (Сертификаты - текущий пользователь) доступны сертификаты для следующих объектов.

Под каждой из этих папок находится папка сертификата. Если щелкнуть правой кнопкой мыши на этой папке, то отобразятся команды для импортирования, запроса или поиска, соответствующие каждому типу сертификатов. Например, можно запросить новый сертификат для пользователя в папке Personal\Certificates, щелкнув правой кнопкой мыши на этой папке, наведя указатель на пункт New (Новый) и выбрав Request New Certificate (Запросить новый сертификат). А вот в папке Trusted Root Certificate Authorities (Доверенные корневые центры сертификации) при щелчке правой кнопкой мыши на папке Certificates можно импортировать сертификат, однако нельзя запросить новый сертификат. Следовательно, контекстные меню, отображаемые при щелчке правой кнопкой мыши на каждой папке, обозначают тип разрешенных действий.

В данной оснастке имеются мастера экспорта, импорта и запроса сертификатов. Эти мастера помогают лучше и эффективнее осуществлять управление сертификатами. Кроме того, функция Find (Найти) (щелкните правой кнопкой мыши на объекте Certificates [Сертификаты] или на любой папке верхнего уровня) поможет найти сертификат по его атрибуту.

Если щелкнуть правой кнопкой мыши на папке Certificates в папке Personal, можно запросить новый сертификат и запустить мастер запросов. Работая в трех несложных окнах, вы сможете создать новый сертификат для пользователя, представляемого оснасткой. В некотором роде этот способ легче, чем использование веб-форм регистрации, хотя в больших организациях веб-формы регистрации значительно снижают объем задач администрирования, так как пользователи будут создавать и устанавливать свои собственные сертификаты.

При помощи этой оснастки вы можете вырезать и вставлять сертификаты с помощью контекстных меню. Еще одной возможностью консоли является функция автоматической регистрации. С ее помощью запрошенные сертификаты регистрируются автоматически, вместо регистрации вручную каждого сертификата.

Чтобы удостовериться в том, что конкретный сертификат автоматически зарегистрирован при его запросе пользователем, откройте оснастку Certificate Template (Шаблон сертификата). Вам понадобится добавить эту оснастку в имеющуюся консоль либо в новую консоль. После добавления шаблона сертификата в консоль щелкните правой кнопкой мыши на сертификате Users (Пользователи) (это может быть любой сертификат, но сертификат Users наиболее часто настраивается на автоматическую регистрацию) и выполните дублирование шаблона.

Присвойте шаблону новое имя на вкладке General (Общие) (см. рис. 5.33), настройте срок годности, после чего на вкладке Request Handling (Поддержка запросов) выберите опцию Enroll Subject Without Requiring Any User Input (Регистрировать объект без ввода данных пользователем).

Необходимо удостовериться, что к группе безопасности Domain Users (Пользователи домена) на вкладке Security (Безопасность) применено разрешение Autoenroll (Автоматическая регистрация), и что на вкладке General (Общие) отмечена опция Publish Certificate In Active Directory (Публиковать сертификат в Active Directory) (по умолчанию эта опция включена). Затем добавьте сертификат в оснастку Certificate Authority и разрешите пользователям использовать этот сертификат для автоматической регистрации.

Следует знать, что по умолчанию групповая политика в Active Directory 2003 разрешает автоматическую регистрацию (рис. 5.34). Следовательно, в большинстве случаев автоматическая регистрация будет происходить независимо от того, используются ли веб-формы регистрации или оснастка Certificates.

Интеграция Exchange Server 2003 со средствами безопасности Windows Server 2003

В этом разделе описывается, как Exchange Server 2003 использует средства безопасности Windows Server 2003. Средства безопасности Windows Server 2003 можно разделить на два широких класса: средства базовой операционной системы и дополнительные средства.

Средства базовой операционной системы являются основой защищенной реализации Windows Server 2003. Сюда входят следующие средства:

Active Directory

Active Directory в Windows Server 2003 заменяет Security Accounts Manager (SAM) в Windows NT Server 4 как база данных безопасности. Однако, подобно объекту в SAM, каждому объекту Active Directory присваивается 96-разрядный псевдослучайный идентификатор безопасности (SID), который является глобально уникальным идентификатором.

Не всем объектам Active Directory присваивается идентификатор SID. Например, группа безопасности имеет SID, а группа рассылки - нет. Аналогичным образом пользователи с почтовой поддержкой имеют идентификаторы SID, но не имеют контакта с почтовой поддержкой. Только объекты, имеющие идентификаторы SID, могут быть добавлены в список контроля доступа (access control list, ACL) какого-либо ресурса. Если объект не имеет SID, его нельзя поместить в список ACL, и такие объекты не имеют доступа к ресурсам, защищенным списком ACL.

Аутентификация с помощью Kerberos

Kerberos рассматривает Exchange Server 2003 как службу. Если клиенту требуется обратиться к серверу Exchange, этот клиент запрашивает билет (ticket) службы Exchange от центра распространения ключей (key distribution center, KDC). Этот билет затем используется для аутентификации на сервере Exchange.

Службы Exchange тоже используют Kerberos для входа по служебной учетной записи на контроллер домена через локальную системную учетную запись. Эта учетная запись использует аутентификационные данные (имя и пароль) компьютера, которые изменяются каждые семь дней. Пользовательское имя сервера Exchange Server 2003 добавляется к группе Exchange Servers, которая включается в список ACL для базовых объектов.

Модель управления доступом

Модель управления доступом в Exchange Server 2003 соответствует этой модели в Windows Server 2003, обеспечивая более детальный контроль для объектов Exchange Server 2003, чем для объектов Exchange Server 5.5. Например, вы можете предоставлять или отклонять доступ по контейнерам, по элементам и на уровне свойств. Кроме того, объекты Exchange Server 2003 базируются на файловой системе Windows Server 2003 NTFS и на объектах Active Directory. Например, если пользователь имеет доступ только к пяти элементам общей папки из десяти, то он увидит только эти пять элементов. Кроме того, если пользователь, не имеющий прав доступа к определенным атрибутам, выполняет поиск, то он получает только те результаты, которые может видеть.

IP Security

В то время как служба KMS обеспечивает безопасность на уровне приложений, IP Security (IPSec) обеспечивает безопасность на транспортном уровне IP - более высокий уровень безопасности. В среде с высоким уровнем защиты IPSec используется для шифрования информации, передаваемой клиентом на сервер и сервером клиенту. IPSec действует в паре с протоколом Layer 2 Tunneling Protocol (L2TP).

Имея эти средства безопасности, нужно продумать, какой тип безопасности вы хотели бы реализовать. В табл. 5.5 приводится список некоторых методов шифрования и аутентификации, наиболее распространенных в настоящее время.

Аутентификация между лесами

Так как Exchange Server 2003 не позволяет подменять и подделывать субъекты доступа, Microsoft обеспечила способ выполнения аутентификации между лесами (Cross-Forest Authentication) для соответствия требованиям, необходимым в некоторых ситуациях.

Одна из таких ситуаций имеет место, когда информационная система компании разделена на два леса, и необходимо обеспечить совместную работу с электронной почтой между лесами. Так как область Exchange ограничивается границами леса, неблагоразумно создавать два набора контактов в двух лесах, чтобы каждый сотрудник компании мог связываться по электронной почте с любым сотрудником, и чтобы при этом адреса электронной почты сотрудников преобразовывались в отображаемые имена.

Чтобы включить аутентификацию между лесами, необходимо создать коннекторы в каждом лесу, в котором используется учетная запись с аутентификацией из другого леса. Как только коннекторы будут настроены, электронная почта сможет отправляться в один лес из другого авторизованным пользователем, и при этом электронные адреса будут преобразовываться в отображаемые имена.

Чтобы настроить аутентификацию между лесами, выполните следующие шаги.

Заключение

В данной лекции был проведен обзор методов защиты сообщений в Exchange Server 2003. По мере того как технологии безопасности становятся все более важными и распространенными, все большее число компаний привлекают к сотрудничеству и нанимают на работу целые группы сотрудников только для обеспечения безопасности. В этой лекции вы научились устанавливать и использовать службу сертификатов, а также узнали, как выполнять некоторые наиболее общие административные задачи, связанные с этой службой.

В следующей части книги речь пойдет об обеспечении поддержки и управлении Exchange Server 2003. В первой из лекций рассматривается мониторинг системы Exchange Server 2003.