Decrittografia di trasporto
Si applica a: Exchange Server 2013
In Microsoft Exchange Server 2013, Microsoft Outlook 2010 e versioni successive e Microsoft Office Outlook Web App, gli utenti possono usare Information Rights Management (IRM) per proteggere i propri messaggi. È possibile creare le regole di protezione di Outlook per applicare automaticamente la protezione IRM ai messaggi prima che vengano inviati da un client Outlook 2010. È inoltre possibile creare regole di protezione di trasporto per applicare la protezione IRM ai messaggi in transito che soddisfano le condizioni della regola. La decrittografia di trasporto consente di accedere al contenuto dei messaggi protetti da IRM per applicare i criteri di messaggistica.
Per le attività di gestione relative alla gestione di IRM, vedere Procedure di Information Rights Management.
Limitazioni di altre soluzioni di crittografia
Se è importante che l'organizzazione protegga le informazioni riservate, comprese le informazioni aziendali e quelle personali, è opportuno crittografare i messaggi di posta elettronica e gli allegati. Le soluzioni di crittografia dei messaggi di posta elettronica, ad esempio S/MIME, sono state disponibili per molto tempo. Tali soluzioni sono state utilizzate da diversi tipi di organizzazioni in diversi campi. Tuttavia, presentano le seguenti problematiche:
Impossibilità di applicare i criteri di messaggistica: le organizzazioni devono anche soddisfare requisiti di conformità che richiedono l'ispezione del contenuto della messaggistica per assicurarsi che siano conformi ai criteri di messaggistica. Tuttavia, i messaggi crittografati con la maggior parte delle soluzioni di crittografia basate su client, compreso S/MIME, impediscono il controllo del contenuto sul server. Se il controllo non viene eseguito, l'organizzazione non è in grado di confermare che tutti i messaggi inviati o ricevuti dagli utenti sono conformi ai criteri di messaggistica. Ad esempio, per essere conformi ad una normativa legale, è stata configurata una regola di trasporto per rilevare PII, come un numero di previdenza sociale ed è stato applicata una dichiarazione di non responsabilità al messaggio. Se il messaggio è crittografato, l'agente delle regole di trasporto nel servizio Trasporto non è in grado di accedere al contenuto del messaggio e di conseguenza non verrà applicata la dichiarazione di non responsabilità. Questo determina una violazione del criterio.
Sicurezza ridotta: il software antivirus non è in grado di analizzare il contenuto crittografato dei messaggi, esponendo ulteriormente un'organizzazione al rischio di contenuti dannosi come virus e worm. I messaggi crittografati sono generalmente considerati attendibili dalla maggior parte degli utenti, aumentando così la probabilità che un virus si diffonda in tutta l'organizzazione. Ad esempio, è stata configurata una regola di protezione di Outlook per applicare automaticamente la protezione IRM a tutti i messaggi inviati alla lista di distribuzione Tutti i dipendenti con il modello RMS (Company Confidential Rights Management Service). La workstation di un utente è infettata da un virus che si propaga automaticamente usando Rispondi a tutti per rispondere ai messaggi. Se il messaggio che porta il virus è crittografato, lo scanner antivirus non può analizzare il messaggio.
Impatto sugli agenti di trasporto personalizzati: molte organizzazioni sviluppano agenti di trasporto personalizzati per scopi diversi, ad esempio soddisfare requisiti di elaborazione aggiuntivi per la conformità, la sicurezza o il routing personalizzato dei messaggi. Gli agenti di trasporto personalizzati sviluppati da un'organizzazione per controllare o modificare i messaggi non sono in grado di elaborare i messaggi crittografati. Se gli agenti di trasporto personalizzati sviluppati dall'organizzazione non sono in grado di accedere al contenuto dei messaggi, è possibile che la crittografia dei messaggi impedisca all'organizzazione di raggiungere gli obiettivi per i quali sono stati sviluppati gli agenti di trasporto.
Utilizzo della decrittografia di trasporto per il contenuto crittografato
In Exchange 2013, le funzionalità IRM risolvono questi problemi. Se i messaggi sono protetti da IRM la decrittografia di trasporto consente di decrittografarli mentre sono in transito. I messaggi protetti da IRM vengono decrittografati dall'agente di decrittografia, un agente di trasporto che ha come principale obiettivo la verifica della conformità.
Nota
In Exchange 2013, l'agente di decrittografia è incorporato. Gli agenti incorporati non sono inclusi nell'elenco degli agenti restituiti dal cmdlet Get-TransportAgent. Per ulteriori informazioni, vedere Agenti di trasporto.
L'agente di decrittografia consente di decrittografare i seguenti tipi di messaggi protetti con IRM:
- Messaggi protetti con IRM dall'utente in Outlook Web App.
- Messaggi protetti con IRM dall'utente in Outlook 2010.
- Messaggi automaticamente protetti con IRM dalle regole di protezione di Outlook in Exchange 2013 e Outlook 2010.
Importante
Solo i messaggi protetti con IRM dal server AD RMS nell'organizzazione vengono decrittografati dall'agente di decrittografia.
I messaggi protetti durante il trasferimento mediante le regole di protezione di trasporto non necessitano di essere decrittografati dall'agente di decrittografia. L'agente di decrittografia si attiva in concomitanza degli eventi di trasporto OnEndOfData e OnSubmit. Le regole di protezione di trasporto vengono applicate dall'agente delle regole di trasporto, che si attiva in concomitanza dell'evento OnRoutedMessage e la protezione con IRM viene applicata dall'agente di crittografia in concomitanza dell'evento OnRoutedMessage. Per ulteriori informazioni sugli agenti di trasporto e per un elenco di eventi SMTP in cui possono essere registrati, vedere Agenti di trasporto.
La decrittografia di trasporto viene eseguita sul primo servizio Trasporto di Exchange 2013 che gestisce un messaggio nella foresta di Active Directory. Se il messaggio viene trasferito su un servizio Trasporto in un'altra foresta di Active Directory, verrà nuovamente decrittografato. Dopo la decrittografia, il contenuto non crittografato sarà disponibile sugli altri agenti di trasporto in quel server. Ad esempio, l'agente delle regole di trasporto su un servizio Trasporto può controllare il contenuto del messaggio e applicare le regole di trasporto. Qualsiasi azione specificata nella regola, ad esempio l'applicazione di una dichiarazione di non responsabilità o la modifica del messaggio, può essere eseguita nel messaggio non crittografato. Gli agenti di trasporto di terze parti, ad esempio gli scanner antivirus, possono eseguire la scansione del messaggio per verificare la presenza di virus o altro malware. Dopo che altri agenti di trasporto hanno controllato il messaggio e apportato delle modifiche, il messaggio verrà nuovamente crittografato con gli stessi diritti utente che aveva prima di essere decrittografato dall'agente di decrittografia. Lo stesso messaggio non viene di nuovo decrittografato da un altro servizio Trasporto su altri server Cassette postali dell'organizzazione.
I messaggi decrittografati dall'agente di decrittografia non lasciano il servizio Trasporto senza essere stati prima nuovamente crittografati. Se viene restituito un errore temporaneo durante la decrittografia o la crittografia del messaggio, il servizio Trasporto tenta di eseguire l'operazione due volte. Al terzo tentativo non riuscito, l'errore viene considerato un errore permanente. Se si verificano errori permanenti, compresi gli errori temporanei considerati errori permanenti, il servizio Trasporto li considera nel modo seguente:
Se si verifica l'errore permanente durante la decrittografia, viene inviato un report di mancato recapito solo se la decrittografia del trasporto è impostata su
Mandatorye il messaggio crittografato viene inviato con il rapporto di mancato recapito. Per altre informazioni sulle opzioni di configurazione disponibili per la decrittografia del trasporto, vedere Configurazione della decrittografia del trasporto più avanti in questo argomento.Se l'errore permanente si verifica durante la nuova crittografia, il rapporto di mancato recapito viene sempre inviato senza il messaggio decrittografato.
Importante
Qualsiasi agente personalizzato o di terze parti installato su un servizio Trasporto ha accesso al messaggio decrittografato. È necessario prendere in considerazione il comportamento di tali agenti di trasporto. Si consiglia di controllarli attentamente prima di distribuirli in un ambiente di produzione.
Dopo che il messaggio è stato decrittografato dall'agente di decrittografia, se un agente di trasporto crea un nuovo messaggio e allega il messaggio originale a quello nuovo, verrà protetto solo il nuovo messaggio. Il messaggio originale, che diventa allegato nel nuovo messaggio, non verrà nuovamente crittografato. L'utente che riceve tale tipo di messaggio può aprire il messaggio allegato, rispondere al messaggio o inoltrarlo, ignorando in tal modo l'applicazione dei diritti.
Configurazione della decrittografia di trasporto
La decrittografia di trasporto viene configurata utilizzando il cmdlet Set-IRMConfiguration in Exchange Management Shell. Tuttavia, prima di configurare la decrittografia di trasporto, è necessario fornire ai server Exchange 2013 il diritto di decrittografare il contenuto protetto dal server AD RMS. È possibile eseguire l'operazione aggiungendo la cassetta postale di recapito federativo al gruppo di utenti con privilegi avanzati configurati nel cluster AD RMS dell'organizzazione.
Importante
Nelle distribuzioni AD RMS tra foreste in cui è distribuito un cluster AD RMS in ogni foresta, è necessario aggiungere la cassetta postale federazione al gruppo di utenti con privilegi avanzati nel cluster AD RMS in ogni foresta per consentire al servizio Trasporto in un server Cassette postali di Exchange 2013 o in un server Trasporto hub di Exchange 2010 di decrittografare i messaggi protetti da ogni cluster AD RMS.
Per i dettagli, vedere Aggiungere la cassetta postale di federazione per il gruppo di utenti con privilegi avanzati di AD RMS.
In Exchange 2013 esistono due impostazioni diverse quando si abilita la decrittografia di trasporto:
Obbligatorio: quando la decrittografia del trasporto è impostata su
Mandatory, l'agente di decrittografia rifiuta il messaggio e restituisce un rapporto di mancato recapito al mittente se viene restituito un errore permanente durante la decrittografia di un messaggio. Se l'organizzazione non desidera che il messaggio (non correttamente decrittografato) venga recapitato e se viene eseguita la scansione antivirus e vengono applicate le regole di trasporto, è necessario scegliere questa impostazione.Facoltativo: quando la decrittografia del trasporto è impostata su Facoltativo, l'agente di decrittografia usa un approccio ottimale. I messaggi che possono essere decrittografati vengono decrittografati, ma vengono recapitati anche i messaggi con un errore permanente durante la decrittografia. Se l'organizzazione assegna la priorità al recapito dei messaggi rispetto ai criteri di messaggistica, è necessario usare questa impostazione.
Per ulteriori informazioni sulla configurazione della decrittografia di trasporto, vedere Abilitare o disabilitare la decrittografia di trasporto.