Office 2013 中的安全概述

 

适用于： Office 2013, Office 365 ProPlus

上一次修改主题： 2016-12-16

摘要： 了解 Office 2013 中的新安全功能：身份验证、标识、Web 应用程序目录和扩展、托管密钥等等。

目标用户： IT 专业人员

Office 2013 包括新的身份验证功能。现在，用户可创建一个配置文件，登录一次，然后便可无缝处理和访问本地和云 Office 文件，而无需再次表明自己的身份。用户可以将多个服务（例如组织的 OneDrive for Business 或用户的个人 OneDrive 帐户）连接到其 Office 配置文件。然后，他们便可即时访问其所有文件和关联存储。所有 Office 应用程序（包括 OneDrive）均要求对用户执行一次身份验证。不管身份提供程序、用于访问 面向专业人士和小型企业的 Office 365 的 Microsoft 帐户或用户 ID，或者应用程序使用的身份验证协议是什么（例如，OAuth、基于表单的身份验证、基于声明的身份验证和 Windows 集成身份验证），都是如此。从用户角度看，所有功能都能正常运行。从 IT 角度看，可轻松管理这些连接的服务。

本文是 Office 2013 安全性指南的一部分。可以使用该指南作为起点来获取可帮助您评估 Office 2013 安全的文章、下载、海报和视频。 您是否要查找有关单独的 Office 2013 应用程序的安全信息？您可以通过在 Office.com 上搜索“2013 安全”来查找此信息。

Authentication and identity in Office 2013

保护从身份验证和标识开始。通过使用此版本，Office 发生了根本性的改变，即，从以计算机为中心的标识和身份验证转变为以用户为中心的标识和身份验证。此转变使得内容、资源、最近使用的列表、设置、社区链接和个性化设置可在用户从桌面移动到平板电脑、Smartphone，或者移动到共享或公共计算机时进行无缝漫游。对于 IT 管理员，用户审核线索和合规性同样通过标识进行分别。

In this new environment, users sign in to Office 365 by using one of the following identities:

• Their Microsoft-managed, 工作或学校帐户 ID   For Office 365 business use, where Microsoft-hosted enterprise and smaller organization user IDs are stored in the cloud. This scenario also supports multiple linked user IDs and single sign-on.

  —或—

  组织拥有的联合用户 ID   对于 Office 365 业务用途，企业用户 ID 存储在本地。

• Microsoft 帐户   通常，用户出于非业务目的使用此标识登录 Office 365。用户可以具有多个关联的 Windows Live ID，登录一次，通过身份验证，然后即可在进行同一会话期间从一个 Microsoft 帐户切换到另一个，而不必重复进行身份验证。

IT 管理员还可以将任何用户设置为使用 Office 365 的多重身份验证。多重身份验证会增加用户除密码之外的安全性。要使用 Office 365 的多重身份验证，用户需要在正确地输入密码后确认在智能手机上收到电话呼叫、短信或应用通知。只有满足了第二重身份验证的条件后，用户才可以登录。有关设置的步骤，请参阅 set up multi-factor authentication for Office 365（设置 Office 365 多重身份验证）。

从 IT 管理员的角度，Active Directory 是此新范例的核心。IT 管理员可执行以下操作：

• 跨设备和服务控制用户密码策略

• 使用组策略配置操作环境

• 使用 Forefront Identity Manager (FIM) 或 Active Directory 联合身份验证服务 (AD FS) 进行管理

云计算使下面的一切皆有可能：

• 可以使用 Web 门户在云中托管用户帐户   设置很简单。您可以手动设置用户以实现最大控制。不需要任何服务器。Microsoft 为您管理所有内容。

• 任何本地目录都是同步到 Web 门户的 Active Directory   设置可以自动进行，并可以与云托管的帐户共存。

• 用户使用 AD FS 提供单一登录功能   设置可以自动进行，并且支持多重身份验证。

如下面的图表所示，您作为 IT 专业人员管理员进行管理。如果是小型企业，您可在 Microsoft Azure 中标识服务以创建、管理用户并对其进行身份验证。用户帐户通过 Microsoft 云中的 Web 门户和 Azure Active Directory 进行云托管。不需要任何服务器。Microsoft 为您管理所有内容。无需通过关联到任何本地 Active Directory 存储即在云中完成对标识和身份验证的处理后，IT 管理员仍可以通过门户或 PowerShell cmdlet 设置或撤销 ID 和用户对服务的访问权限。

在步骤 1 中，IT 专业人员连接到 Web 访问 Microsoft 云中的 Office 365 管理中心。他们申请新组织 ID 或管理现有组织 ID。

在步骤 2 中，这些请求都传递到 Azure AD。

在步骤 3 中，如果是更改请求，则做出更改并反映回 Office 365 管理中心。如果是新的 ID 请求，则新 ID 的请求会发到 ID 设置平台。

在步骤 4 中，新 ID 和现有 ID 的更改都反映回 Office 365 管理中心。

完全在云中托管的 Office 365 标识和身份验证，无需与本地 Active Directory 交互。

在下一个图表中，在 Microsoft 云中的 Office 365 管理中心中设置了用户后，用户可以从任何设备进行登录，并且用户最多可以在 5 个设备上安装 Office 365 ProPlus。

设置了用户后（请参阅上一图表），在步骤 1 中，用户登录到 Office，通过以下标识之一实现：

• Their 工作或学校帐户 (for example, mike@contoso.onmicrosoft.com or mike@contoso.com)

• 用户个人 Microsoft 帐户（例如，mike@outlook.com）

在步骤 2 中，Microsoft 找出希望进行身份验证的位置，以及要根据所选的标识使用的文件和 Office 设置。此标识与 Azure AD 关联，并将用户的电子邮件标识和关联的密码都传递到正确的 Azure AD 服务器以供身份验证。

在步骤 3 中，用户的请求经过测试并授权，Office 应用程序流式传输到设备并可以使用。OneDrive for Business 保存与该标识关联的文档，可用于在本地查看、编辑和保存到设备，或返回到 OneDrive for Business。

使用 Azure 目录同步服务填充的标识设置。这是云托管的身份验证。

下图显示了采用本地和云混合部署的方案。Microsoft 云 Azure AD 同步工具可让本地和云中的企业用户标识保持同步。

在步骤 1 中，安装 Azure AD 同步工具。此工具有助于将 Azure AD 保持为在本地目录中做出的最新更改。

在步骤 2 和 3 中，在本地 Active Directory 中创建新用户。Azure AD 同步工具将定期检查本地 Active Directory 服务器中新创建的所有标识。然后，将这些标识设置到 Azure AD 中，将本地和云标识互相关联，并通过 Office 365 管理中心使其可见。

在步骤 4 和 5 中，对本地 Active Directory 中的标识做出更改后，这些更改同步到 Azure AD，并通过 Office 365 管理中心使其可用。

在步骤 6 和 7 中，如果用户包括联合用户，那么这些用户将使用 AD FS 登录。AD FS 会生成一个安全令牌，并传递到 Azure AD。对令牌进行验证和确认，然后向用户授予访问 Office 365 的权限。

使用 Azure 目录同步服务填充的标识设置；Active Directory Federation Server 2.0 和云托管身份验证。

在用户体验中，当用户登录时则显示标识。

The client user interface   At the start of each session, a user can choose to connect either to their personal cloud by using their Microsoft account, or to their on-premises corporate server, or Microsoft-managed cloud for services such as Office 365 and for their documents, pictures, or other data.

如果用户选择使用其 Microsoft ID 进行连接，则需要使用其 Microsoft 帐户（以前称为 Passport 或 Windows Live ID）进行登录，或选择使用他们用于访问 Office 365 的用户 ID 进行连接。

用户登录后，可以随时从任何 Office 应用程序的 Backstage 自由切换标识。

客户端基础结构   在后台，客户端身份验证 API 允许用户登录和注销，以及切换活动的用户标识。更多 API 可跟踪每个标识的可用漫游设置（首选项和最近使用的文档）和服务。

其他云标识服务   用户将自动登录到这些本机服务：

• OneDrive（针对 Microsoft 帐户登录）或 SharePoint Online（针对企业标识）

• Roaming most recently used files and settings

• 个性化

• Microsoft 帐户活动

用户也可以在使用 Microsoft 帐户登录后，登录到第三方云服务。例如，如果他们登录到 Facebook，连接将使用该标识进行漫游。

使用组策略设置控制桌面配置

有超过 4,000 种组策略控制对象可供您使用，您可以使用组策略操控 Office 的用户设置。这意味着您可以为用户创建一系列从轻度管理到高度限制的桌面配置。您的组策略设置永远优先于 Office 自定义工具 (OCT) 设置。您还可以使用组策略设置禁用在网络上不安全的特定文件格式。有关详细信息，请参阅使用 OCT 或组策略为 Office 2013 配置安全性。

A word about Microsoft data centers

Microsoft 数据中心安全计划是基于风险且多维的计划。它同时考虑了人员、过程和技术。隐私计划可确保数据处理和数据传输遵循一致的全球标准“高门槛”隐私实践。Microsoft 数据中心也具有物理安全性。占地面积超过 700,000 平方英尺的成千上万的服务器都全天候受到保护。如果发生电源故障，备用电源可以持续供电数天。这些数据中心在地理位置上采用冗余技术，并分布在北美、欧洲和亚洲。

Office 365 绝不扫描您的电子邮件或文档以构建分析、挖掘数据、进行广告宣传或改善我们自己的服务。您的数据始终完全属于您自己或您的公司，并且您可以随时从我们的数据中心服务器删除您的数据。

Office 365 符合以下重要的业务关键型行业标准：

• ISO 27001 认证   Office 365 满足或超过 ISO/TEC 27001:2005 严格定义的一组物理、逻辑、过程和管理控制标准。

• 欧盟模式条款   Office 365 能够签署与欧盟模式条款和欧盟安全港协议相关的标准合同条款且符合条款相关规定。

• HIPAA 业务联合协议   Office 365 可以使所有客户满足相关 HIPAA 要求。HIPAA 管理受保护健康信息的使用、公开和保护。

Catalogs and web extensions

Office 2013 包括新的 Office 客户端可扩展模型，可允许 Web 开发人员创建 Office 相关应用程序，这些应用程序是使用 Web 功能扩展 Office 客户端的 Web 扩展。Office 相关应用程序是 Office 应用程序内部的一个区域，包含可以与文档交互以扩展内容并提供新的交互式内容类型和功能的网页。用户可以从新的 Office Marketplace 或私有目录以独立应用程序或文档模板解决方案的子组件，亦或 SharePoint 应用程序的形式获取 Office 相关应用程序。

在信任中心“受信任的应用程序目录”下，您可以控制 Office 相关应用程序，包括以下操作：

• 禁用所有应用程序

• 只禁用来自 Office 商店的应用程序

• 从受信任目录表中添加或删除受信任目录

使用托管密钥和新的 DocRecrypt 工具重置文档密码

Office 2013 提供新的托管密钥功能，以允许组织的 IT 管理员使用私有托管密钥解密受密码保护的文档。例如，如果文档是使用 Word、Excel 或 PowerPoint 加密的，而文档的原始所有人忘记了密码或者离开了组织，那么 IT 管理员可以使用私有托管密钥检索数据。

托管密钥功能仅适用于使用新一代加密技术保存和加密的文件。这是 Office 2010 和 Office 2013 中使用的默认加密。出于兼容性原因，如果更改了默认行为以使用旧格式，那么托管密钥功能将不可用。有关此新功能的详细信息，请参阅删除或重置 Office 2013 中的文件密码。

数字签名

Office 2013 中数字签名的改进包括以下方面：

• 支持开放文档格式 (ODF v1.2) 文件格式

• 改进了 XAdES（XML 高级电子签名）

对 ODF v1.2 文件格式的支持允许用户使用不可见数字签名对 Office 2013 中的 ODF 文档进行数字签名。这些数字签名文档不支持签名行或图章。此外，Office 2013 可对在其他应用程序内部签署（但在 Office 2013 中打开）的 ODF 文档进行数字签名验证。

Office 2013 中的 XAdES 改进包括创建 XAdES 数字签名时改善的用户体验。向用户提供有关签名的更为详细的信息。

信息权限管理 (IRM)

Office 2013 包括新的 IRM 客户端，它具有可帮助简化标识选择的新 UI。它还支持权限管理服务 (RMS) 服务器的自动服务发现。此外，Office 2013 还为 Microsoft Office Web Application Companions (WAC) 提供只读 IRM 支持。WAC 可以查看 SharePoint 库中受 IRM 保护的文档，或附加到 Outlook Web Access (OWA) 邮件中的受 IRM 保护的文档。

受保护的视图

当 Office 2013 与作为操作系统的 Windows 2012 结合使用时，Office 2013 可提供改进的受保护视图，即“沙盒”技术。Office 2013 使用 Windows 2012 AppContainer 功能进一步隔离进程，同时阻止来自沙盒的网络访问。受保护的视图是在 Office 2010 中引入的，该功能通过在受限制的环境（称为 lowbox）中打开文件，以便在 Excel、PowerPoint 或 Word 中打开文件进行编辑之前对其进行检查，来帮助减少对计算机的攻击。

Office 2013 的设计始终以安全性为第一原则

在 Microsoft，软件生命周期的每个阶段都考虑了安全性。致力于 Office 功能或产品开发的所有员工都需要参加安全培训，并通过不断学习随时了解行业发展趋势和威胁的演变趋势。在设计功能或产品时，团队需要从一开始就考虑用户数据安全和隐私，以及如何使用加密、身份验证或其他方法来降低对这些内容的威胁。他们的决定取决于环境、预期或潜在的公开行为以及数据的敏感性。团队在发布 Office 产品之前，首先需要执行多攻击面审核并创建事件响应计划。

Microsoft 不仅仅依赖员工确保用户数据的安全性。它还使用工具和自动化质量保证测试。这些内容分为三大类：

• 功能测试  该测试验证每一块用户界面以确保用户输入、输出和操作都能按预期执行。

• 模糊测试  该测试将大量随机或非预期的数据注入到软件中以发现安全性问题。模糊测试是 Office 2007 发布的重要部分，此新发布的版本也不例外。

• 对于 Web 应用程序  动态或 Web 扫描工具用于测试潜在的安全性问题，例如跨网站脚本 (XSS) 或 SQL 注入。

该测试从不停止。Microsoft 安全响应中心 (MSRC) 负责处理产品发布后发现的安全性问题。此团队可以快速动员并将修补程序快速提供给客户。

快速回顾过去几个 Office 发行版本在安全性方面的改进

Office XP、Office 2003、Office 2007 和 Office 2010 中引入的安全性控件减少了攻击，改善了用户体验、巩固并减少了受攻击面，使得 IT 管理员能够更轻松地构建抵御威胁的可靠防御体系，同时保持用户的工作效率。下面是实现此目的的方法：

以下功能的引入已缓解了对 Office 的攻击：

• 受保护的视图

• 文档流保护

• 修补程序管理

• 加密灵活性

以下功能改善了用户体验：

• 信任中心和消息栏、受信任的位置、受信任的发布者和可靠的信任决定

• 可操作安全提示

• “用密码进行加密”功能的改进

• 文档检查器

• XML 文件格式支持

Office 通过以下功能巩固了受攻击面：

• 数据执行保护 (DEP) 支持

• 组策略实施

• 数字签名的受信任时间戳支持

• 基于域的密码复杂性检查和实施

• 加密增强改进

• CryptoAPI 支持

Office 通过以下功能减少了攻击面：

• Office 文件验证

• 扩展的文件阻止设置

• ActiveX 控件安全

• ActiveX“删除位”

• 加密文件的完整性检查

• 宏安全级别

有关文件模糊测试的详细信息

文件模糊测试用于识别以前不为人所知的各种文件格式的漏洞。Office 团队已对数百万文件进行了千万次模糊测试，并发现和修复了数以百计的漏洞。

更加关注数据执行保护

此硬件和软件技术内置在 Windows 中并扩展到自 Office 2010 起的所有 Office 应用程序，它旨在识别尝试在保留内存中运行代码的文件。此保护在 64 位版本中始终处于打开状态，在 32 位版本中可以使用组策略设置进行配置。如果检测到不良代码，将自动关闭受影响的应用程序。

More on protected view

Office 2010 中引入的受保护的视图允许安全查看可疑文件。现在，使用限制从网络访问的 Windows 2012 AppContainer 可进一步改善进程隔离功能。

另请参阅

Office 2013 安全性指南
Office 2013 中的标识、身份验证和授权概述
比较 Office 365 和 Office 2013 SKU 中的安全功能
规划 Office 2013 中的信息权限管理
规划 Office 2013 的数字签名设置