RMS 安全性常见问题
- 什么是超级用户帐户？
- RMS 是安全解决方案吗？
- 在收件人的用户许可证过期后，可以使用什么机制防止收件人向后拨动其客户端计算机上的时钟，延长对受权限保护的文档的访问？
- Domain Admins 组成员是否能够读取用于该域中其他人的文档？
- 我知道每个密码箱都可以验证系统中生成的每个证书或许可证，就像这些证书或许可证来自向 Microsoft 注册的服务一样。这种保护面临什么威胁？
- 如果有人使用蛮力攻击打开了一个文档，他们是否可以使用该密钥打开其他文档？
- 由于对加密技术的出口限制，是否会在部署密钥的企业外部暴露部分密钥？
- 如何防止恶意攻击者远程启用取消配置功能？
- 用户是否可以对受权限保护的内容执行屏幕捕获？
- 备份与 RMS 相关的文件的管理员是否有权访问受权限保护的内容？
- Windows 使用的交换文件是否一直包含未加密的内容，并且很可能使内容保持“打开”状态？
- 是否可以限制能够访问 RMS 的不同管理功能的管理员？
- 在用户硬盘或共享文件夹中创建了单独的文档之后，RMS 能马上保护这些文档吗？
- 打开一个文件时，是否加密自动保存文件和临时文件？
- 我接收到一个受权限保护的电子邮件，该邮件中似乎带有附件。我能保存该附件，即使可能无法保存电子邮件 - RMS 被破解了吗？
什么是超级用户帐户？
RMS 支持一个特殊的超级用户组，该组对所有受权限保护的内容拥有完全控制权。在由配置了超级用户组的 RMS 群集颁发给超级用户组成员的所有用户许可证中，超级用户组的成员被授予全部所有者权限。这意味着，该组的成员可以对任何受保护的文件进行解密，并可解除对它们的保护。例如，该组的成员可以解除对已离职员工发布的文件的保护，以便新的所有者可以发布和管理这些文件。
RMS 是安全解决方案吗？
不，RMS 不是安全解决方案。与启用了 RMS 的应用程序（如 Office 2007）一起使用时，可以将 RMS 视为“策略强制实施解决方案”。如果用户未被授予查看数据的权限，则该用户可以使用蛮力攻击尝试破解加密。尽管加密非常可靠，但像所有软件加密方案一样，它是可以破解的。但是，如果用户有权查看数据，则该用户可以手动复制它或对其拍摄数字图片，并向未经授权的用户提供信息。
在收件人的用户许可证过期后，可以使用什么机制防止收件人向后拨动其客户端计算机上的时钟，延长对受权限保护的文档的访问？
RMS 将检测是否向后或向前拨动了客户端系统上的时钟，并阻止用户使用内容。此外，RMS 还将检测 RMS 服务器与客户端之间是否存在可测量的时差。
Domain Admins 组成员是否能够读取用于该域中其他人的文档？
如果 Domain Admins 的组成员是 RMS 超级用户组的成员，或者 Domain Admins 组的成员模拟某个用户帐户，则他们可以读取对该用户帐户保护的内容。因为 Domain Admins 组的成员可以对域中的用户帐户进行控制，所以无法缓解 Domain Admins 组中有不可信成员这一情形。
最佳方案是，当 Domain Admins 组的成员需要访问受权限保护的内容，仅将他们添加到超级用户组中。如果向超级用户组的成员授予许可证，则 RMS 服务器的应用程序事件日志中将记录事件 ID 49。事件 ID 49 描述“已为超级用户组中的一个用户授予了许可证。该用户有以下电子邮件地址：<用户别名>”，其中用户别名将替换为该用户的电子邮件帐户。
对于用于限制对资源的访问的其他组，您应该定义警报并执行安全检查，以帮助防止某人未经授权加入超级用户组。
我知道每个密码箱都可以验证系统中生成的每个证书或许可证，就像这些证书或许可证来自向 Microsoft 注册的服务一样。这种保护面临什么威胁？
如果不能验证证书的完整性，则用户可能骗取颁发给其他用户的权限帐户证书 (RAC)，并获取内容的用户许可证，或者创建一个可解除文档保护的应用程序。
如果有人使用蛮力攻击打开了一个文档，他们是否可以使用该密钥打开其他文档？
每一部分受权限保护的内容都是使用随机生成的不同对称密钥加密的。因此，每个文档的密钥都是唯一的，不能用于解密其他文档。
由于对加密技术的出口限制，是否会在部署密钥的企业外部暴露部分密钥？
登录到 Microsoft 根的应用程序受 Microsoft 密钥签署根的限制，但在此之前，Microsoft 或客户部署不会披露其他密钥。
如何防止恶意攻击者远程启用取消配置功能？
攻击者需要对 RMS 群集具有管理权限的用户帐户的凭据。默认情况下，RMS 管理界面仅在 RMS 服务器上本地可用。确保这种情况保持不变、远程桌面协议 (RDP) 被禁用以及服务器在物理上安全无虞，这样可帮助缓解风险。
用户是否可以对受权限保护的内容执行屏幕捕获？
如果 RMS 权限被设置为不允许使用复制功能，则 RMS 将会禁用 Windows Alt+PrtSc。但是，在具有不受管理的台式机的环境中，用户可以使用非 Microsoft 产品捕获内容。
备份与 RMS 相关的文件的管理员是否有权访问受权限保护的内容？
否，他们可以执行备份，但无权访问。
Windows 使用的交换文件是否一直包含未加密的内容，并且很可能使内容保持“打开”状态？
一旦 RMS 客户端将加密的内容发送回应用程序，该内容就会出现在交换文件中。Rights Management Services (RMS) 软件开发工具包 (SDK) 中的部分 RMS 应用程序开发建议包括防止出现这种情况的步骤，但由启用了 RMS 的应用程序来执行这些步骤。
是否可以限制能够访问 RMS 的不同管理功能的管理员？
是，您可以在 Active Directory 中创建不同的 RMS 管理员组、添加用户，然后为管理页面创建合适的访问控制列表 (ACL)。例如，RMS 管理网页 ACL 的默认配置指定仅设置了服务器的用户可以访问“安全设置”页面。
在用户硬盘或共享文件夹中创建了单独的文档之后，RMS 能马上保护这些文档吗？
尽管 RMS 可用来保护存储在用户的本地计算机上的文档，但最好选择加密文件系统 (EFS)。EFS 透明地保护文档，而 RMS 需要手动干预（单击鼠标数次）才能保护文档。
打开一个文件时，是否加密自动保存文件和临时文件？
是，所有临时文件都将被加密。
我接收到一个受权限保护的电子邮件，该邮件中似乎带有附件。我能保存该附件，即使可能无法保存电子邮件 - RMS 被破解了吗？
否。这是预期行为。在 RMS 客户端解密附件之前，您看到的附件是加密的消息。它仍受权限保护，一旦解密后就不能保存了。