Noções Básicas Sobre Descriptografia de Transporte

Aplica-se a: Exchange Server 2010

Tópico modificado em: 2010-01-13

No Microsoft Exchange Server 2010, no Microsoft Outlook 2010 e no Microsoft Office Outlook Web App, os usuários podem usar IRM (Gerenciamento de Direitos de Informação) para proteger suas mensagens. Você pode criar regras de proteção do Outlook para aplicar a proteção por IRM às mensagens antes que elas sejam enviadas de um cliente do Outlook 2010. Você também pode criar regras de proteção de transporte para aplicar a proteção por IRM às mensagens em trânsito que correspondam às condições da regra. A descriptografia de transporte permite o acesso ao conteúdo de mensagens protegidas por IRM para aplicar as diretivas de mensagens.

Procurando tarefas de gerenciamento relacionadas ao gerenciamento de IRM? Consulte Gerenciando Proteção de Direitos.

Limitações de outras soluções de criptografia

Se for imprescindível para a sua organização proteger informações confidenciais, incluindo informações de alto impacto nos negócios e informações de identificação pessoal, considere a criptografia de mensagens de email e anexos. Soluções de criptografia de email como S/MIME já estão disponíveis há muito tempo. Essas soluções de criptografia já foram adotadas em vários níveis em organizações de tipos diferentes. No entanto, essas soluções apresentam os seguintes desafios:

• Incapacidade de aplicação de diretivas de mensagens As organizações também têm que lidar com requisitos de conformidade que exigem a inspeção do conteúdo das mensagens para garantir que estejam de acordo com as diretivas de mensagens. No entanto, mensagens criptografadas com a maioria das soluções de criptografia baseadas no cliente, incluindo S/MIME, impedem a inspeção do conteúdo no servidor. Sem a inspeção de conteúdo, a organização não pode confirmar se todas as mensagens enviadas ou recebidas por seus usuários estão em conformidade com as diretivas de mensagens. Para estar em conformidade com uma regulamentação legal, por exemplo, você configurou uma regra de transporte que detecta informações de identificação pessoal, como o número de um CPF, e aplica automaticamente um aviso de isenção à mensagem. Se a mensagem for criptografada, o agente das Regras de Transporte no servidor de Transporte de Hub não poderá acessar o conteúdo da mensagem, e não aplicará o aviso de isenção. Isso resulta em uma violação da diretiva.
• Menos segurança O software antivírus não consegue verificar o conteúdo de mensagens criptografadas, expondo ainda mais a organização ao risco de conteúdo mal-intencionado, como vírus e worms. As mensagens criptografadas costumam ser consideradas confiáveis pela maioria dos usuários, o que aumenta ainda mais a probabilidade de que um vírus se espalhe pela organização. Por exemplo, você configurou uma regra de proteção do Outlook para aplicar automaticamente proteção por IRM a todas as mensagens enviadas para a lista de distribuição Todos os Funcionários com o modelo do RMS (serviço de gerenciamento de direitos) Confidencial da Empresa. A estação de trabalho de um usuário está infectada com um vírus que se propaga automaticamente usando Responder a Todos para responder às mensagens. Se a mensagem que leva o vírus estiver criptografada, o verificador de vírus não poderá verificar a mensagem.
• Impacto em agentes de transporte personalizados Muitas organizações desenvolvem agentes de transporte personalizados para diferentes propósitos, como para atender a requisitos de processamento adicional para conformidade, segurança ou roteamento de mensagens personalizado. Os agentes de transporte personalizados desenvolvidos por uma organização para inspecionar ou modificar mensagens não são capazes de processar mensagens criptografadas. Se os agentes de transporte personalizados desenvolvidos por sua organização não puderem acessar o conteúdo das mensagens, a criptografia das mensagens pode impedir sua organização de cumprir os objetivos para os quais os agentes de transporte foram criados.

Usando a descriptografia de transporte para conteúdo criptografado

No Exchange 2010, há recursos do IRM que lidam com esses desafios. Se as mensagens forem protegidas por IRM, a descriptografia de transporte permitirá a você descriptografá-las em trânsito. As mensagens protegidas por IRM são descriptografadas pelo agente de descriptografia, um agente de transporte focado na conformidade.

Dica

No Exchange 2010, o agente de descriptografia é um agente integrado. Agentes integrados não estão incluídos na lista de agentes retornados pelo cmdlet Get-TransportAgent. Para obter mais detalhes, consulte Noções Básicas Sobre Agentes de Transporte.

O agente de descriptografia descriptografa os seguintes tipos de mensagens protegidas por IRM:

1. Mensagens protegidas por IRM pelo usuário no Outlook Web App.
2. Mensagens protegidas por IRM pelo usuário no Outlook 2010.
3. Mensagens protegidas por IRM automaticamente pelas regras de proteção do Outlook no Outlook 2010.

Importante

Apenas as mensagens protegidas pelo servidor AD RMS em sua organização são descriptografadas pelo agente de descriptografia.

Dica

As mensagens protegidas em trânsito usando regras de proteção de transporte não precisam ser descriptografadas pelo agente de descriptografia. O agente de descriptografia é acionado nos eventos de transporte OnEndOfData e OnSubmit. As regras de proteção de transporte são aplicadas pelo agente de Regras de Transporte, que aciona o evento OnRoutedMessage, e a proteção por IRM é aplicada pelo agente de criptografia no evento OnRoutedMessage. Para obter mais informações sobre agentes de transporte e uma lista de eventos SMTP nos quais eles podem ser registrados, consulte Noções Básicas Sobre Agentes de Transporte.

A descriptografia de transporte é realizada no primeiro servidor de Transporte de Hub do Exchange 2010 que lida com uma mensagem em uma floresta do Active Directory. Se uma mensagem for transferida a um servidor de Transporte de Hub em outra floresta do Active Directory, a mensagem será descriptografada novamente. Após a descriptografia, o conteúdo descriptografado estará disponível a outros agentes de transporte no servidor. Por exemplo, o agente de Regras de Transporte em um servidor de Transporte de Hub pode inspecionar o conteúdo da mensagem e aplicar regras de transporte. Quaisquer ações especificadas na regra, como a aplicação de um aviso de isenção ou qualquer outro tipo de modificação da mensagem, pode ser realizada na mensagem sem criptografia. Os agentes de transporte de terceiros, como verificadores de vírus, podem verificar a mensagem em busca de vírus e malware. Depois que outros agentes de transporte tiverem inspecionado a mensagem e possivelmente realizado modificações, ela é criptografada novamente com os mesmos direitos de usuário que tinha antes de ser descriptografada pelo agente de descriptografia. A mesma mensagem não torna a ser descriptografada por outros servidores de Transporte de Hub na organização.

As mensagens descriptografadas pelo agente de descriptografia não deixam o servidor de Transporte de Hub sem serem criptografadas novamente. Se um erro transitório for retornado durante a descriptografia ou a criptografia de uma mensagem, o servidor de Transporte de Hub tenta a operação novamente duas vezes. Após a terceira falha, o erro é tratado como um erro permanente. Se ocorrer um erro permanente, incluindo as situações em que erros transitórios são tratados como erros permanentes após as novas tentativas, o servidor de Transporte de Hub os tratará assim:

• Se o erro permanente ocorrer durante a descriptografia, uma notificação de falha na entrega será enviada apenas se a descriptografia de transporte for definida como Mandatory e a mensagem criptografada for enviada com a notificação. Para obter mais detalhes sobre as opções de configuração disponíveis para a descriptografia de transporte, consulte Configurando a descriptografia de transporte.
• Se o erro permanente ocorrer durante a nova criptografia, uma notificação de falha na entrega sempre será enviada sem a mensagem descriptografada.

Importante

Quaisquer agentes personalizados ou de terceiros que estejam instalados em um servidor de Transporte de Hub têm acesso à mensagem descriptografada. Você deve considerar o comportamento de tais agentes de transporte. Recomendamos a você testar intensamente os agentes de transporte de terceiros antes de implantá-los em um ambiente de produção.
Depois que uma mensagem é descriptografada pelo agente de descriptografia, se um agente de transporte realizar uma ação que crie uma nova mensagem e integre (anexe) a mensagem original, apenas a mensagem nova será protegida. A mensagem original, que agora existe como um anexo à mensagem nova, não torna a ser criptografada. Um destinatário que receba uma mensagem dessas pode abrir a mensagem anexada e realizar ações como encaminhar ou responder, ignorando a aplicação dos direitos.

Configurando a descriptografia de transporte

A descriptografia de transporte é configurada usando o cmdlet Set-IRMConfiguration no Shell de Gerenciamento do Exchange. Porém, antes de configurar a descriptografia de transporte, você deve fornecer aos servidores do Exchange 2010 o direito de descriptografar conteúdo protegido por seu servidor AD RMS. Para isso, adicione a caixa de correio de Entrega Federada ao grupo de super usuários configurado no cluster AD RMS em sua organização. 

Importante

Em implantações do AD RMS entre florestas nas quais você tem um cluster AD RMS implementado em cada floresta, você deve adicionar a caixa de correio de Entrega Federada ao grupo de super usuários no cluster AD RMS em cada floresta para permitir que um servidor de Transporte de Hub do Exchange 2010 descriptografe as mensagens protegidas contra cada cluster AD RMS.

Para detalhes, consulte Adicionar uma caixa de correio de entrega federada ao grupo de usuários AD RMS Super.

O Exchange 2010 permite duas configurações diferentes ao habilitar a descriptografia de transporte:

• Obrigatória   Quando a descriptografia de transporte está configurada como Mandatory, o agente de descriptografia rejeita a mensagem e retorna uma notificação de falha na entrega ao remetente se um erro permanente for retornado ao descriptografar uma mensagem. Se sua organização não quiser que uma mensagem seja entregue caso não possa ser descriptografada com êxito e ações como a verificação por vírus e regras de transporte sejam aplicadas, escolha esta configuração.
• Opcional   Quando a descriptografia de transporte está configurada como Opcional, o agente de descriptografia usa a abordagem do melhor esforço. As mensagens que podem ser descriptografadas são descriptografadas, mas as com erro permanente de descriptografia também são entregues. Se sua organização dá mais prioridade à entrega das mensagens do que às diretivas de mensagens, use esta configuração.

Para obter mais informações sobre a configuração da descriptografia de transporte, consulte Habilitar ou desabilitar a descriptografia de transporte.