none
Exchange Server 2007 모바일 Direct Push 보안 관련 사항 문의 RRS feed

  • 질문

  • 안녕하세요?

    현재 Exchange Sever 2007 을 사용하여 모바일 Divice에 메일서비스 제공을 검토 중 입니다.
    그러던 모바일 Direct Push와 관련하여 보안 이슈사항에 대한 참고자료를 보고
    아래와 같은 궁금증이 생겨 이렇게 문의드립니다.

     

    감사합니다.

     

                                              - 아 래

     

    1. 파일 암호화 미지원

    MS가 제공하고 있는 모바일 Direct Push 기술과 관련하여 일부 파일 포맷의 경우
       모바일 디바이스에 저장될 시 파일이 암호화되지 않은 상태로 저장되어 질 수 있다.
     

    질문1) 최신버전에서 이와 같은 문제점들이 해결되었습니까?

    질문2) 암호화가 지원되는 파일포맷과 그렇지 않은 파일 포맷을 알고싶습니다.

     

    - 참고자료

      . [참고자료1] microsoft_direct_push_insecurity.pdf , October 25, 2006

            ...  the current version of ActiveSync (and AirSync) can only do a file synch of specially formatted datasets that meet certain Microsoft data 
                     specifications
    . That means that any transfer of data, from Exchange Server to Pocket Outlook, for example, must be done in an unencrypted file-state as file
                    encryption would not allow ActiveSync to perform properly. This further means that Direct Push, which utilizes AirSync as its synching method, must
                    transfer unencrypted data files between server and device
    (although the transmission itself is secured using SSL encryption). This is contrary to how t
                   he major wireless email third party applications currently perform, where all data transferred to the device is in an encrypted file format in addition to
                   encrypting the transmissions. In the Direct Push scenario, although the transmission of data files across a network is secure, the storage of data files on the
                   device is not ...


          
    .  [
    참고자료2] 1_Push_Email_for_the_Smaller_Business_A_Comparison_Whitepaper_Final.pdf, August 2008, Appendix 1


             ... Windows Mobile powered devices do not support full file encryption of on-board data
    unless supplemented with third party add-in

                   software, leaving sensitive information exposed to possible hackers or bad user practice. ...

     

     

    2. 보안수준

     

          RIM의 과 Motorola Good과 비교해서 보안 수준이 다소 떨어진다???

     

         질문3) RIM의 과 Motorola Good과 같은 보안수준을 유지하기 위해서 MSCMDM 설치를 해야합니까?

         질문4) 모바일 디바이스 보안정책에 대한 타사제품과 비교한 자료들이 있습니까?

     
       - 참고자료

    [참고자료3]   magic_quadrant_for_enterpris_157091.pdf / Magic Quadrant for Enterprise Wireless E-Mail Software Market” – Gartner (29 May 2008)

     

                - ... Extensions to Exchange Server 2007 and the addition of System Center Mobile Device Manager bring the level of available security policies closer

                     to RIM and Motorola Good
    solutions. ...

     

     

     

     

    .끝

    2009년 5월 11일 월요일 오전 1:28

모든 응답

  • Exchange 서버에서 ActiveSync를 통한 데이터전송은 HTTPS로 채널을 암호화하여 전달합니다.
    물론 HTTP로 사용하기도 하지요..

    하지만 메시지자체는 암호화하지 않습니다. 때문에 스마트폰분실시 이러한 데이터가 노출되는것에 대한 두려움이 있으실 겁니다.
    일반적으로 Outlook도 그렇지 않나요? 전송채널은 HTTPS또는 TLS등으로 암호화하여 네트워크패킷 캡쳐등으로부터는 보호하지만 만약 노트북을 분실한다면요?
    동일할것으로 생각됩니다

    때문에 서버에서는 아래와 같은 명령쉘로 사용자의 Identity를 확인한 다음 Clear 명령어로 ActiveSync 데이터를 지울수 있습니다.

    Get-ActiveSyncDeviceStatistics - Mailbox jeffhays | fl Identity
    Clear-ActiveSyncDevice -Identity WM_jeffhayes

    이는 물론 개인 OWA의 옵션에 들어가셔도 Wipe 하는것이 가능합니다.
    2009년 5월 12일 화요일 오전 2:51