Современные мобильные пользователи не всегда имеют возможность запустить традиционного клиента Microsoft Outlook, поэтому разработка интеллектуального клиента на базе браузера стала первоочередной задачей Microsoft. В составе Exchange Server 2003 появилась обновленная версия программы Outlook Web Access (OWA). В новейшей версии клиента OWA используется та же архитектура, что и в прежних версиях программы, но ее функциональность значительно расширена и устранены многие недостатки, вызывавшие нарекания пользователей. Как правило, безопасность — главная проблема при предоставлении Web-доступа к корпоративным системам Exchange. При таком методе доступа у администратора почти не остается возможностей для контроля работы устройств и выполнения мер безопасности, предусмотренных пользователями, поэтому создание более защищенного клиента было одной из основных целей разработчиков OWA. Кроме того, повышенное внимание уделялось быстродействию, набору функций и совместимости с Outlook 2003. Благодаря совместимости Exchange 2003 OWA с Outlook 2003 влияние физической среды пользователя на способ работы с электронной почтой будет минимальным. В данной статье рассматриваются некоторые базовые изменения пользовательского интерфейса и новые функции безопасности и борьбы со спамом в OWA.

Пользовательский интерфейс

Как и прежние версии программы, Exchange 2003 OWA располагает двумя различными пользовательскими интерфейсами: расширенного (premium) клиента и базового клиента (в прошлом известных как rich- и reach-клиенты соответственно). Как видно из названия, расширенный клиент наделен более развитыми функциями, для которых необходим браузер Microsoft Internet Explorer (IE) 5.01 или более поздней версии. С остальными браузерами, в том числе IE 4.0, Netscape Navigator и IE 5.01 для систем Sun Microsystems Solaris или HP-UX, должен использоваться базовый клиент, так как в этих браузерах нет таких функций, как Dynamic HTML (DHTML), реализованных в расширенном клиенте. По той же причине некоторые функции, такие как проверка правописания и темы, доступны только в расширенном клиенте. Для ряда функций, например Secure MIME (S/MIME) и сжатия, необходим IE 6.0.

Пользовательский интерфейс расширенного клиента приведен на экране 1. Очевидны сходства с пользовательским интерфейсом бета-версии Microsoft Outlook 2003, показанным на экране 2. В расширенном режиме реализованы панель чтения, двустрочный просмотр, флажки для перехода к ответным сообщениям одним щелчком мыши и новая навигационная линейка, на которой одновременно отображаются иерархия папок и ярлыки. Базовый интерфейс похож на расширенный, но в нем меньше деталей и функций. OWA совместим со множеством языков, в том числе с такими, в которых символы вводятся справа налево, как в иврите. Список языков, поддерживаемых OWA, приведен в статье Microsoft «XGEN: Languages That Are Supported by Exchange 2000 Server, Windows 2000 Server, and Outlook Web Access» (http://support.microsoft.com/?kbid=325001).

Администраторы Exchange 2003 могут ограничить пользователей OWA лишь базовым клиентом или предоставить им возможность выбора клиента. Обязательное использование базового клиента позволяет унифицировать программное обеспечение и может быть полезно в тех случаях, когда расширенная версия не нужна (например, в командировках, если приходится работать через медленное соединение). Кроме того, базовый клиент необходим при доступе к почтовым ящикам через брандмауэр, блокирующий команды WWW Distributed Authoring and Versioning (WebDAV). В расширенном клиенте активно применяются команды WebDAV, но в базовом они не используются.

Чтобы заставить всех пользователей работать с базовым клиентом, можно дополнить реестр сервера Exchange разделом HKEY_LOCAL_ MACHINESYSTEMCurrentControlSet ServicesMSExchangeWEBOWA. Для активизации функции параметру ForceClientsDownLevel присваивается значение 1 (тип REG_DWORD), для отключения — 0. В конфигурации внешний/внутренний серверы этот раздел следует создать на внутреннем сервере, который генерирует код HTML и передает его на внешний сервер. Затем внешний сервер пересылает код HTML-клиенту.

Создание и изменение правил на сервере

В течение длительного времени пользователи Outlook могли назначать правила с помощью Inbox Assistant, а затем мастера Rules Wizard. Критерий правила определяет его принадлежность к серверной или клиентской стороне. Клиентские правила в основном требуют определенных сведений о пользователе и поэтому вступают в действие лишь при регистрации клиента почтового ящика. Примером может служить правило, которое выполняет приложение после получения сообщения с определенными атрибутами, или ситуации, когда пользователь должен быть аутентифицирован при доступе к почтовому ящику, чтобы выполнить какое-либо действие, скажем переместить документ в общедоступную папку. Серверные правила могут применяться без взаимодействия с пользователем, поэтому не требуют присутствия клиента. В качестве примера можно привести правило, в соответствии с которым новое сообщение перемещается в другую папку в почтовом ящике пользователя.

Расширенный клиент OWA позволяет задавать серверные правила, хотя критерии для определения таких правил по сравнению с мастером Outlook Rules Wizard ограниченны. Можно определить правило на основе отправителя, получателя, темы и важности; возможные действия — переместить, копировать, удалить или передать.

Необходимо помнить о ряде несоответствий между правилами, задаваемыми в Outlook и OWA. Эти несоответствия зависят от версии Outlook, поэтому нужно обратиться к OWA Help (также переработанной в Exchange 2003) и разобраться в проблеме. Любые правила, которые OWA не может интерпретировать или выполнить, отображаются серым шрифтом, и администратор легко обнаруживает несоответствия.

Блокирование вложенных файлов

Файлы, присоединенные к почтовым сообщениям, представляют серьезную угрозу безопасности. Получатели часто не знают, что содержится во вложенном файле, и могут неосторожно выполнить опасную программу. Методы обработки присоединенных файлов в OWA очень похожи на функции Outlook; решена также проблема файлов, сохраненных в общедоступных точках доступа.

OWA и Outlook классифицируют устройства по расширениям и типу MIME. Принадлежность к Level 2 означает, что вложенный файл может быть опасным. Доступ к файлу возможен, но перед тем, как открыть его, нужно отделить файл от сообщения и сохранить на диске. Вложенные файлы Level 1 считаются небезопасными. Они блокируются, и пользователи не могут обратиться к ним. Все другие вложения считаются безопасными, и их можно запускать непосредственно из сообщения.

В OWA пакета обновлений Exchange 2000 Server Service Pack 2 (SP2) появились функции для работы с вложенными файлами Level 2, а Exchange 2003 OWA дополнен функциями для присоединенных файлов Level 1. Кроме того, администраторы могут настроить OWA на полное блокирование вложений любого уровня на конкретных серверах. Данная функция особенно полезна в ситуациях, когда пользователи обращаются к электронной почте с удаленного компьютера или общедоступной точки и нужно позаботиться, чтобы они не могли оставить вложения открытыми для всеобщего просмотра.

Администраторы Outlook знакомы с параметром реестра Level1Remove. Как видно из названия, данный параметр удаляет расширение присоединенного файла уровня Level 1 и передает обработку вложения на уровень Level 2. Это параметр реестра на клиентской стороне, и соответствующая функциональность OWA отсутствует. OWA не использует клиентских параметров, так как сервер генерирует HTML-интерфейс перед передачей его клиенту.

Web-маяки

Web-маяк (Web beacon) обычно представляет собой графическую или встроенную URL-ссылку в теле почтового сообщения HTML; URL указывает на внешний узел, например Web-сервер. Если получатель открывает почтовое сообщение, то почтовый клиент обрабатывает ссылку и автоматически соединяется с внешним узлом. По автоматическому маяку отправители спама могут определить, что почтовый адрес существует, и обрушить на пользователя лавину непрошеных сообщений. Злоумышленники могут использовать Web-маяки, чтобы автоматически направить получателей сообщений к потенциально опасным программам на Web-узле отправителя. Как и Outlook 2003, Exchange 2003 OWA можно настроить таким образом, чтобы запретить клиенту автоматический доступ к внешнему контенту во время чтения сообщений. Пользователи настраивают этот параметр со страницы OWA Options; однако, читая сообщение, пользователь может разблокировать внешний контент. Администраторы могут ввести принудительную блокировку внешнего контента, в результате чего пользовательский интерфейс удаляется со страницы Options, и пользователи не могут снять блокировку во время чтения. В OWA используется иной, нежели в Outlook 2003, критерий определения внешнего контента. OWA рассматривает как внешнюю любую информацию вне почтового сообщения, а в Outlook 2003 разрешены ссылки внутри Intranet Zone.

Чтобы блокировать контент, следует перейти в раздел реестра HKEY_LOCAL_MACHINESYSTEM CurrentControlSetServices MSExchangeWEBOWA и присвоить параметру FilterWebBeacons (типа REG_DWORD) значение 0 — режим фильтрации выбирает пользователь со страницы Options, 1 — принудительная фильтрация с удалением пользовательского интерфейса или 2 — отмена фильтрации и удаления пользовательского интерфейса.

Администратор может выбрать и режим отображения блокированного контента при чтении сообщения. Для этого нужно перейти в тот же раздел реестра и присвоить параметру WebBeaconFilterMode значение (тип REG_DWORD) 0, чтобы отображать фильтруемые изображения как неверные ссылки, или 1, чтобы отображать фильтруемые изображения как обычные .gif-файлы (данный режим выбирается по умолчанию).

Борьба с почтовым мусором

Пользователи Outlook всегда могли составлять правила для идентификации ненужных почтовых сообщений. В прежних версиях Outlook критерии для этих правил были основаны на списках отправителей спама, составляемых пользователем. Эти правила серверные, поэтому сервер Exchange идентифицирует и фильтрует сообщения по имени отправителя. Пользователи Outlook 2003 могут составить серверные правила, в соответствии с которыми клиент анализирует содержимое сообщения и назначает ему рейтинг «мусора». Данная функция может пригодиться в тех случаях, когда отправитель или получатель спама отсутствует в списках, составленных пользователями. Пользователь может задать режим, в котором такой рейтинг применяется для выбора метода обработки ненужного сообщения (например, удалить или переместить в папку со спамом). Нужно иметь в виду, что это клиентское правило для проверки контента сообщений действует только при работе Outlook 2003 с автономным хранилищем (например, в режиме кэширования). Нагрузка на сеть будет слишком велика, чтобы извлечь тела всех сообщений для анализа в оперативном режиме.

Кроме того, пользователи могут составлять и управлять списками рассыльщиков спама, проверенных отправителей и благонадежных получателей почты. Последние позволяют всегда доверять сообщениям, направляемым в определенные списки рассылки. Пользователи могут экспортировать и импортировать эти списки, обмениваясь известными адресами спамеров.

В целях соответствия Outlook в OWA можно управлять списками отправителей и получателей спама и вносить отправителей в список непосредственно из почтового сообщения. Благодаря данной функции серверные правила Exchange можно использовать для фильтрации входящей почты по отправителям и получателям. В отличие от Outlook 2003, OWA не может вызвать клиентских правил и поэтому не в состоянии анализировать содержимое сообщений.

Поддержка S/MIME

Если вопросам безопасности придается большое значение, то желательно, чтобы пользователи снабжали сообщения OWA цифровыми подписями и шифровали их. Для подписывания и шифрования в OWA используется авторизованный элемент управления ActiveX, который пользователи могут загрузить из страницы Options. После того как пользователи загружают элемент управления, сообщения создаются в форме New Message с применением протокола S/MIME. Для этого необходимы IE 6.0 и Windows 2000 (или продукты более поздних версий), иначе команда загрузки из сети не отображается на экране. Базовая поддержка операционной системой необходима, так как шифрование и дешифрация выполняются в стандартном приложении Windows CryptoAPI.

Для шифрования и подписывания в OWA используется протокол S/MIME 3, но программа обеспечивает чтение, рассылку ответов и пересылку почтовых сообщений, которые снабжены цифровыми подписями и зашифрованы с помощью протокола S/MIME 2. Спецификация S/MIME 3 опубликована в документе Request for Comments (RFC) 2633 (http://www.rfc-editor.org/rfc/rfc2633.txt) рабочей группы Internet Engineering Task Force (IETF). Следует иметь в виду, что OWA обеспечивает подписывание и шифрование только почтовых, но не календарных сообщений, таких как приглашения на совещания.

Для цифрового подписывания и шифрования сообщений используется открытый ключ; поэтому должна быть развернута инфраструктура открытых ключей (Public Key Infrastructure, PKI), а пользователи OWA должны располагать действительными сертификатами. Открытый ключ получателя (содержащийся в сертификате получателя) используется для шифрования сообщений. OWA извлекает эти сертификаты из Active Directory (AD) или контактов в почтовом ящике пользователя. В отличие от Outlook, в OWA отсутствуют функции управления сертификатами, такие как создание контакта из адреса отправителя сообщения и сохранение сертификата вместе с контактом. OWA обеспечивает шифрование почты, адресованной в группы AD и персональные списки рассылки, хранящиеся в папке контактов пользователя. Если пользователь добавляет получателей в окно Create Message, то Exchange анализирует адреса получателей, извлекает их сертификаты и использует открытые ключи для шифрования сообщений. Exchange выполняет все операции по проверке достоверности сертификата (например, проверку списка отмены сертификатов — CRL, чтобы убедиться, что сертификат все еще действителен), и клиент не взаимодействует с PKI напрямую через Internet.

Если у получателя нет действительного сертификата, то Exchange предупреждает об этом отправителя сообщения и предоставляет ему право послать сообщение (даже если получатель не сможет расшифровать и прочитать его). Просмотрев свойства получателя в списке глобальных адресов (Global Address List, GAL), показанном на экране 3, можно выяснить, есть ли у получателя действительный сертификат и может ли он прочитать зашифрованные сообщения.

Отправитель также должен иметь действительный цифровой сертификат для подписывания сообщения, и элемент управления S/MIME взаимодействует с Windows 2000, чтобы убедиться в наличии сертификата у отправителя. Сертификат можно хранить в локальном хранилище сертификатов (или любом другом месте, доступном для приложения CryptoAPI) либо на смарт-карте (предполагается, что в машине OWA имеется Windows-совместимое устройство чтения смарт-карт). Если OWA не обнаруживает действительного программного сертификата, программа предлагает пользователю вставить любой имеющийся аппаратный идентификатор.

Пользователи могут подписывать и шифровать сообщения со стандартными параметрами или обратиться к двум кнопкам в форме Create Message. Выбранные пользователем параметры хранятся в свойствах http://schemas.microsoft.com/exchange/smimesign и http://schemas.microsoft.com/exchange/smimeencrypt в почтовом ящике пользователя. Администраторы могут назначить принудительный режим подписывания и шифрования сообщений, присвоив параметрам реестра alwaysSign и alwaysEncrypt registry values (тип REG_DWORD) значение 1. Эти параметры находятся в разделе HKEY_LOCAL_MACHINESYSTEMCurrent-ControlSet ServicesMSExchangeOWA сервера Exchange.

Элемент управления S/MIME взаимодействует с окном Create Message. Сообщения, созданные в этом окне, относятся к особому классу сообщений. В клиентах электронной почты, таких как Outlook, класс сообщений используется в основном для выбора режима отображения сообщений, например IPM.NOTE.SMIME вместо обычного IPM.NOTE. Два других класса сообщений при активном элементе управления S/MIME — IPM.NOTE.SMIME.MULTIPARTSIGNED (например, когда существует сообщение) и REPORT.IPM.Note.SMIME.MultipartSigned.IPNRN (в частности, для генерации уведомления о прочтении из защищенного сообщения). В Outlook применяются те же классы сообщений, поэтому обработка сообщений S/MIME полностью поддерживается Outlook и OWA.

Благодаря наличию элемента управления S/MIME расширяются возможности обработки, так как полностью сформированные сообщения MIME строятся в клиенте и пересылаются на сервер. Такой подход позволяет перенести вложения в окно Create Message и упрощает обработку присоединенных файлов. В отсутствие элемента управления S/MIME (который имеется только в расширенном клиенте) необходимо просматривать вложения и выбирать те из них, которые нужно добавить или удалить из сообщения. При наличии элемента управления S/MIME присоединить файл можно одним щелчком мыши или щелкнуть правой кнопкой мыши на файле и удалить его с помощью контекстного меню. Изображения можно переносить непосредственно в тело сообщения, копировать изображения из Web-страниц и даже переносить сообщения из папок в OWA и встраивать их непосредственно в новое сообщение.

Аутентификация на базе форм

В процессе регистрации для доступа к почтовым ящикам и другим ресурсам Web пользователи должны ввести свой мандат (имя пользователя, пароль, домен). Браузер сохраняет мандаты в кэше и пересылает их на Web-сервер с каждым запросом HTTP. В противном случае при перемещениях по Web пользователи будут непрерывно получать запросы на ввод мандата — не самый удобный способ взаимодействия.

Мандаты сохраняются в кэше в течение сеанса работы браузера (iexplore.exe, netscape.exe), который существует до тех пор, пока не будут закрыты все окна, открытые в течение сеанса. При этом возникает следующая проблема. Предположим, что пользователь работает с OWA из общедоступного места, а затем уходит. Если пользователь не закрыл все окна браузера (что в некоторых случаях невозможно), то любое постороннее лицо может использовать браузер для возврата в почтовый ящик пользователя, не вводя никакого мандата. Простая небрежность стала основной причиной введения аутентификации на базе форм.

До появления IE 6.0 SP1 не существовало гарантированного способа программной очистки кэша без установки на клиенте элемента управления ActiveX. В Exchange 2003 OWA используются функции очистки кэша IE 6.0 SP1, которые автоматически очищают кэш по щелчку на кнопке выхода. Данная функция прекрасно работает там, где администратор контролирует используемые браузеры, например на предприятии. Но как быть, если администратор не может управлять браузером — в частности, в общедоступных местах?

Технология аутентификации на базе форм предназначена для решения проблемы общедоступных точек и охватывает три основные функциональные области, устраняющие слабые места таких браузеров.

  • При использовании аутентификации на базе форм пользователи не видят стандартное окно аутентификации браузера и не могут выбрать режим запоминания пароля (Remember My Password). Вместо этого OWA предоставляет специальную регистрационную форму для аутентификации.
  • После щелчка на кнопке Logoff любые попытки обратиться к OWA из того же сеанса браузера будут приводить к появлению на экране специальной регистрационной формы.
  • Механизм тайм-аута гарантирует, что если пользователь бездействовал в течение определенного времени, то следующее действие приведет к отображению специальной регистрационной формы. Это полезно в случаях, когда пользователь забывает полностью закрыть браузер.

Аутентификация на базе форм наиболее успешно применяется в конфигурации внешний/внутренний сервер. Ее можно использовать непосредственно на внутреннем сервере, но если контент общедоступных папок находится на сервере, отличном от сервера, содержащего почтовый ящик пользователя, то пользователь должен быть переадресован на страницу регистрации.

На странице регистрации пользователи могут выбрать клиента (расширенного или базового) и указать, на каком устройстве они работают — общедоступном (например, в Internet-кафе) или частном (например, домашний компьютер). От выбора общедоступного или частного устройства зависит тайм-аут: период неактивности общедоступного устройства короче, чем частного.

Сжатие Gzip

В Microsoft IIS 6.0 появилась встроенная функция сжатия Gzip. Поэтому Exchange 2003 OWA может использовать Gzip, только если Exchange 2003 работает на Windows Server 2003 с подходящим браузером, таким как IE 6.0. Для сжатия Gzip необходимо активизировать режим аутентификации на базе форм, который гарантирует безопасную обработку сжатых файлов браузером. Функцию Gzip можно настроить на сжатие статических или динамических данных. К статическому контенту относятся такие файлы, как Cascading Style Sheets (CSS) и сценарии. Динамический контент представлен HTML-кодом, генерируемым по запросу (например, составить список содержимого входного почтового ящика).

Статические файлы размером более 1 Кбайт сначала сжимаются на сервере и сохраняются в папке Temporary Compressed Files сервера IIS. Динамический контент сжимается в процессе генерации (например, подготовки списка сообщений в почтовом ящике или чтения сообщения).

Gzip удобен для коммутируемых пользователей. В силу особенностей метода аутентификации на базе форм сжимается только трафик Secure Sockets Layer (SSL). Аппаратное сжатие, выполняемое модемом, к данным SSL не применяется, но сжатие Gzip производится выше уровня SSL, и в результате общая нагрузка на канал связи снижается.

С помощью Exchange System Manager (ESM) можно назначить высокий статический или динамический уровень сжатия, низкий уровень сжатия (только статический) или вообще отказаться от сжатия. Раскрывающийся список для выбора одного из этих режимов появляется на экране, когда активизируется аутентификация на базе форм. При высоком уровне сжатия нагрузка на процессор внешнего сервера возрастает примерно на 10%; при низком уровне сжатия нагрузка на процессор почти не увеличивается, так как Gzip сохраняет сжатые файлы в кэше для повторного использования.

OWA для обычных пользователей

В новейшей версии OWA появилось и много других усовершенствований, не рассмотренных в данной статье, в том числе проверка правописания, новая адресная книга, сегментирование пользовательских параметров и упрощенное представление папок Inbox и Calendar при отображении в порталах, подобных порталам на базе служб Windows SharePoint Services. О некоторых из этих функций будет рассказано в одной из следующих статей.

Exchange 2003 OWA — безопасный, удобный в использовании и полнофункциональный Web-клиент. Преимущества OWA способствуют более широкому распространению Exchange 2003 и увеличению числа пользователей, применяющих OWA как внутри, так и за пределами своих компаний.

Кевин Лаахс - главный консультант в подразделении Applied Microsoft Technologies Group компании Compaq. С ним можно связаться по адресу: kevin.laahs@compaq.com.

Поделитесь материалом с коллегами и друзьями