.
Могли бы вы для начала дать простое определение Exchange ActiveSync — что это такое и каково назначение EAS?
Exchange ActiveSync — протокол для синхронизации электронной почты и информации персонального электронного менеджера (PIM). Это если говорить кратко. В действительности вы получаете постоянное своевременное обновление данных Always Up-To-Date (AUTD). Именно таким было первоначальное название функции, подготовленной для Exchange 2003 SP2.
Для связи с серверами электронной почты с помощью телефонов используются такие протоколы, как POP или IMAP, представляющие собой технологии опросов. Через каждые 15 или 30 минут, в зависимости от настроек, телефон обращается к серверу и получает информацию. Мы изменили этот порядок, наделив сервер возможностью немедленно пересылать почтовые сообщения напрямую в телефон и поддерживать соединение. В современной версии ActiveSync это достигается с помощью технологии, именуемой «висячей синхронизацией» (hanging sync). В сущности, ActiveSync выясняет, как долго соединение может оставаться открытым, прежде чем оно будет закрыто брандмауэром, оператором или устройством. Предположим, программа определяет, что соединение может оставаться открытым в течение 30 минут. В этом случае через 29 минут посылается сигнал, чтобы показать «я здесь», а затем интервал начинает отмеряться заново.
Таким образом, соединение сохраняется без пересылки данных по линии. Поскольку соединение открыто, по нему можно передавать сообщения. Как только сервер электронной почты получает сообщение, календарное приглашение или обновление контактной информации, данные немедленно пересылаются в устройство Exchange ActiveSync. Это новый способ перевести электронную почту и PIM-функции в реальное время, не пересылая постоянно данные и не заставляя пользователя ждать 15 минут, чтобы получить информацию.
Компоненты, выходящие за рамки электронной почты, отделяют EAS от протоколов POP и IMAP, в которых нет возможностей для обработки электронной почты и контактов. В современных версиях ActiveSync имеются задачи и заметки, а также дополнительные возможности на основе метаданных, например маркировка элементов как имеющих высокую важность или защита сообщений с использованием механизма IRM (Information Rights Management). Все это уникальные особенности Exchange ActiveSync, отсутствующие в других широко используемых протоколах почтового связывания. Это краткий обзор Exchange ActiveSync, аргументов в пользу его применения и технических достоинств.
Успех EAS на рынке объясняется тем, что это открыто лицензируемый стандарт. Возьмите любой имеющийся в продаже смартфон, для него есть решение Exchange ActiveSync, и в большинстве случаев это решение Exchange ActiveSync — встроенное. Взгляните на смартфоны AT&T, T-Mobile и Vodafone: единственные модели без встроенных решений EAS в большинстве случаев BlackBerry, для которых имеется два сторонних решения, и, конечно, собственное решение BES (BlackBerry Enterprise Server).
Итак, это довольно универсальный стандарт. Его дополнительное достоинство для ИТ-профессионалов, которого нет у других стандартов синхронизации электронной почты, — управление на основе политик. В прошлом мы уже говорили о возможности блокировать и ограничивать сообщения, поступающие в сеть компании, но управление на основе политик обеспечивает управление устройствами, выбранными для применения в компании. Политики применяются повсюду, начиная с контроля обязательного использования сотрудниками PIN-кода и определения длины и сложности этого PIN-кода: состоит только из цифр или цифр и букв? Обязательно ли применять шифрование в устройствах? Что является основной памятью, может ли это быть карта памяти, если карты памяти разрешены? Разрешается ли дополнять устройства иными функциями, например Bluetooth, для связи? Можно ли задействовать устройство для связи с компьютером?
При отборе встроенных функций мы ориентировались на вопросы, поступающие от ИТ-специалистов, которых беспокоит проблема несанкционированного доступа в корпоративные сети. Иногда меня спрашивают о причинах такого внимания к связи или в чем польза от блокировки Bluetooth. Причина — в обеспокоенности ИТ-профессионалов. Мы спрашивали их о внедрении телефонов в компаниях. Они отвечали: «Мы знаем, как защищена сеть, у нас есть брандмауэр. Работают системы мониторинга. Но если кто-то связывает телефон с рабочим компьютером, то неожиданно возникает особый и недоступный наблюдению канал передачи информации». Поэтому мы предоставляем возможность при необходимости перекрыть этот канал. На это направлены многие элементы политики.
То же относится к блокированию камер. Некоторые компании полностью запрещают фотокамеры, и появление телефонов с камерами вызвало большое беспокойство. Мы считаем, что эту проблему можно решить с помощью политики. Телефоны можно подключать, они разрешены, но камера работать не будет. Некоторым компаниям такая возможность пригодится, другие обойдутся без нее.
Существует всего 52 политики; 49 из них открыты пользователям. Остальные применяются исключительно самим сервером. Эти политики составлены на основе отзывов ИТ-профессионалов о необходимых мерах безопасности. Мы постарались охватить всех, начиная с компаний, где дозволено все, до организаций, очень ревностно относящихся к защите данных. Мы стараемся быть в курсе их нужд. Сейчас эта тема поднимается редко, но в прошлом политики были предметом жарких споров. Многие говорили: «Слишком много политик — у вас 25, у меня 40. У вас 45, а у меня теперь 65». Своего рода количественная гонка политик. Постоянно приходилось сталкиваться с вопросом, какие же функции действительно нужны.
Я обычно сравниваю политики с килограммами: больше — не всегда лучше, и они должны размещаться в нужных местах. Поэтому, общаясь с ИТ-профессионалами, мы спрашивали, в каких областях следует размещать политики, что в действительности необходимо? В результате нам удалось избежать недоразумений с некоторыми администраторами, которые говорили, что намерены просто внедрить все существующие политики. Такое заблуждение было свойственно многим ИТ-администраторам. Поэтому нашей целью было сделать политики удобными для управления и одновременно мощными, чтобы у администраторов было все необходимое. Кроме того, нужно предоставить достаточную свободу действий, чтобы пользователи могли принимать решения об устройствах, разрешенных в ИТ-инфраструктуре. Таков краткий обзор проблемы.
В течение последних двух лет наблюдался настоящий бум на рынке потребительских устройств, и пользователи просят ИТ-подразделения обслуживать эти устройства. Каким образом выбор устройств влияет на требования администраторов к политикам?
Мы также наблюдаем внедрение потребительских устройств в ИТ-подразделениях, в разных компаниях оно имеет разный масштаб. Но мы отмечаем рост числа сотрудников, приносящих на работу свои устройства. На наш взгляд, это превосходно, потому что одно из достоинств ActiveSync — лицензирование для всего спектра устройств. Компания Gartner называет его фактическим стандартом. Все смотрят на ActiveSync, и наличие Exchange ActiveSync означает, что в устройстве есть необходимые возможности.
События, которые начали разворачиваться приблизительно полтора года назад, несли реальную угрозу для ИТ-администраторов. Уровень защиты многочисленных устройств с поддержкой Exchange ActiveSync, появившихся в продаже, сильно различался. Поэтому компаниям приходилось назначать множество правил (разрешены только устройства X, а остальные блокируются) или поддерживать устройства, в сущности опускаясь ниже порога безопасности (вынужденно пересматривая черту допустимого).
Спустя полтора года маятник качнулся в противоположном направлении. Компании выражают интерес в функциях, которые соответствовали бы желаемой планке безопасности. Мы также работаем с поставщиками, уведомляя их о важных функциях, которые необходимо реализовать.
По мере расширения использования мобильных устройств в компаниях начинают понимать ценность хранящихся в них данных. Несколько лет назад от 12 до 20% пользователей имели мобильные устройства, в зависимости от компании, ее размера и контингента сотрудников. По прогнозам, через год или два обладателями мобильных устройств будут 50% всех пользователей. Происходит количественный сдвиг, пришло время по-настоящему озаботиться хранящимися данными и пространством памяти. ИТ-администраторы действительно желают управлять мобильными устройствами. Мы уже предоставляем средства управления и тесно сотрудничаем с изготовителями устройств, обладателями лицензий EAS, чтобы соответствующие функции были встроены в телефоны. Сообщество ИТ-специалистов также дает понять, что нуждается в этих возможностях.
Таким образом, маятник качнулся назад, в направлении контроля со стороны компаний. Думаю, это движение продолжится. Компании захотят получить больше решений, которые были бы удобными для пользователей, но при этом у компаний оставался бы контроль над ресурсами, доступными через мобильные устройства.
Сегодня часто приходится слышать об утерянных устройствах, содержавших важную информацию, — без сомнения, очень неприятное происшествие. Мы разрабатываем методы защиты устройств. Полагаю, компромисс будет найден. Изготовители устройств должны повысить свой уровень защиты, и мы сотрудничаем с ними.
Мы также уделили время построению интернет-ресурсов, чтобы повысить уровень знаний ИТ-специалистов. В частности, они смогут выяснить, какие устройства и операционные системы поддерживают те или иные функции. До сих пор потребители были в растерянности: разнообразие слишком велико, чтобы уяснить картину совместимости. Изготовители не всегда предоставляют нужную информацию. Попытки разъяснить ситуацию пока безуспешны, и вопрос остается очень актуальным для ИТ-специалистов. Мы разрабатываем некоторые меры, чтобы помочь им. Первый шаг — публикация вики-страницы, на которой члены сообщества могут обмениваться информацией, а мы — представлять свои сведения. Таким образом, сформируется ресурс, на основании которого компании смогут принимать информированные решения.
Да, страница Comparison of Exchange ActiveSync Clients в Википедии действительно полезна. Достаточно взглянуть на диаграмму, чтобы увидеть, что одной из главных болевых точек для ИТ-специалистов остается отсутствие важнейших функций в устройствах некоторых изготовителей (даже если они поддерживаются мобильной операционной системой). Почему изготовители не используют все лицензируемые ими политики?
В настоящее время условия лицензирования Exchange ActiveSync таковы, что после приобретения лицензии на использование протокола (вся документация уже общедоступна) мы не контролируем действия поставщика. Мы не можем обязать его делать что-либо. Мы информируем поставщиков об известных нам потребностях ИТ-сообщества, но это их продукт, и они принимают решение о реализации тех или иных функций. Если взглянуть на происходящее в последние три года, то очевидно, что все участники рынка, все обладатели лицензий Exchange ActiveSync непрерывно расширяют корпоративную функциональность, и не только возможности, ориентированные на конечных пользователей, но функции для управления политиками.
Самый наглядный пример — появление шифрования в iPhone; это большой шаг Apple к внедрению корпоративных функций. Google, не упоминая об этом в сделанных недавно заявлениях, впервые дополнила Android API-интерфейсами шифрования. Очевидно, Windows Mobile располагает шифрованием еще со времени Windows Mobile 6.0. Таким образом, картина понемногу дополняется нужными фрагментами. Объявлять ли об этом — в большей степени маркетинговое решение компании. Но в последние три года наблюдается неуклонное движение к увеличению числа функций.
Не хочется использовать Apple в качестве примера, но это удобно, так как все знакомы с ее продуктами. Каждый выпуск операционной системы, начиная со второго, в котором появился Exchange ActiveSync, дополняется новыми функциями для политик. То же происходит в Android начиная с версии 2.0. Очевидно, что Windows Phone и Windows Mobile изначально располагали ActiveSync. Первым обновлением Palm после приобретения компанией HP стало обновление EAS для WebOS.
Выпуская устройство, компания очень быстро получает отзывы потребителей, и с каждым обновлением мы видим, как добавляются функции. Иногда правильно реализовать их — трудная программная задача, в зависимости от платформы и встроенных возможностей. Но со временем все добавляют фрагменты, поскольку в этом заинтересованы сотрудники предприятий.
Вряд ли вы тот человек, которому следует задать следующий вопрос, но все же: почему не удалось лучше реализовать EAS в Windows Phones 7? Часто приходится слышать жалобы об отсутствии таких функций, как шифрование устройств, и в результате компаниям не удается внедрить платформу.
Очевидно, что мне нравится мой телефон с Windows Phone 7. Вопрос о функциях, встроенных в первую версию или отсутствующих в ней, следует задать группе разработчиков Windows Phone. Я не участвую в принятии этих решений. Я могу лишь строить предположения, а это не очень плодотворное занятие. Я читал отзывы и знаю, что разработчики тоже знакомы с ними. Но я не могу говорить об их планах или процессе принятия решений.
Конечно. Я знаю, что вы хотели рассказать о блокировании строкой UA. Что это такое?
Строка UA — пользовательский агент (user agent). Мобильные устройства — важные каналы приема и передачи информации, поэтому компании ищут способы управлять ими. Список «разрешить/блокировать/отправить в карантин» (Allow/Block/Quarantine), несомненно, наш лучший и самый новый способ такого управления. Список ABQ использует информацию, передаваемую устройством. Иногда случаются попытки обмана. Мошенничество встречается редко, когда пользуются браузером. При пересылке заголовков HTTP используемое устройство идентифицируется пользовательским агентом. Это весьма важно для мобильных устройств, так как веб-узлы могут преобразовать свои страницы в более удобный для них формат.
HTTP — протокол, по которому пересылается некоторая доля трафика EAS, поэтому мы получаем строку пользовательского агента. Иногда вместо того, чтобы руководствоваться семейством или типом устройства, о котором информирует Exchange ActiveSync, предпочитают фильтровать по идентификаторам, содержащимся в строке пользовательского агента телефона. Это полезно, если нужно фильтровать не по устройствам в целом, а по определенной модели. Обычно в строках пользовательского агента содержится даже номер версии. Например, если нужно разрешить версию 4.0 телефона Nokia E72, поскольку в нее внесены исправления, но не версию 3.5, которая не отвечает требованиям компании, необходимо назначить соответствующий фильтр. Добиться этого можно с применением пользовательского агента. Это еще один способ, с помощью которого компании могут следить за прибывающими и убывающими устройствами на основе номера версии, вместо того чтобы руководствоваться лишь типом устройства и сведениями, предоставленными им о себе.
Кроме того, открываются возможности учитывать другие критерии. Иногда устройства одного изготовителя сообщают о себе одинаковые сведения, например что-то вроде motodroid. Компания Motorola выпускает несколько устройств на основе Android; как определить, какая именно модель перед вами? Возможно, в компании допустимо использовать версии 2.1 или 2.2, но не 1.6. Фильтрация по строкам пользовательского агента позволяет блокировать устройства с помощью данного критерия; в распоряжении администраторов оказывается набор критериев для блокирования или разрешения устройств.
Такой подход применим не только к Exchange 2010, но и к предыдущим версиям, поскольку фильтрация производится не на уровне Exchange. Она происходит на других уровнях инфраструктуры (Microsoft Internet Information Server через фильтр ISAPI или подключаемый модуль либо через ISA-сервер). Здесь можно выполнить фильтрацию на основе IP-адреса. Существуют службы, которые используют центры обработки данных или сетевые операционные центры, чтобы подключаться к почтовым ящикам для загрузки сообщений, но они делают это бесконтрольно, без соответствующей политики. Таким образом пользователи пытаются обойти ИТ-подразделение. Необходимо остановить таких сотрудников: если они подключаются к почте и извлекают информацию, ими нужно управлять. Можно выполнить блокировку по IP-адресу, как обычно делается в брандмауэре.
Вернемся к архитектуре Exchange. Где место функций управления EAS в архитектуре Exchange? В каких случаях они вступают в действие?
Вся функциональность Exchange ActiveSync размещается на сервере Client Access (CAS). CAS реализует механизм «Разрешить/Блокировать/Карантин», а также некоторые клиентские функции, о которых мы не говорили в обновлениях Outlook Mobile. Известно, что возможность дистанционно уничтожить информацию чрезвычайно важна для ИТ-подразделений, но эта функция реализована в Exchange ActiveSync начиная с версии Exchange 2003 SP2.
В начале беседы вы упоминали о необходимых пользователям функциях управления. Получаете ли вы новые запросы? Или состав EAS на сегодня стабилизировался?
Каждую неделю я разговариваю с ИТ-специалистами. Иногда задаю им конкретные вопросы. Во многих случаях они остаются открытыми. Какие проблемы наиболее интересны профессионалам, о чем они охотнее всего говорят? На данном этапе пожеланий о новых функциях Exchange ActiveSync мало. Последним таким вопросом было: «Можно ли синхронизировать?» И в Exchange 2010 появилась такая функция. Теперь очередь за реализацией этой возможности в одном из клиентов.
Exchange ActiveSync отличается стабильностью, но в будущем мы еще постараемся улучшить эту характеристику. Мы постоянно отслеживаем нужды потребителей и ищем полезные новшества, чтобы дополнить ими продукт. Сейчас акцент перенесен на активацию функциональности пользователей и поиск вещей, которые можно было бы сделать иначе. Поэтому, например, как раз сейчас мы ищем способы уничтожать только данные Exchange, а не всего устройства.
В настоящее время это невозможно?
Сегодня в Exchange ActiveSync есть такие возможности, но обычно приходится покупать приложение, совместимое с Exchange ActiveSync. Приложение лишается доступа к API-интерфейсам для уничтожения всех данных на устройстве; оно может уничтожить лишь собственные данные. Таким образом, эта цель достигается в ряде компаний и лишь некоторыми приложениями. Но мы ищем способ сделать это с сервера Exchange. С другой стороны, некоторые компании беспокоятся, что кто-то сохранит файл, вложенный в почтовое сообщение, на SD-карте, а затем переместит его. Мы уничтожаем программу электронной почты, все почтовые сообщения, но вложенный файл попадает в чужие руки. Также могут быть скопированы и вставлены в другую программу сведения о контактах, список телефонных номеров или данные о продажах. Поэтому, если не уничтожать целиком данные на устройствах, появляется опасность утечки информации.
Очевидно, это непростые проблемы, которые кто-то должен решать.
У различных компаний разное отношение и подходы к этому вопросу. Вероятно, такая ситуация сохранится. Компании, серьезно относящиеся к защите данных, предпочтут управлять устройством целиком, а испытывающие меньше опасений смогут более гибко обращаться с данными, одновременно получая высокий уровень защиты.
Именно так. Если сотрудникам разрешено приносить на работу личные устройства, они, естественно, полагают, что компания не уничтожит их данные. Но такие компании, как правило, мало озабочены информационной безопасностью.
Да.
Хотите добавить еще что-то о EAS?
Пожалуй, это все, что я могу сказать на данный момент. Я хотел нарисовать общую картину, крупными мазками.
Вам это удалось. Спасибо!
Б. К. Уинстед (bwinstead@windowsitpro.com) — помощник редактора в Windows IT Pro и SQL Server Magazine