Ключ в ключ обмен авто: Доступ ограничен: проблема с IP — СКРТ-Урал: Системы контроля расхода топлива — Контроль расхода топлива, Датчики расхода топлива, расходомеры топлива DFM

Содержание

Как правильно провести обмен авто ключ на ключ в Украине

Данная процедура имеет множество подводных каменй.

Обмен автомобиля «ключ на ключ» — относительно популярное явление в Украине. Так, некоторые водители опробуют большое количество машин за короткий промежуток времени или же попросту хотят сменить авто без лишнего геморроя.

Читай также: Как подготовить автомобиль к продаже своими руками: простые советы

К сожалению, развод при обмене авто существует и водителя могут обвести вокруг пальца точно так же, как обманывают при покупке автомобиля.

Как происходит обмен автомобиля ключ в ключ?

depositphotos

Тут может быть несколько вариантов. Самый простой и популярный способ, когда владельцы обмениваются ключами и техпаспортами, после чего расходятся. Также существует вариант с переоформлением, когда машина сразу будет записана на нового владельца при посредничестве сервисного центра МВД, но он используется намного реже.

Читай также:

Удаление ржавчины с авто: простые и эффективные методы

Фактически, когда вы обмениваете свой автомобиль «ключ на ключ» вы его продаете и покупаете новый, но при этом не заключаете никаких документов. Таким образом стоит поговорить про схемы мошенничества при продаже автомобиля в Украине.

depositphotos

В случае с обменом основные риски таковы:

Вы отвечаете за ДТП, в которое попал ваш автомобиль
Вы будете получать штрафы, которые выпишут на ваш автомобиль
Законный владелец может заявить об угоне своего транспортного средства

Читай также: Вредные привычки водителей, которые “убивают“ автомобиль

Также к распространённому кидалову при продаже или обмене авто можно отнести следующие пункты:

Автомобили-двойники
Проблемные документы
Перекупщики, которые пытаются «впарить» укатанный автомобиль.

Чтобы обезопасить себя как продавца, который отдает свою машину другому человеку стоит подумать о правилах безопасности при продаже авто. Наилучшим вариантом будет официальное оформление автомобиля на покупателя и получение нового техпаспорта в Территориальном сервисном центре МВД. Так вы снимите с себя все потенциальные риски.

Ранее мы писали о самых популярных жестах и сигналах среди водителей.

Обмен авто ключ в ключ

На сегодняшний день большинство людей имеют машину, поскольку она уже давно перестала быть роскошью, являясь необходимым и удобным средством для передвижения.

Автомобили быстро устаревают или просто надоедают, и тогда автовладелец задумывается о покупке нового или обмене существующего на другое транспортное средство.

Как сегодня можно обменять автомобиль, и какие существуют способы сделки?

Обмен автомобилями ключ в ключ – это обмен без доплат и других договоренностей.

Для этой процедуры в настоящее время достаточно заключить только договор мены. Кроме этого, существуют еще некоторые способы, такие как продажа и обмен по доверенности.

Подготовка к сделке

Приобретение подержанной машины – это всегда рискованный шаг. Но если ответственно подойти к делу, то можно минимизировать или вовсе исключить все риски.

Перед сделкой следует проверить историю автомобиля, на который будет производиться обмен, а так же детально изучить, как и в каком порядке нужно оформить документы.

Прежде чем подписать договор, необходимо проконсультироваться с квалифицированным специалистом. Мы оказываем бесплатные юридические консультации и, обратившись к нам, вы получите все ответы на ваши вопросы и грамотные рекомендации.

Проверка автомобиля

Существует несколько основных способов для того, чтобы проверить подержанный автомобиль:

Проверка авто в ГИБДД и в Федеральной таможенной службе.
Проверка на онлайн-сервисе ГИБДД.
Проверка на сайте Федеральной службы судебных приставов.

Осуществить полную проверку автомобиля, скорей всего, будет невозможно, поскольку ГИБДД и Федеральная таможенная служба отвечают только на запросы собственника. В этих случаях требуется лично подать документы, чтобы узнать данные об автомобиле.

Другая сторона перед заключением договора может попросить владельца автомобиля сделать соответствующие запросы, а затем показать документ с официальным ответом. При этом нужно учитывать, что подобные проверки проводятся около месяца, что может задержать осуществление сделки.

Самостоятельно можно узнать, не является ли машина арестованной, либо находящейся в розыске.

Проверить автомобиль можно, заполнив соответствующий онлайн-запрос на сайте ГИБДД, который выдаст информацию по номеру шасси, кузова или по VIN-коду.

При этом ГИБДД не сможет предоставить сведения о возможном залоге автомобиля, в связи с отсутствием единой базы данных по этому вопросу.

Кроме того, можно проверить добропорядочность собственника автомобиля на сайте Федеральной службы судебных приставов РФ. Для этого нужно ввести данные владельца (регион, фамилия, имя, отчество, дата рождения) в необходимой форме запроса и выяснить наличие открытых исполнительных производств, а также удостовериться, что на транспортное средство (ТС), подлежащее обмену, не наложен арест и оно не разыскивается судебными приставами.

Этапы обмена

Всю процедуру по обмену транспортных средств ключ на ключ можно разделить на несколько основных этапов. Каждый из них требует тщательного подхода и предельной внимательности.

Важно понимать, что риск присутствует всегда. Но при обмене он не больше, чем при стандартной процедуре покупки или продажи подержанного автомобиля

На этот счёт сильно переживать не стоит. Если правильно подготовиться, то никаких сложностей возникнуть не должно.

Желающему обменяться машинами нужно:

подготовить собственное авто;
опубликовать объявление;
встретиться с другой стороной;
проверить автомобиль;
подготовить документы;
заключить сделку.

В подготовке своего транспортного средства нет ничего сложного. Но одни делают это своими руками, а другие предпочитают обратиться в автосервис. Всё зависит во многом от наличия проблем с машиной и степенью их серьёзности. Если дефекты существенные, лучше сразу попытаться устранить их за свой счёт. Это позволит получить большую выгоду при обмене. Особенно, когда речь идёт об обмене с доплатой вам. Иначе вторая сторона сможет существенно сбавить цену, и вопрос выгоды окажется под сомнением.

С публикацией объявления тоже всё предельно понятно. Оно должно быть информативным, честным и подкреплённым качественными фотографиями. Если есть проблемы по кузову, рекомендуется сделать их фото и разместить в объявлении. Это не будет поводом для того, чтобы сбавлять цену.

Проверка машины

Прежде чем оформлять сделку и подписывать документы, обязательно проверьте автомобиль, в обмен на который вы планируете отдать своё транспортное средство.

Существует несколько способов проверки. Выбирайте сами, какой вам больше нравится или подходит.

Запросы в таможню и ГИБДД. Если вы никуда не спешите, тогда можно обратиться к продавцу с просьбой отправить запросы в эти государственные службы

Тут важно учитывать, что ответ обычно приходит в течение 1 месяца. Для быстрой сделки такой вариант однозначно не подойдёт. Онлайн проверка

Для этого существует сайт Госавтоинспекции. Он даёт возможность использовать онлайн форму. Для запроса потребуется только идентификационный номер автомобиля, то есть его VIN код. Номер вводится в специальное поле, после чего на экран выводится доступная в реестре информация о транспортном средстве. ФССП. Проверить машину через службу судебных приставов точно не будет лишним. Это позволит узнать, есть ли на движимое имущество аресты или какие-либо иные обременения. Здесь требуются данные продавца, которые вносятся в соответствующие поле. Далее по запросу вы получаете развёрнутый ответ. Если аресты есть, вы о них сразу узнаете.

Не забывайте о том, что вторая сторона захочет получить аналогичную информацию о вас. Потому при наличии обременений, штрафов и иных проблем приготовьтесь к тому, что с вами не захотят меняться ключ в ключ. Следует заранее позаботиться об избавлении от всех задолженностей, которые потенциально могут стать причиной для отказа от сделки по обмену транспортными средствами.

Документы

Поскольку обмен нужно осуществить по закону, в соответствии со всеми правилами, то потребуется предъявить документы. Без них сделка не будет считаться официальной. А потому и последующая перерегистрация автомобиля станет для сторон проблемой.

Набор документов состоит из:

сервисных документов;
доверенности;
свидетельства о регистрации машины;
паспорта транспортного средства;
паспорта владельца;
комплекта ключей.

Сначала стороны подписывают между собой договор, а уже потом идут в отделение ГИБДД, чтобы официально всё оформить. В ведомстве владельцы машин будут заменены. Это позволит стать полноправным владельцем другого транспортного средства.

От редакции : Как получить водительские права

Проверка документов

Тщательного анализа требуют и предъявляемые документы на автомобиль.

Если машины будут обмениваться по доверенности, то в ней следует проверить прописаны ли полномочия на подписание договора мены и право на получение денежных средств за автомобиль.

Право на осуществление любых сделок будет вполне уместно в этом случае.

Если доверенность подразумевает исключительно куплю-продажу, то совершить обмен по ней не удастся, т.к. эта сделка будет недействительной.

Внимательно изучите ПТС автомобиля, обратив внимание не только на соответствие всех данных, количество владельцев, но и на наличие особой отметки “дубликат”.

Возможно, оригинал паспорта утерян, но существует вероятность, что вам предлагается залоговый автомобиль, а ПТС находится у банка-кредитора. Расспросите владельца о причинах восстановления ПТС.

Зачастую, именно автомобили с дубликатом ПТС являются объектами мошеннических афер.

Если год выпуска предлагаемого автомобиля относительно свежий, но при этом владелец предъявляет вам дубликат ПТС, с большой вероятностью можно утверждать что вам навязывают кредитное авто. От совершения подобной сделки, какой заманчивой она бы не казалась, лучше отказаться.

Ознакомьтесь со страховым полисом. Если на автомобиль оформлен кредит, в полисе КАСКО в графе “выгодоприобретатель” будет указан банк и кредитный договор.

Как происходит обмен?

Сам обмен, то есть финансовая и документальная часть сделки может происходить по трем сценариям.

Обмен ключ на ключ. Владельцы оценивают состояние автомобилей, договариваются о сумме доплаты, после чего меняются автомобилями, ключами и документами (техпаспорт). Такой обмен, равно как и покупка, довольно рисковое дело. Прежде всего вы не знаете какая история у автомобиля, какие штрафы и ограничения по нему есть. Возможно он арестован или находится в залоге или в кредите. Все это ненужные проблемы. Кроме того, помните, что, отдавая свой автомобиль человеку, пусть даже и за деньги, вы рискуете получать штрафы и всевозможные взыскания за нарушения нового владельца, которому вы отдали ключи и авто. Поскольку авто по факту все еще будет вашим. В случае ДТП у вас будут большие проблемы. Также возможны и другие неприятности, например, человек с которым вы поменялись может заявить, что его авто угнали…
Второй вариант — одновременно снять с учета два авто, после чего вы ставите свой автомобиль на покупателя, а он, в свою очередь, регистрирует свою машину на вас.
Есть также третий вариант — заключить договор смены с доплатой. Все происходит в законном порядке, человек, который доплачивает, покрывает расходы по налогу, а само оформление происходит по более упрощенной схеме.

От редакции : Генеральная доверенность на авто: оформление, порядок продажи и покупки тс, риски для участников сделки

Отправляясь на обмен не забудьте про документы

Возьмите с собой: паспорт, техпаспорт авто, страховку (ОСАГО), сервисную книжку и прочие документы, подтверждающие надлежащее обслуживание. Если сделка заключается с юр. лицами или представителями, следует подумать о доверенности.

На этом у меня все. Надеюсь, эти советы и рекомендации помогу вам быстро и эффективно совершить обмен вашего авто на другое авто. Соблюдайте вышеперечисленные пункты и у вас все получится, главное — сохранять спокойствие и четко понимать, чего вы хотите.

Спасибо за внимание и до новых встреч на Вопрос Авто. Пока

Обмен по доверенности

Это самый доступный способ, не требующий много времени. Владельцам машин достаточно обменяться нотариально заверенными доверенностями, которые разрешают управлять транспортным средством и осуществлять его продажу.

При этом необходимо учитывать все преимущества и недостатки такого варианта обмена.

Преимущества – это скорость оформления и минимальные финансовые затраты.

Однако недостатков в таком обмене гораздо больше, например:

Доверенность может быть отменена доверителем в любой момент, а также она не указывает и не подтверждает того факта, что меняемый автомобиль был передан в собственность.
При дорожно-транспортном происшествии все разбирательства будут проводиться с реальным владельцем, а не с доверенным лицом.
Всю ответственность за автомобиль несет собственник, поскольку обмен по доверенности – это сделка не на законных основаниях.

Цель обмена автомобилями

Большинство покупателей старой закалки считают, что процедура обмена автомобилей ключ в ключ — это способ быстро сбыть негодный или проблемный товар. Несмотря на то что риск столкновения с мошенниками действительно огромный, как и при любой покупке движимого имущества с рук, часто причины обмена очень легко объяснить, и они не имеют никакого отношения к криминалу.

Машина в нынешнее время — это уже в большей степени не показатель богатства, а необходимое средство для того чтобы идти в ногу со временем. В отличие от людей старой закалки, которые покупали раньше авто раз и на всю жизнь, молодое поколение автолюбителей желает попробовать себя за рулём разных транспортных средств, экспериментировать и усовершенствоваться.

Копить деньги на новое авто или же продать старый автомобиль и купить впоследствии другой не всегда имеется возможность в связи с нестабильной финансовой ситуацией в стране. А вариант обмена машин ключ в ключ позволяет автолюбителю решить несколько проблем одновременно. Во-первых, клиент сбывает имеющееся средство передвижения, во-вторых, автоматически обретает желаемый автомобиль.

Если автолюбитель желает приобрести товар классом выше, тогда реальный вариант обмена машины на машину с доплатой. В этой ситуации доплату осуществляет тот владелец, который имеет транспорт ниже по рангу и дешевле приобретаемого товара.

Договор купли-продажи

Обмен автомобилями с помощью оформления договора купли-продажи – это распространенный вариант, который не несет особых рисков, но добавляет бумажной волокиты.

При этом способе необходимо заключить два договора, каждый по три экземпляра, в одном из которых человек является продавцом, а в другом договоре – покупателем. Права собственности переходят от продавца к покупателю, и оба становятся законными собственниками обмененных автомобилей.

Чтобы не иметь в будущем проблем с налоговой инспекцией и подстраховаться на случай судебных тяжб обязательно указываете фактическую стоимость автомобилей.

После проведения сделки владельцы могут перерегистрировать машины на свое имя в ГИБДД.

Договор мены

Процедура мены регламентируется главой 31 ГК РФ.

Для того чтобы оформить обмен автомобилей без доплат следует заключить договор мены, при котором каждая сторона обязуется передать в собственность другой стороны одно транспортное средство, обменяв его на другое.

В договоре мены прописываются следующие пункты:

паспортные данные сторон, адреса и реквизиты;
характеристики ТС – номера VIN, кузова, шасси, цвет, марка, модель, техническое состояние;
равнозначная договорная стоимость ТС;
порядок и сроки передачи машин, время, с которого право собственности обеих сторон переходит на обмененные автомобили.

Обязательно прописываются предмет договора, права, обязанности и ответственность сторон, риск случайной гибели товара.

Составление договора

При обмене важно понимать, что участники сделки не могут просто обменяться машинами и разъехаться. Только в случае составления договора и переоформления ТС на нового владельца можно гарантировать отсутствие проблем в будущем

При этом нужно учитывать, что передача по доверенности не является достаточно безопасным способом обмена, потому что она позволяет только пользоваться авто, но не дает права распоряжаться им.

Договор купли-продажи

По договору купли-продажи одна сторона (продавец) обязуется передать вещь (товар) в собственность другой стороне (покупателю), а покупатель обязуется принять этот товар и уплатить за него определенную денежную сумму (цену). (п.1 ст. 454).

Это стандартный договор, который чаще всего заключается при сделках. В случае обмена его составление нецелесообразно, потому что данный тип соглашения предполагает передачу денег, что не предусмотрено условиями сделки. Поэтому необходимо дополнительно составить расписку о получении денег. Для этого стороны оценивают свои ТС и указывают сумму. Сделка считается заключенной после подписания договора купли-продажи, обмена расписками и авто.

Договор мены

По договору мены каждая из сторон обязуется передать в собственность другой стороны один товар в обмен на другой.(п.1 ст. 567 ГК РФ)

По договору мены каждая из сторон обязуется передать в собственность другой стороны один товар в обмен на другой.(п.1 ст. 567 ГК РФ).

Это наиболее удобный способ оформления сделки. В документе указываются реквизиты сторон, данные об автомобилях и условия обмена. Заверять договор нотариально не требуется, он вступает в силу сразу после подписания.

Стороны дополнительно оформляют акт приема-передачи, в котором указываются характеристики ТС.

Договор дарения

По договору дарения одна сторона (даритель) безвозмездно передает или обязуется передать другой стороне (одаряемому) вещь в собственность либо имущественное право (требование) к себе или к третьему лицу либо освобождает или обязуется освободить ее от имущественной обязанности перед собой или перед третьим лицом. (п.1 ст. 572 ГК РФ).

Это самый редкий способ оформления подобных сделок. Связана такая редкость с тем, что договор дарения придется составлять каждой стороне на имя другого, что не всегда удобно. Оформляется в стандартном порядке: составляется два соглашения о дарении, по которым одна сторона передает другой свой автомобиль. Нотариальное заверение не требуется, привлечение свидетелей на усмотрение сторон. Документ вступает в силу сразу после подписания, его не нужно дополнительно регистрировать.

Порядок оформления договора

Стороны назначают удобное время для встречи, предоставляют друг другу свои автомобили, все необходимые документы и подписывают договор и акт приема-передачи. После подписания всех бумаг они становятся владельцами обмененных машин.

Бланк договора мены ТС (Word-файл в формате .doc)
Бланк договора мены ТС по доверенности (Word-файл в формате .doc)

Оформляя акт приема-передачи, укажите все характеристики, полную комплектацию и техническое состояние автомобиля, а также всю передаваемую на автомобиль документацию, это обезопасит вас на случай предъявления необоснованных претензий со стороны контрагента совершенной сделки.

По завершении сделки стороны имеют право сразу же зарегистрировать транспортное средство в органах управления дорожной полиции.

Особенности обмена авто без доплаты

Важным фактом в заключение сделки является пункт, где указывается договорная стоимость автомобилей, хотя при этом никаких финансовых операций производить не планируется.
Обычно при обмене авто на авто ключ в ключ, сделка осуществляется без какой-либо доплаты. С согласия сторон следует оценить транспортные средства одинаково, т. к. это не вызовет никаких вопросов и предположений у налоговой инспекции.
В настоящее время закон не требует от участников сделки обязательного подтверждения договора мены у нотариуса, но меняющиеся стороны имеют право оформить его.
Сделку можно осуществить своими силами, но будет надежнее, если привлечь к этому процессу специалистов.

Для совершения удачного обмена, рекомендуем обратиться к нашим юристам, которые будут консультировать весь процесс заключения сделки от начала до конца. Вы можете позвонить нам по указанным телефонам либо написать в специальную форму, размещенную на сайте. Мы обязательно свяжемся с вами.

Зачем нужен обмен автомобилями ключ в ключ?

Экономическая ситуация в стране не самая лучшая. На автомобильном рынке сейчас застой. Новые автомобили практически не продаются. Продажи падают каждый месяц. А в это время рынок подержанных машин растёт. И также большой популярностью пользуются обменные операции.
Причём вместо железных коней предлагают такие товары:

часы,
дома,
смартфоны и т. д.

Конечно же, наибольшей популярностью пользуется обмен ключ в ключ. Часто продавцы уступают в цене. Потому что хотят быстрее продать транспортное средство.

Зачем нужен обмен? Торговля идёт напрямую. Поэтому обмен всегда выгоден двум сторонам. Например, человек хочет купить автомобиль поновее с доплатой.

А у второго ухудшилось финансовое положение. Поэтому он готов поменять новый автомобиль на дешёвую альтернативу. В этом случае сделка будет выгодна двум сторонам.

Но зачем нужен обмен:

Перекупщики меняют свою машину для последующей перепродажи.
Ухудшение материального положения.
Молодой автомобилист желает попробовать большое количество машин. Как правило, такие автомобилисты меняются со своими единомышленниками.

Обмен авто ключ на ключ: что надо знать

Главная > Партнеры > Грамотный и законный обмен авто ключ в ключ

Процесс обмена авто может принести вам как удовольствие, так и разочарование. Ведь в данном случае вы никак не застрахуете себе от получения неисправного автомобиля, с невнятной историей его существования.

В статье мы попробуем разобраться, на что стоит делать акцент при совершении данного типа сделки, как правильно составить тот или иной вид договора и про какие детали необходимо помнить.

Обмен авто ключ в ключ предполагает совершение мены без каких-либо дополнительных плат. При проведении процесса следует заострить внимание на некоторые нюансы.

Проверка транспорта

Самостоятельно пробить историю приобретаемой машины вам навряд ли удастся, так как ГИБДД и таможенная служба не располагает подобной информации для 3-их лиц. Соответственно, единственным вариантом узнать это – попросить собственника автомобиля сделать запрос в вышеуказанные органы. Если машина и в правду чиста, то данная просьба не может вызвать какие-либо проблемы.

Однако стоит помнить, что ответ по данному запросу, как правило, приходит через месяц, поэтому нужно быть готовым к увеличению срока ожидания сделки.

При этом вы может лично узнать, разыскивается ли автомобиль или находится под арестом. Для этого достаточно попасть на официальный сайт ГИБДД и в строке проверки автомобиля ввести требующие данные(VIN-код, номер кузова). Узнать, находится ли приобретаемое имущество под залогом банковского кредита в данном сервисе невозможно.

Также есть возможность проверить машину, перейдя на сайт судебных приставов.

Необходимые документы для совершения сделки

Обе стороны договора обязаны предоставить следующий перечень документов:

Паспорт гражданина
Ключи от машины
Страховой полис, срок действия которого не истек
ПТС
Тех. Паспорт автомобиля

Оформление договора

Важно понимать, что при обмене участники процесса не могут просто отдать друг другу имущество, не заверив все документально. Только переоформление ТС на нового пользователя авто и оформление соответствующего договора гарантирует вам избежание дальнейшей суеты. Стоит отметить, что обмен авто по доверенности не является грамотным способом передачи имущества, так как он не дает права на его распоряжение.

Договор купли-продажи

Данный договор используется наиболее часто при сделках. Однако он не совсем подходит в таком процессе, как обмен, так как включает в себя обязательство одной стороны передать деньги другой.

Соответственно, если участник процесса желают использовать данный способ составления договора, им стоит в денежной форме оценить свои автомобили, указав сумму в документе.

Договор мены

Это самый подходящий способ для составления обмена. В документе необходимо указать данные обоих участников сделки, информацию об их автомобилях и требования обмена. Заверять документ у нотариуса не надо, так как он начинает действовать непосредственно после его подписания.

Договор дарения

Это наименее используемый способ составления данного типа сделки. Его неудобность заключается в том, что каждой стороне придется оформлять договор дарения на другое лицо, что добавляет немного сложности. Составление договора проходит в привычном порядке: оформляются два документа, каждый из которых обязует сторону передать в свой автомобиль другой стороне сделки. Нотариальная заверка договора дарения не требуется, он начинает действовать непосредственно после его подписания.

Этапы обмена

Участники договора осуществляют добровольный осмотр транспортного средства, проверяют его историю и исправность.

Оформляется один из видов договора, перечисленных выше.
Если стороны обмена пришли к необходимости дополнительной платы, оформляется специальные расписки, подпись которых ставится обеими сторонами.
Документы на машины переоформляются на нового владельца, само авто ставится на учет.

24 ноября 2019

Обмен транспортных средств «ключ в ключ»

30.01.2017

Обмен авто «ключ в ключ» часто сравнивают со схемой trade-in, которая завоевала популярность благодаря быстрому оформлению сделки и экономичности.

Процедура осуществляется посредством оформления договора мены, не включает дополнительных доплат и не требует обязательного снятия с учета транспортного средства.

Обмен «ключ в ключ» происходит после оценки и экспертизы автомобиля, что гарантирует выгоду и «прозрачность» сделки.

Этапы обмена «ключ в ключ»

Поскольку продажа транспортного средства включает дополнительные издержки времени и в некоторых случаях затраты на размещение объявления на платных ресурсах, многие автовладельцы отдают предпочтению обмену.

Схема применима как к бюджетным машинам, так и к автомобилям премиального сегмента.

Стандартная процедура проходит в несколько этапов:

выбор подходящей модели транспортного средства и предварительный осмотр;
тест-драйв;
ознакомление с техническим состоянием и заключением эксперта;
оценка транспортного средства владельца;
заключение договора;
подписание документов и вступление в право собственности.

Схема «ключ в ключ» не подразумевает дополнительных издержек и затрат. Обмен происходит сразу после подписания документов, и каждый автовладелец становится обладателем нового транспортного средства. Как и срочный выкуп авто, процедура занимает минимальное количество времени и включает полное юридическое сопровождение.

Документы для оформления сделки

Чтобы обменять автомобиль по схеме «ключ в ключ», владельцам потребуются:

оригинал паспорта;
договор купли-продажи авто или доверенность, если владелец не является собственником;
ПТС, талон техосмотра, документы, подтверждающие сервисное обслуживание;
свидетельство о регистрации авто;
комплекты ключей.

При осуществлении обмена владельцы могут не снимать транспортное средство с учета. При составлении договора обе стороны подтверждают одинаковую стоимость авто, что позволяет избежать дополнительного налогообложения. Остальные условия фиксируются нормами, которые предусмотрены в Гражданском кодексе РФ и распространяются на сделки купли-продажи.

Если техническое состояние машины не позволяет заключить договор мены, или владелец не нашел подходящего варианта, то специалисты AvtoRoom предложат выгодный выкуп автомобилей в Москве с выездом и Московской области.

Проверить участие авто в дтп
Узнаем основные способы, позволяющие проверить участие приобретаемого авто в дтп. Как получить сведения о повреждениях и причинах аварии? Продажа и покупка авто без птс
Если вы купили авто без ПТС или только планируете это сделать, следует помнить об имеющихся рисках и о том, чем вам это грозит.

Как парень «махнулся машинами ключ на ключ» и остался ни с чем

Тема обменов автомобилей в последние годы стала особенно актуальной. Вместо машин предлагают дома, мобильники и швейцарские часы. Однако подобные сделки могут обернуться неприятностями — так, по крайней мере, случилось с нашим читателем Максимом. «В марте в Борисове обменял свой Rover 75 на BMW 530. Во время оформления в ГАИ кузовной VIN не совпал с данными бортового компьютера, — рассказал автовладелец. — А экспертиза выявила, что ввареный „стакан“ — от другого автомобиля. В итоге BMW арестовали». Началась долгая погоня за прежним транспортным средством. Парень самостоятельно ездил в разные города в попытках найти машину, ведь, по его мнению, сделка обмена недействительна, а Rover должен принадлежать ему. Но седан постоянно менял хозяев. Он и сейчас выставлен на продажу.

Начало проблем

Обмен проходил прямо на трассе — на 57-м километре дороги Слобода — Новосады. «Молодой человек представился Олегом и предложил свой BMW 5-Series вместо моего Rover 75 без доплат, — вспоминает Максим. — Документально сделка никак не была оформлена. Через две недели я направился в регистрационный отдел ГАИ Орши. Там при сверке номеров обнаружили факт подделки одного из идентификационных номеров. Начались проверки, поиски того самого „Олега“. Им оказался житель Борисова по имени Руслан. На опросе мужчина признался: за пару месяцев до обмена он получил BMW, который продавали на запчасти (как раз таки из-за подделки номеров). То есть он знал, что у машины есть проблемы с законом и на учет ее никак не поставить. Как следует из его слов, он обещал самостоятельно продать автомобиль и передать предыдущей владелице вырученные деньги. После в сети Руслан наткнулся на мое предложение обмена „ключ на ключ“ и воспользовался им, никак не предупредив о подделке VIN».

Возвращаемся к последовательной хронологии произошедшего. Молодой человек инициировал разбирательства по факту замененного VIN. Потихоньку раскручивалась длинная цепочка событий с участием автоторговцев из разных городов. Юрий из Гродно попал на BMW в серьезную аварию, остатки разбитой машины продал перекупам. Те озадачились ремонтом и на авторынке в Ждановичах продали «трансформер», собранный из нескольких моделей, Татьяне из Борисова за 6 тысяч долларов. Женщина пыталась вернуть машину в правовое поле, но это было невозможно. Она поехала к Юрию в Гродно, однако тот не узнал автомобиль — другой кузов. В возбуждении уголовного дела Татьяне отказали и повелели доставить BMW на стоянку минской региональной таможни. Тогда женщина решила продать машину на запчасти за 2 тысячи — видимо, чтобы вернуть хоть часть вложенных денег. Позже ее оштрафовали за это. Ну а тут появился Руслан, нашедший человека, согласившегося на обмен, — нашего собеседника.

Заявление написано, но цепочку не остановить

Максим пришел к выводу, что сделка по обмену была заключена с нарушением закона, а следовательно, не является действительной. Он незамедлительно написал заявление на возврат своего Rover. «Но перекуп, наверное, не хотел терять деньги и свои финансовые обороты, поэтому продолжал „крутить“ машинами, — предполагает молодой человек. — Пока действовала милиция, 75-й ушел к новому покупателю. Каким образом (с учетом того, что у него в распоряжении не было копии паспорта моей матери, владелицы Rover) — остается только догадываться. Когда уголовное дело перешло в Борисов, мой автомобиль уже давно был перепродан в Смолевичи за 3 тысячи долларов. Новый хозяин Влад связался с нами для переоформления. Но узнав о проблемах и не желая ввязываться в темную историю, вернул Rover Руслану в обмен на свои деньги. Перекуп же, как я предполагаю, в очередной раз или поменял, или продал мою машину, хотя знал, что она должна быть возвращена хозяину».

«Последующие два месяца я продолжал поддерживать связь с Русланом, а он продолжал мне обещать скорый возврат Rover, — описывает развитие ситуации Максим. — Перекуп сообщил, что моя машина находится в Глубоком, якобы там люди не хотят отдавать ее посреднику, а только мне. Я узнал номер и адрес. Телефон не отвечал. В итоге я отправился в Глубокое, объехал всю указанную улицу, но автомобиля не нашел. В местной милиции сообщили, что ни машины, ни людей таких не знают и не видели».

Потом пришло письмо из РУВД, Максиму не удалось доказать своей правды. В возбуждении уголовного дела по статье «Мошенничество» в отношении Руслана ему отказали. Причина — хищения имущества с умыслом и злоупотреблением доверием как такового не было; обмен автомобилями был равнозначным, без доплат, что не привело к материальному ущербу. А следовательно, речь идет не об уголовном преследовании, а о гражданско-правовых отношениях.

В итоге автовладелец обратился в прокуратуру, обратив внимание, что ущерб все же был причинен (ведь BMW нельзя зарегистрировать): «Там сообщили, что я далеко не первый, кто обращается по поводу действий этого перекупщика. Решили, что проверка проведена не в полной мере, и направили дело на новое рассмотрение. Как бы то ни было, я остался без машины, хотя имею полное право вернуть ее».

Мнение другой стороны

Мы связались с Русланом, чтобы выслушать его позицию по данному делу. Обращаем внимание, что его слова стоит воспринимать с сомнением. «Там разбирается милиция, — подчеркнул мужчина. — Я взял ту BMW, такую же отдал Максиму, ничего с ней не делал. Просто провели обмен, причем Максим сам меня нашел, я не навязывался. Я не представлялся другим именем. Даже в мессенджере, в котором мы переписывались, я подписан как Руслан. О том, что с машиной проблемы, я не знал. Он с друзьями приехал на обмен, осматривали ее со всех сторон, в том числе тот „стакан“. Ему еще парни говорили: смотри, стоит ли брать, много вложений требует (передняя подвеска была убита). Но тот настоял. Я тогда не видел проблем, я не специалист, не криминалист. Докажет, что я виноват, — никаких вопросов. Не докажет — пожалуйста, его машина стоит по определенному адресу, он знает, где она находится. Может приехать и забрать ее. В свое время я покупал BMW в Бресте, там ее не поставили на учет (из-за поддельного номера), а в Борисове поставили и слова не сказали.

Сам я не скрываюсь, не убегаю. После действий Максима я пошел ему навстречу, чтобы не разжигать конфликт: поехал к человеку, которому отдал Rover в обмен на Mercedes CL. Его зовут Сергей. Попросил аннулировать обмен, вернуть 75-й, даже предложил 200 долларов сверху из своего кошелька — за моральный ущерб. Но он не согласился. Не буду же я силой забирать машину, как-то воевать. Предупредил Сергея: могут быть проблемы. Его адрес в Глубоком я и сообщил Максиму и его матери. Они почему-то не захотели туда ехать, насколько знаю. После Сергей начал скрываться, отключать телефон. В этой всей истории именно я оказываюсь в проигрыше. У Максима-то остается BMW, он может вернуть Rover. А у меня BMW арестуют, останусь без денег, потраченных на ее покупку. Тот мужчина, у которого я купил BMW, начал говорить о нехорошей истории только тогда, когда их вызвали в милицию, так что я не был предупрежден. Для меня оптимальный вариант разрешения конфликта — отдать ему Rover (4 тысячи я нигде не найду), а от BMW избавиться, отправить на запчасти. Документы на нее все равно арестованы».

В УГАИ МВД подчеркнули, что слова Руслана не соответствуют действительности, по крайней мере в фразе «Я покупал BMW в Бресте, там ее не поставили на учет (из-за поддельного номера), а в Борисове поставили и слова не сказали». Инспекторы провели проверку, подняли историю BMW: «Автомобиль с указанным VIN был привезен в 2006 году по удостоверению таможни и зарегистрирован в Гродно. Он был поставлен на учет на законных основаниях. Затем машина была повреждена, но документы на нее остались. Из нее вырезали „чашку“ и вварили в другой BMW, временно ввезенный на территорию РБ без прохождения процедуры таможенного оформления. После этого были зафиксированы неоднократные попытки поставить автомобиль на учет (и в Бресте, и в Борисове) — подчеркнем, все закончились неудачей. В ГАИ налажен механизм, при котором невозможен описанный Русланом „маневр“. Признаки вваривания „чашки“ обнаруживались каждый раз».

А где же машина сейчас?

Максим предоставил нам старые фотографии своего Rover 75. Информацию о продаже похожей машины мы нашли среди действующих объявлений на профильном сайте. Колесные диски, некоторые нюансы кузова и салона имеют абсолютное совпадение: потертость на заднем бампере, дырка от тлеющей сигареты на водительском сиденье, способ крепления магнитолы. Только передний бампер и левая фара заменены.

Оказывается, автомобиль «прописался» в Докшицах, на нем установлены новые номера — то есть владельцу каким-то образом удалось поставить его на учет. При этом мать Максима, владелица машины, повторяет, что не передавала копию паспорта. Она обратилась в ГАИ с просьбой провести проверку по факту постановки Rover на учет. Руслан же уверяет, что тоже не знает, как именно это стало возможным. А что же новый хозяин? В объявлении говорится, что его зовут Михаил (не Сергей), указан телефон для связи, правда поговорить с ним не удается — звонок автоматически переадресовывается на голосовую почту абонента, он не перезванивает.

В УГАИ МВД заметили, что постановка на учет Rover была осуществлена законным путем (по счету-справке), посредником стало ЧУП, занимающееся комиссионной торговлей. «Rover был снят с учета женщиной (матерью Максима), — уточнили инспекторы. — Если она подозревает нарушения в продаже, ей необходимо обратиться в правоохранительные органы с заявлением о незаконном завладении имуществом».

Следующий шаг Максима и его матери — иск в суд о признании сделки недействительной. Тогда, как они предполагают, Rover арестуют, его нельзя будет продать, необходимо будет доставить на штрафстоянку. Последнему покупателю — Михаилу из Докшиц — придется самостоятельно разбираться с продавцом.

Юристы напоминают: любые действия, будь то обмен без оформления, передача документов на автомобиль или оформление доверенности в обмен на деньги, «продажа машины по расписке», никакого отношения к купле-продаже ТС не имеют и не порождают юридических последствий ни для покупателя, ни для продавца. Лучшим способом избежать неприятностей называют оформление договора купли-продажи при каждой автомобильной сделке. Есть и другие неприятные последствия, например ответственность за чужую аварию. «Даже если передаете свой автомобиль на некоторое время — оформите доверенность, — говорит юрисконсульт Виктория Сташко. — Эта услуга стоит недорого, но вы обезопасите себя. Если кто-то совершит ДТП, то пусть с него и требуют компенсацию. Иначе будьте готовы возмещать ущерб за чужую аварию. Вы можете дать свою машину лучшему другу на время или передать потенциальному покупателю, договорившись оформить документы по ее продаже позже. Однако если отдадите автомобиль и не оформите хотя бы доверенность, а на нем будет совершено ДТП, отвечать за причиненный вред будете именно вы. При этом в случае продажи машины надо оформлять соответствующие документы — доверенность не заменяет договор купли-продажи».

История Максима — далеко не уникальный случай. Снижение покупательской способности повлекло за собой рост обменов, не требующих крупных сумм «на руках». Проблемы возникают, когда люди хотят вернуть машину. Не так давно мы писали о ситуации в Минске. Один автовладелец хотел сменить на что-нибудь свою Mazda 323, другой — Citroen Xantia. Встретились, обменялись. А когда один из участников сделки захотел вернуть назад свою машину, было уже поздно — ее продали.

Комплекты ксенона в каталоге Onliner.by

Читайте также:

Перепечатка текста и фотографий Onliner.by запрещена без разрешения редакции. [email protected]

Kia Уверен – Сертифицированные автомобили Kia с пробегом

преимущества

Преимущества программы

Программа «Защита от поломок»

Бесплатно восстановить или заменить детали автомобиля, которые признаны проблемными в результате диагностики автомобиля (за исключением деталей, которые не предусматриваются Программой). Произвести работы по послегарантийному ремонту в любом дилерском центре Kia на территории России, который является участником программы.

Тест-драйв на любом сертифицированном автомобиле Kia

Произвести работы по послегарантийному ремонту в любом дилерском центре Kia на территории России, который является участником программы.

Бесплатная техническая диагностика в течение 1 года

После приобретения автомобиля с пробегом, участвующего в программе, владельцу предлагается пройти бесплатную диагностику на дилерском предприятии в течение 1 (одного) года или первых 2000 км после покупки (в зависимости от того, что наступит ранее). Визуальный осмотр автомобиля и подключение диагностического оборудования на предмет выявления ошибок.

Программа «Помощь на дорогах»

Круглосуточная техническая помощь и служба эвакуации автомобиля в случае возникновения неисправности механических, электрических или электронных элементов, которые препятствуют началу или продолжению движения автомобиля в течение 12 месяцев со дня приобретения автомобиля.

Обмен на другой авто в течение 14 дней

Вам предоставляется возможность обменять автомобиль, приобретенный в рамках программы на любой другой Сертифицированный автомобиль Киа с пробегом без объяснения причин в течение 14 дней с момента покупки.

Автомобили без ДТП

Без повреждений и ремонтов кузова и систем безопасности. Автомобили не принимали участие в ДТП, повлиявшие на изменение геометрии параметров кузова.

ключ в ключ, на участок, с доплатой и без, с доверенностью

Рано или поздно у большинства автомобилистов возникает потребность сменить свою машину, и они задумываются, каким способом это лучше сделать. Существует всего две возможности: продать старую и купить вместо нее новую либо обменять.

Каждый из этих вариантов по-своему привлекателен, поэтому перед принятием решения надо во всем разобраться. И сегодня мы в деталях разберем нюансы обменов подержанного легкового автомобиля на подержанный, на новый в автосалоне, с доплатой и без, и, даже, обмен машины на участки земли и другую недвижимость.

Преимущества и недостатки сделки перед куплей-продажей

Практика обмена своего автомобиля на другой набирает все больше сторонников. Этому способствуют лежащие на поверхности преимущества:

Возможность получить новый для себя автомобиль бесплатно или с небольшой доплатой разницы в цене.
Участники обмена одновременно получают новый автомобиль и избавляются от старого.
Минимальное количество необходимых для проведения сделки документов.
Простота процедуры. В ней участвуют только двое.
Возможность в случае обоюдного согласия завершить сделку максимально быстро.
Больший выбор. На вторичном автомобильном рынке можно подобрать интересующую модель даже в том случае, если ее выпуск уже прекращен.

Но прежде чем затевать обмен, не лишне вспомнить и о его недостатках:

При обмене сложно подобрать равноценную машину. Чаще всего кому-то приходится доплачивать.
При сделке с частными лицами всегда присутствуют риски столкнуться с мошенничеством.
Трудности с диагностикой технического состояния обмененной машины.
Трудно подобрать авто нужной комплектации.

Об обмене авто и нормах законодательства расскажет этот видеоролик:

Способы обмена авто

Но если вы все-таки остановились на варианте с обменом, то перед тем, как приступить к делу, надо определиться со способом. Их достаточно много и у каждого свои нюансы.

Трейд-ин

Это программа обмена старого авто на новое. Еще одно название – обмен машины через автосалон. Для того чтобы претворить его в жизнь, надо выполнить следующие действия:

Выбрать автосалон, с которым вы готовы иметь дело.
Передать свой автомобиль для диагностики и оценки.
Согласовать оценочную стоимость.
Выбрать новый автомобиль и заключить договор с автосалоном.
Оплатить разницу и забрать новое авто.
Не забыть о регистрации в ГИБДД.

Это самый безопасный вариант обмена. Но с другой стороны и самый затратный, так как салоны максимально занижают оценочную стоимость вашего авто. Впрочем, если вы хотите быстро сдать старое авто в обмен на новое, то вариант весьма привлекателен.

О преимуществах и недостатках обмена старого авто на новое по трейд-ин расскажет это видео:

Ключ в ключ

Обмен авто ключ в ключ осуществляется через договор мены без доплаты.

Его могут совершать как физические, так и юридические лица.
Трудность только в том, что надо найти равноценный вариант.
Характерен минимальным количеством документов, требующихся для совершения сделки.
Договор можно составить в произвольной форме. Заверять у нотариуса необязательно.
Но вот проверить историю машины на предмет участия в ДТП, неоплаченных штрафов и нахождения под залогом надо.

С доплатой

При разнице в оценочной стоимости машин одному из участников обмена придется доплатить. В этом случае в договоре мены указывается стоимость каждой из автомашин и величина доплаты.

При оплате «налом» желательно потребовать расписку. Из особенностей – это необходимость оплаты подоходного налога с суммы доплаты.

По доверенностям

Никакие документы на обмен не оформляются. Вместо этого одновременно с обменом авто происходит обмен доверенностями. Это очень ненадежный способ, так как право собственности на авто остается у старого владельца. Поэтому ответственность за все неприятности (штрафы, участие в ДТП) будет лежать на нем.

О рисках покупки и обмена авто по доверенности расскажет данный видеосюжет:

По договорам на покупку

Участники обмена одновременно заключают между собой встречные договора на покупку машин друг у друга. Это надежная схема, сводящая к минимуму возможности мошенничества, но при этом подоходный налог придется заплатить каждому.

Риски и опасности

При совершении сделки по обмену авто возможные риски превышают существующие при покупке новой машины. Их можно условно разделить на три группы:

Связанные с невозможностью правильно оценить техническое состояние автомашины, получаемой в обмен.
Необходимостью объективной оценки, связанной с юридической чистотой авто. Надо выяснять: нет ли у машины криминального прошлого, участия в ДТП, отсутствие или наличие штрафов, кредитов и нахождение под залогом.
Техническим исполнением процедуры обмена.

Как обезопасить себя

Для того чтобы оградить себя от последствий неудачного обмена, важно придерживаться ряда правил:

Перед обменом внимательно осмотреть машину, желательно на улице в светлое время суток. Проверять надо не только кузов, но и салон. Машина должна быть чистой, так как грязь может скрыть дефекты. Проверить работу двигателя и всех систем.
Внимательно просмотреть всю документацию. Если ПТС не заводской и не выдан на таможне, то возможен криминал.
Сличить VIN-код. Это самая надежная идентификация.
Постараться всеми возможными способами проверить юридическую чистоту авто.
При заключении договора мены заверить его у нотариуса.
Любая передача денег должна сопровождаться распиской.

Вернуться к началу

Полный жизненный цикл ключей

Жизненный цикл ключа шифрования, определенный NIST как имеющий предоперационный, рабочий, постоперационный этапы и этапы удаления, требует, помимо прочего, чтобы для каждого ключа был определен рабочий период шифрования. Криптопериод — это «промежуток времени, в течение которого разрешается использование определенного ключа», и в Разделе 5.3 Руководства NIST криптопериод определяется (например, с симметричным ключом) путем объединения расчетного времени, в течение которого будет выполняться шифрование. применяется к данным (O Riginator Usage Period (OUP) ) и время, когда они будут расшифрованы для использования (Ecipient Usage Period (RUP) R ).

Итак, например:
предположим, что база данных зашифрована и в нее добавляются элементы на следующие 6 месяцев. Потом:
Уже 2 года базу просматривают и авторизованные пользователи. Потом:
RUP составляет 2 года (и полностью совпадает с OUP)
Следовательно, период шифрования будет равен 2 годам, и ключ шифрования должен быть активен в течение этого времени.

Но, поскольку организация может разумно желать шифровать и расшифровывать одни и те же данные в течение многих лет, при факторинге периода криптографии могут играть роль другие факторы:

Вы можете ограничить:

«количество информации, защищенной данным ключом»
«степень воздействия, если один ключ скомпрометирован»
«время, доступное для попыток проникновения в физический, процедурный и логический доступ»
«период, в течение которого информация может быть скомпрометирована в результате непреднамеренного раскрытия»
«время, доступное для ресурсоемких криптоаналитических атак»

Это можно свести к нескольким ключевым вопросам:
Как долго будут использоваться данные
Как используются данные
Сколько там данных
Насколько конфиденциальны данные
Какой ущерб будет нанесен при раскрытии данных или потере ключей
Общее правило: по мере увеличения секретности защищаемых данных время жизни ключа шифрования уменьшается.
Учитывая это, ваш ключ шифрования может иметь активный срок службы короче, чем доступ авторизованного пользователя к данным. Это означает, что вам нужно будет заархивировать деактивированные ключи и использовать их только для расшифровки. После того, как данные были расшифрованы старым ключом, они будут зашифрованы новым ключом, и со временем старый ключ больше не будет использоваться для шифрования / дешифрования данных и может быть удален. (см. рисунок ниже)
См. Ниже для более полного понимания полного жизненного цикла ключей.
Создание ключа (генерация и предварительная активация)
Ключ шифрования создается и сохраняется на сервере управления ключами. Диспетчер ключей создает ключ шифрования с помощью криптографически безопасного генератора случайных битов и сохраняет ключ вместе со всеми его атрибутами в базе данных хранилища ключей. Атрибуты, хранящиеся с ключом, включают его имя, дату активации, размер, экземпляр, возможность удаления ключа, а также его перенос, зеркальное отображение, доступ к ключу и другие атрибуты.Ключ может быть активирован при его создании или настроен на автоматическую или ручную активацию позже. Диспетчер ключей шифрования должен отслеживать текущие и прошлые экземпляры (или версии) ключа шифрования. У вас должна быть возможность выбрать, можно ли удалить ключ, зеркально отобразить его в блоке переключения при отказе, а также какие пользователи или группы могут получить к нему доступ. Ваш менеджер ключей должен позволять администратору изменять многие атрибуты ключа в любое время.
Использование ключа и ролловер (активация после активации)

Диспетчер ключей должен позволять авторизованным системам и пользователям извлекать активированный ключ для процессов шифрования или дешифрования.Он также должен легко управлять текущими и прошлыми экземплярами ключа шифрования. Например, если новый ключ генерируется, а старый деактивируется (или обновляется) каждый год, то диспетчер ключей должен сохранять предыдущие версии ключа, но выдавать только текущий экземпляр и активировать предыдущие версии для процессов дешифрования. Предыдущие версии все еще можно получить, чтобы расшифровать данные, зашифрованные с помощью таких версий ключа. Диспетчер ключей также будет обновлять ключ либо по заранее установленному расписанию, либо разрешает администратору вручную проверять ключ.
Отзыв ключа
Администратор должен иметь возможность использовать диспетчер ключей для отзыва ключа, чтобы он больше не использовался для запросов на шифрование и дешифрование. При необходимости отозванный ключ может быть повторно активирован администратором, чтобы в некоторых случаях ключ можно было использовать для расшифровки данных, ранее зашифрованных с его помощью, например, старых резервных копий. Но даже это можно ограничить.
Резервное копирование (Escrow)
NIST (раздел 8.3.1) требует, чтобы архив был сохранен для деактивированных ключей.Архив должен «защищать заархивированный материал от несанкционированного [раскрытия,] изменения, удаления и вставки». Ключи шифрования должны быть «восстанавливаемыми … после окончания криптопериода» и «система должна быть спроектирована так, чтобы позволять реконструкцию» ключей, если их необходимо повторно активировать для использования при расшифровке данных, которые были однажды зашифрованы.
Удаление ключа (разрушение)
Если ключ больше не используется или был каким-то образом скомпрометирован, администратор может полностью удалить ключ из базы данных хранилища ключей диспетчера ключей шифрования.Вернуться к началу
Раздельные роли в управлении ключами

Разделение обязанностей
В «Рекомендации по управлению ключами — Часть 2» NIST определяет разделение обязанностей как:
Принцип безопасности, согласно которому важные функции распределяются между разными сотрудниками в попытке гарантировать, что ни у кого нет достаточной информации или прав доступа для совершения вредоносного мошенничества.
Практика разделения обязанностей снижает вероятность мошенничества или должностных преступлений, разделяя соответствующие обязанности по критическим задачам между разными лицами в организации.Это обычное дело в финансовых и бухгалтерских процедурах большинства организаций. Например, человек, который печатает чеки в компании, не будет подписывать чеки. Точно так же человек, подписывающий чеки, не будет сверять банковские выписки. Компания должна обеспечить, чтобы критически важные для бизнеса обязанности были разделены на четыре типа функций: авторизация, хранение, ведение документации и согласование. В идеальной системе никто не должен выполнять более одного типа функций.
Что касается практики информационной безопасности, реализация разделения обязанностей имеет решающее значение в области управления ключами шифрования. Чтобы предотвратить нежелательный доступ к защищенным данным, важно, чтобы человек, который управляет ключами шифрования, не имел возможности доступа к защищенным данным, и наоборот. Сделать это в контексте информационных технологий не сложнее, чем в контексте финансов, но в сложных компьютерных системах часто упускается из виду или неправильно понимается.

Двойное управление
Опять же, NIST в Рекомендации по управлению ключами — Часть 2 определяет двойное управление:
Процесс, который использует два или более отдельных объекта (обычно лиц), действующих совместно для защиты конфиденциальных функций или информации.Ни одна организация не может получить доступ к материалам, например, криптографическим ключам, или использовать их.
В то время как разделение обязанностей подразумевает распределение различных частей процесса между разными людьми, двойное управление требует, чтобы как минимум два или более человека контролировали один процесс.
В практике защиты данных часто встречаются требования для двойного контроля функций управления ключами шифрования. Поскольку система управления ключами может хранить ключи шифрования для нескольких приложений и бизнес-объектов, защита ключей шифрования является критически важной.

Разделение знаний
Концепция Split Knowledge применяется к любому доступу или обработке незащищенного криптографического материала, такого как ключи шифрования или парольные фразы, используемые для создания ключей шифрования, и требует, чтобы никто не знал полного значения ключа шифрования. Если для создания ключей шифрования используются парольные фразы, никто не должен знать парольную фразу полностью. Скорее, два или более человека должны знать только часть парольной фразы, и все они должны присутствовать, чтобы создать или воссоздать ключ шифрования.Вернуться к началу
Домены для защиты ключей шифрования
Физическая охрана
Многие, говоря о защите диспетчера ключей, естественно обращаются к защите самого диспетчера ключей с помощью аппаратного модуля безопасности (HSM). Хотя это необходимая тема (и мы ее обсудим), мы должны сначала поговорить о защите физической среды, в которой находится ваш ключевой менеджер.
В специальной публикации NIST 800-14 предлагается следующее определение физической безопасности:
«Меры обеспечения физической и экологической безопасности» должны быть «внедрены для защиты ресурсов системы размещения объекта, самих ресурсов системы и объектов, используемых для поддержки их работы.”
План физической безопасности организации должен включать в себя такие вещи, как:
Контроль физического доступа: ограничивает доступ к критически важным системам, включая места подключения проводов к системе, как можно меньшему количеству людей.
Порты: В стандарте FIPS 140-2 отмечается, что в случае отправки ключей шифрования с открытым текстом физические порты должны быть выделены только для этой цели, а все другое использование исключено для криптографических модулей уровня 3 и 4.
Пожарная безопасность: убедитесь, что во всех физических средах, в которых находится система, есть адекватные и действующие системы пожаротушения.
Структурная целостность: гарантирует, что все физические среды, в которых находится система, соответствуют текущим землетрясениям, наводнениям и снеговой нагрузке в соответствии с нормативными требованиями кровли.
Отказ коммунальных служб: Могут возникнуть неисправности в таких системах, как электричество, кондиционирование воздуха и отопление. Убедитесь, что каждый из них работает должным образом, с резервными копиями, если это необходимо.
Перехват данных: убедитесь, что вся передача конфиденциальных данных должным образом зашифрована с помощью открытых / закрытых ключей.
Управление мобильными устройствами: все устройства, которые могут получить удаленный доступ к системе, должны быть каталогизированы и управляться в базе данных разрешений.
Теперь займемся защитой самого криптографического модуля. Федеральные стандарты обработки информации (FIPS) определили четыре уровня повышения безопасности в FIPS 140-2, которые могут быть применены к модулю, каждый из которых соответствует соответствующему уровню угрозы:
Уровень 1: «В криптографическом модуле уровня безопасности 1 не требуются какие-либо специальные механизмы физической безопасности, помимо базовых требований для компонентов производственного уровня.… Уровень безопасности 1 позволяет программному обеспечению и программным компонентам криптографического модуля выполняться в вычислительной системе общего назначения с использованием неоцененной операционной системы ».
Уровень 2: «усиливает механизмы физической безопасности криптографического модуля уровня безопасности 1, добавляя требование о защите от несанкционированного доступа, которое включает использование защитных покрытий или пломб, а также противовзломных замков на съемных крышках или дверях. модуля ».
Уровень 3: «пытается помешать злоумышленнику получить доступ к [Критическим параметрам безопасности (CSP)], хранящимся в криптографическом модуле…. Механизмы физической безопасности могут включать использование прочных корпусов и схемы обнаружения / реагирования на несанкционированный доступ, которая обнуляет все CSP с открытым текстом при открытии съемных крышек / дверей криптографического модуля ».
Уровень 4: «обеспечивает наивысший уровень безопасности, определенный в этом стандарте. На этом уровне безопасности механизмы физической безопасности обеспечивают полную защиту криптографического модуля с целью обнаружения и реагирования на все несанкционированные попытки физического доступа.Проникновение в оболочку криптографического модуля с любого направления имеет очень высокую вероятность быть обнаруженным, что приводит к немедленному обнулению всех CSP открытого текста ».
Как проверяется диспетчер ключей шифрования
Каждый доступный продукт для защиты данных заявляет о превосходной функциональности или защите данных. Но при защите конфиденциальных данных организации должны иметь уверенность в том, что заявленные требования безопасности продукта действительны.Это, безусловно, верно, когда речь идет о диспетчере ключей шифрования. Чтобы решить эту проблему, NIST разработал систему для проверки криптографических модулей и обеспечения их соответствия стандартам FIPS 140-2. Вот шаги, которые должен предпринять поставщик диспетчера ключей шифрования, чтобы продемонстрировать полное соответствие:
Сначала они заключат договор с аккредитованной лабораторией, которая успешно прошла Национальную программу добровольной аккредитации лабораторий (NVLAP), для проведения «адекватного тестирования и проверки криптографического модуля и лежащих в его основе криптографических алгоритмов на соответствие установленным стандартам» для поиска «слабых мест» например, плохой дизайн или слабые алгоритмы.”
Затем аккредитованная лаборатория проведет Программу проверки криптографических алгоритмов (CAVP). В рамках этого тестирования они предоставят «валидационное тестирование одобренных FIPS и рекомендованных NIST криптографических алгоритмов и их отдельных компонентов».
После того, как это тестирование будет завершено и диспетчер ключей будет соответствовать всем стандартам, лаборатория перейдет к тестированию программы проверки криптографических модулей (CMVP). «Лаборатории используют Производные требования к тестированию (DTR), Руководство по внедрению (IG) и применимое программное руководство CMVP для тестирования криптографических модулей на соответствие применимым стандартам.”
Наконец, как только было показано, что диспетчер ключей шифрования соответствует всем стандартам FIPS 140-2, независимая лаборатория выдает сертификат проверки FIPS 140-2, а криптографический модуль помещается в список поставщиков FIPS 140-1 и FIPS 140-2. .
Безопасность логического доступа
Следующая область, на которой вы можете защитить свои ключи шифрования, — это логическое разделение различных криптографических компонентов, содержащих ключи, от остальной части более крупной сети.Необходимо учитывать три основных момента:
Интерфейсы: В FIPS 140-2, раздел 4.2, он дает следующие критерии необходимости разделения логических интерфейсов:
Уровень 1 и 2: «логические интерфейсы, используемые для ввода и вывода криптографических ключей с открытым текстом, компонентов криптографических ключей, данных аутентификации и CSP, могут использоваться физически и логически совместно с другими портами и интерфейсами криптографического модуль ».
Уровень 3 и 4: «логические интерфейсы, используемые для ввода и вывода компонентов криптографического ключа открытого текста, данных аутентификации и CSP, должны быть логически отделены от всех других интерфейсов с использованием доверенного пути.”
DEK из зашифрованных данных: В средах уровня 1, где диспетчер ключей шифрования не находится в физически отделенном HSM, следует логически отделить DEK от зашифрованных данных. Это эффективно предотвращает использование DEK (ов) для расшифровки данных в случае, если неавторизованные пользователи получат доступ к конфиденциальному материалу.
KEK из DEK: В диспетчере ключей шифрования KEK должны быть логически отделены от DEK.Это гарантирует, что, хотя DEK базы данных будут скомпрометированы, они будут выведены из строя, поскольку KEK находится в логически отдельном месте от DEK.
Доступ пользователей / ролей
После рассмотрения вопросов физической безопасности и логической безопасности последним компонентом будут роли и привилегии пользователей. Основная концепция, провозглашенная NIST, — это концепция минимальных привилегий: где вы ограничиваете «права доступа уполномоченного персонала (например, привилегии выполнения программы, привилегии изменения файлов) до минимума, необходимого для выполнения их работы.
NIST дает руководство в Разделах 5.3.5 Рекомендации по управлению ключами — Часть 2, по средствам управления доступом и привилегиям, необходимым для правильного управления доступом пользователей к системе управления ключами.
Задокументируйте и укажите, какие роли в организации будут иметь право доступа к KMS и на каком уровне.
Какие функции будет выполнять роль (например, создание, обработка, распространение, хранение, удаление).
Какие средства аутентификации будут использоваться (т.е. пароли, личные идентификационные номера, биометрические данные и срок их действия).
Помимо ограничения доступа к серверу управления ключами, вы также должны ограничить доступ к самим ключам в зависимости от пользователя и группы. Доступ пользователей и групп может быть определен на системном уровне или на уровне каждого ключа. При создании ключа вы можете определить ограничения на доступ пользователей и групп. В качестве примера: на сервере управления ключами имеется ключ шифрования AES, используемый для защиты личных данных сотрудника.Он ограничен, поэтому только члены группы отдела кадров могут использовать этот ключ. Таким образом, любой человек с «человеческими ресурсами», определенным как их индивидуальная или групповая роль, может успешно запросить этот ключ, все остальные будут отвергнуты.
Высокая доступность и непрерывность бизнеса
Если у вас есть физическая безопасность, логическая безопасность и роли пользователей, вы также должны учитывать непрерывность бизнеса. Если злоумышленник действительно содержит ваши данные или ваши производственные серверы отключены по разным причинам, вы должны иметь возможность вернуться в норму за относительно короткое время с помощью заранее предписанных шагов.Вот несколько определений, с которых мы начнем:
Непрерывность бизнеса: Согласно определению ISO 22301: 2012 (раздел 3.3), это «способность организации продолжать поставки продуктов или услуг на приемлемых» уровнях после « подрывной инцидент ».
Горячее аварийное переключение: В сетевой среде горячее аварийное переключение переключается на резервный сервер, который регулярно обновляется с производственного сервера и готов в любое время, если производственный сервер больше не сможет нормально функционировать для любого протяженность времени.
В случае управления ключами каждый производственный сервер управления ключами должен быть зеркалирован с сервером высокой доступности в географически отдельном месте на случай, если производственный сервер скомпрометирован и отключен на любой период времени. В качестве сокращенного списка, вот некоторые функции, которые следует искать в решениях для управления ключами, или то, что вы захотите использовать, если создадите свое собственное:
Аппаратное обеспечение — диски RAID с горячей заменой
Аппаратное обеспечение — источники питания с двойным резервированием
Аппаратное обеспечение — независимые сетевые интерфейсы
Зеркальное отображение сервера защищенных ключей Active-Active
Активно-пассивное зеркальное отображение сервера защищенных ключей
Дублирование ключей в реальном времени
Зеркальное отображение политики доступа в реальном времени
Проверка целостности диспетчера ключей при запуске
Проверка целостности извлечения ключа
^ В начало
Платформы для размещения ключевого менеджера
HSM
Аппаратный модуль безопасности (HSM) уже обсуждался в разделе «Физическая безопасность», в основном называемый «криптографическим модулем».Но, если резюмировать, HSM обычно представляет собой сервер с разными уровнями защиты или «упрочнения», который предотвращает взлом или потерю. Их можно резюмировать как:
Контроль вскрытия: Добавление защитных покрытий или пломб на винты или замки на все съемные крышки или двери
Защита от несанкционированного доступа: с добавлением «схемы обнаружения / реагирования на несанкционированное вмешательство», которая стирает все конфиденциальные данные, такие как DEK и KEK.
Защита от несанкционированного доступа: полное упрочнение модуля с помощью винтов и замков с защитой от несанкционированного вскрытия, а также высочайшая чувствительность к «схемам обнаружения / реагирования на несанкционированный доступ», которые стирают все конфиденциальные данные.
Размещенный HSM
Поскольку многие организации переводят некоторые или все свои операции в облако, возникает необходимость переноса средств безопасности.Хорошая новость: многие поставщики услуг по управлению ключами заключили партнерские отношения с поставщиками облачного хостинга для установки традиционных HSM в облачных средах. Те же уровни «упрочнения» по-прежнему будут применяться, поскольку это традиционный HSM во внеплощадочной среде.
Виртуальный
Виртуальные экземпляры диспетчера ключей шифрования предлагают гораздо большую гибкость, чем их аналоги HSM. Во многих случаях диспетчер виртуальных ключей можно загрузить у поставщика за считанные минуты и развернуть в виртуальной среде.С другой стороны, доставка HSM на объект может занять несколько дней или недель, а затем потребуется физическая установка. Кроме того, виртуальные экземпляры можно установить в любом месте, которое поддерживает виртуальную платформу, на которой работает диспетчер ключей, например VMware.
Обратной стороной, конечно же, является то, что по своей природе виртуальный без установленных физических компонентов программное обеспечение диспетчера виртуальных ключей может быть только совместимо с FIPS 140-2, но не пройти валидацию. Итак, если для вашего бизнеса или нормативных требований требуется проверка FIPS 140-2, то HSM — ваш единственный вариант.
При этом логической безопасности, которую обеспечивают менеджеры виртуальных ключей, соответствующие стандарту FIPS 140-2, обычно более чем достаточно для большинства потребностей организации.
AWS, Microsoft Azure и другие: выделенный или «как услуга»
Облачные провайдеры, такие как Amazon Web Services (AWS), Microsoft Azure (Azure) и другие, имеют предложения на рынке для управления ключами шифрования, а также собственное управление ключами как услугу (KMaaS). AWS и KMaaS Azure обычно являются мультитенантными, что означает, что в одном экземпляре управления ключами присутствует несколько ключей пользователя.Это может вызвать беспокойство у организаций, которым требуются специализированные сервисы для снижения проблем безопасности со стороны других пользователей, обращающихся к тем же самым хранилищам данных.
Для решения этой проблемы большинство облачных провайдеров также предлагают специализированные услуги. В начало
Управление ключами шифрования в соответствии с требованиями
PCI DSS
Стандарт безопасности данных индустрии платежных карт (PCI DSS) — это широко принятый набор правил, предназначенный для защиты транзакций с кредитными, дебетовыми и наличными картами, а также данных держателей карт.PCI DSS требует, чтобы продавцы защищали конфиденциальную информацию о держателях карт от потери и использовали передовые методы обеспечения безопасности для обнаружения и защиты от нарушений безопасности.
В разделе 3.5 стандарта стандарта PCI DSS организации, которые обрабатывают, хранят или передают данные о держателях карт, должны «задокументировать и внедрить процедуры для защиты ключей, используемых для защиты хранимых данных о держателях карт, от раскрытия и неправомерного использования». Это включает:
поддержание «документированного описания криптографической архитектуры», используемого для защиты данных
, ограничивающий «доступ к криптографическим ключам минимальному количеству необходимых хранителей»
всегда хранит ключи шифрования «в одной (или нескольких) из следующих форм:»
зашифровать ключ шифрования данных с ключом шифрования ключа
в защищенном криптографическом устройстве
Аналогично, Раздел 3.6 требует, чтобы вы «полностью документировали и реализовали все процессы и процедуры управления ключами для криптографических ключей, используемых для шифрования данных держателей карт». Это включает в себя:
создание криптостойких ключей шифрования
безопасная раздача ключей
безопасное хранилище ключей
установка криптопериодов для всех ключей
удаление и уничтожение ключей
HIPAA HITECH
Закон о переносимости и подотчетности медицинского страхования (HIPAA) и Закон о медицинских информационных технологиях для экономического и клинического здоровья (HITECH) стремятся к более широкому внедрению и значительному использованию информационных технологий в области здравоохранения.В обоих также изложены руководящие принципы и правила для надлежащей защиты данных в отношении защищенной электронной информации о здоровье (ePHI). Соблюдение правил безопасности HIPAA и правил конфиденциальности HIPAA для ePHI требует использования технологий безопасности и передового опыта для демонстрации решительных усилий по соблюдению этого федерального постановления.
SOX
Закон Сарбейнса-Оксли (SOX) был принят для защиты инвесторов от возможности мошенничества со стороны корпораций в области бухгалтерского учета.Закон Сарбейнса-Оксли (SOX) требует проведения строгих реформ для улучшения раскрытия финансовой информации корпорациями и предотвращения мошенничества в бухгалтерском учете. Разделы 302, 304 и 404 Закона Сарбейнса-Оксли предписывают организациям создавать, поддерживать и ежегодно отчитываться о безопасности данных и внутреннем контроле, которые используются для защиты своих конфиденциальных данных от неправомерного использования и мошенничества.
Альянс облачной безопасности
Хотя Cloud Security Alliance не является государственным учреждением, которое может взимать штрафы за несоблюдение их стандартов, это некоммерческая организация, состоящая из поставщиков облачных услуг, пользователей и экспертов по безопасности, чья миссия — «Продвигать использование передовой опыт обеспечения безопасности в облачных вычислениях и обучение использованию облачных вычислений для обеспечения безопасности всех других форм вычислений.«В настоящее время у них более 80 000 членов, и их число продолжает расти. Таким образом, соответствие их стандартам отвечает интересам многих компаний по всему миру.
В рамках этой миссии организация опубликовала документ «Руководство по безопасности для критически важных областей облачных вычислений», чтобы помочь поставщикам и клиентам создавать более безопасные приложения в облачных средах. Опубликованное руководство сейчас в своем третьем издании и доступно на веб-сайте организации. Руководство предоставляет рекомендации по управлению ключами шифрования в разделе «Домен 11 — Шифрование и управление ключами».
Домен 11 — Шифрование и управление ключами
Вот три основных момента, которые CSA подчеркивает для управления ключами шифрования:
Безопасность хранилищ ключей. Хранилища ключей должны быть защищены сами по себе, как и любые другие конфиденциальные данные. Они должны быть защищены при хранении, транспортировке и резервном копировании. Неправильное хранение ключей может привести к компрометации всех зашифрованных данных.
Доступ к ключевым хранилищам. Доступ к хранилищам ключей должен быть ограничен объектами, которым конкретно нужны отдельные ключи.Также должны быть политики, управляющие хранилищами ключей, которые используют разделение ролей для помощи в управлении доступом; сущность, использующая данный ключ, не должна быть сущностью, которая хранит этот ключ.
Резервное копирование ключей и возможность восстановления. Потеря ключей неизбежно означает потерю данных, которые эти ключи защищают. Хотя это эффективный способ уничтожения данных, случайная потеря ключей, защищающих критически важные данные, будет иметь разрушительные последствия для бизнеса, поэтому необходимо внедрять безопасные решения для резервного копирования и восстановления.
Вот список их требований к шифрованию и управлению ключами:
«Чтобы поддерживать передовой опыт … организации следует управлять своими ключами на собственном предприятии или в надежной службе».
«Ключи, используемые в существующей технологии шифрования … должны управляться централизованной внутренней по отношению к предприятию технологией хранения ключей».
«Управляйте ключами, используемыми криптографическими процессами, используя привязку криптографических операций.”
«Привязка криптографических операций и управления ключами к корпоративным системам идентификации предоставит организации наиболее гибкую интеграцию».
GDPR ЕС
Новый Общий регламент ЕС по защите данных (EU GDPR) был принят Советом ЕС и парламентом и заменяет ранее действовавшую Директиву о защите данных (Директива 94/46 / EC). В Положении 83 говорится:
Для обеспечения безопасности и предотвращения обработки в нарушение настоящего Регламента контролер или процессор должен оценить риски, присущие обработке, и принять меры по снижению этих рисков, такие как шифрование.
Статья 32 также призывает к «псевдонимизации и шифрованию личных данных». Если организация делает это, статья 34 гласит, что строгие законы о раскрытии информации о нарушениях данных статьи 33 не будут применяться, если:
контролер реализовал соответствующие технические и организационные меры защиты, и эти меры были применены к персональным данным, затронутым утечкой персональных данных, в частности к тем, которые делают персональные данные непонятными для любого лица, не имеющего разрешения на доступ к ним, например как шифрование.Вернуться к началу
Бонусный контент
Краткая история — необходимость управления ключами шифрования
Шифрование существует уже тысячелетия. Некоторые из самых ранних упоминаний о нем взяты из Арташастры, трактата об имперском управлении Индии, написанного во II веке до нашей эры. В нем описывается передача сообщений государственным шпионам «секретным письмом». Позже, и, возможно, наиболее известной формой древнего шифрования, Юлий Цезарь отправлял сообщения своим генералам на фронте в коде.Известный как шифр Цезаря, это:
«подстановочный шифр, в котором каждая буква в открытом тексте« сдвигается »на определенное количество разрядов вниз по алфавиту. Например, при сдвиге 1 A будет заменено на B, B станет C и так далее ».
К несчастью для Цезаря и к счастью для его противников, когда шифр известен, все сообщения могут быть легко прочитаны. Таким образом, делая шифр бесполезным. Должен быть способ получше.
Перенесемся в эпоху электроники.В 1921 году Эдвард Хеберн запатентовал Hebern Electric Super Code Cipher Machine. Он первым закодировал сообщение секретным ключом, встроенным в съемный ротор. В недавно рассекреченных документах АНБ показало, что машина зашифровывала сообщение, заставляя оператора вводить сообщение, и зашифрованный текст появлялся на световой доске, по одной букве за раз.
Но поскольку ключ шифрования был ограничен использованием одного ротора, состоящего из 26 точек схемы, в конечном итоге он был взломан криптоанализом, в частности частотами букв.
Настоящим скачком вперед стала Enigma Machine времен Второй мировой войны, разработанная немцами в 1920-х годах. В нем использовалось три ротора, и он считался небьющимся, поскольку немцы во время войны меняли роторы один раз в день, «давая на выбор 159 миллионов миллионов миллионов возможных настроек», — оценивает Блетчли Парк.
Но машина Enigma была взломана поляками в 1932 году с помощью математических методов. Позже эта ранняя работа была использована для чтения зашифрованных сообщений во время Второй мировой войны, в частности, Аланом Тьюрингом (в Блетчли-парке) и использованием новейших на тот момент компьютеров для обработки данных.
Безопасная отправка сообщений прошла долгий путь от простых подстановочных шифров. Ключи теперь использовались, но их можно было взломать с помощью грубой силы новейших компьютеров. Введите: Стандарт шифрования данных.
Впервые опубликованный как стандарт FIPS 46 в 1977 году, в 1987 году правительство США в соответствии с Законом о компьютерной безопасности обязало Национальный институт стандартов и технологий (NIST) выпустить стандарт шифрования данных (DES), в котором он «определяет два Криптографические алгоритмы, одобренные FIPS.Он также требовал, чтобы «ключ DES состоял из 64 двоичных цифр (« 0 »или« 1 »), из которых 56 битов генерируются случайным образом и используются непосредственно алгоритмом. Остальные 8 бит, которые не используются алгоритмом, могут использоваться для обнаружения ошибок ».
DES в то время считался очень безопасным. Но не прошло и десятилетия, как компьютеры стали экспоненциально быстрее, ключи DES быстро стали уязвимы для атак методом грубой силы.
Было предложено два варианта решения проблемы примерно в одно и то же время.Первым, представленным в 1997 году, был алгоритм тройного шифрования данных (TDEA) или, как его чаще называют, стандарт тройного шифрования данных (3DES). Как NIST описывает криптографическую технику:
[3DES] шифрует каждый блок три раза с помощью алгоритма DES, используя два или три различных 56-битных ключа. Такой подход дает эффективную длину ключа 112 или 168 бит
Но 3DES, использующий только 112 бит, все еще уязвим для атак, таких как атаки с выбранным открытым текстом.Кроме того, поскольку 3DES представляет собой многоэтапный процесс шифрования с использованием двух или трех ключей шифрования, требовался более надежный и эффективный метод.
В 1997 году NIST начал процесс поиска замены DES. NIST пригласил специалистов по криптографии и безопасности данных со всего мира для участия в процессе обсуждения и отбора. Для изучения были приняты пять алгоритмов шифрования. В результате консенсуса был выбран алгоритм шифрования, предложенный бельгийскими криптографами Джоан Дэеман и Винсент Риджмен.До выбора Даеман и Риджмен использовали имя Rijndael (производное от их имен) для алгоритма. После принятия алгоритм шифрования получил название Advanced Encryption Standard (AES), которое сегодня широко используется.
В 2000 году NIST официально принял алгоритм шифрования AES и опубликовал его в качестве федерального стандарта под обозначением FIPS-197. Шифрование AES использует один ключ как часть процесса шифрования. Ключ может иметь длину 128 бит (16 байтов), 192 бит (24 байта) или 256 бит (32 байта).Учитывая, что самому быстрому компьютеру потребуются миллиарды лет для обработки каждой перестановки 256-битного ключа, AES считается чрезвычайно безопасным стандартом шифрования.
Это подводит нас к сегодняшнему дню. AES — это очень сложный стандарт шифрования с ключом шифрования, способный выдержать натиск самых быстрых компьютеров. Это всего лишь уязвимость? Ключи шифрования попали в чужие руки. Вот почему после того, как вы развернули шифрование, лучшим средством защиты будет надежная стратегия управления ключами шифрования.
Протокол обмена ключами
— обзор
Необходимость в удобных для пользователя решениях на основе паролей
Все методы, описанные до сих пор, имеют общее свойство: является ли материал долгосрочного ключа симметричным и совместно используемым обоими пользователями, или асимметричные и сертифицированные с использованием PKI, ключи длинные, и их сложно использовать в обычных приложениях. Можно утверждать, что эта информация может быть встроена в токены безопасности, которые пользователи могут носить с собой, такие как смарт-карты, токены безопасности USB и т. Д.Однако для этого требуется дополнительное оборудование, которое, безусловно, будет иметь определенную стоимость. Это также может вызвать проблемы совместимости в случаях, когда токены необходимо подключить к другому устройству. Наконец, такие токены всегда могут быть скомпрометированы в результате утери или кражи.
Другой метод, который считается аутентификацией пользователей, включает использование биометрических данных человека. Хотя такие данные действительно уникальны для пользователя и — в определенном смысле — незабываемы, их использование вызывает множество других проблем, таких как соображения конфиденциальности или вариативность показаний.Еще один недостаток состоит в том, что биометрические данные нельзя заменить в случае компрометации. Оборудование, необходимое для установки, также довольно дорогое.
В настоящее время наиболее распространенной формой аутентификации является знание паролей. Пароли дешевы и удобны. Их легко выбрать, использовать и при необходимости изменить, и они, как правило, запоминаются человеком. Широкое распространение этого метода аутентификации является основной мотивацией исследований в области обмена ключами с аутентификацией по паролю (PAKE).
Целью протокола PAKE является выполнение аутентифицированного обмена ключами, подобного описанному выше, но при условии, что материал долгосрочного ключа является просто паролем, который совместно используют обе участвующие стороны. ³ Такая схема сочетает в себе эффективность обмена ключами при создании криптографически стойких сеансовых ключей с удобством аутентификации путем демонстрации знания простого пароля.
Однако удобство часто сопровождается снижением безопасности в криптографии; использование паролей вместо надежных криптографических ключей не является исключением и порождает некоторые важные проблемы, которые мы попытаемся объяснить в следующих разделах.
Новые угрозы безопасности
Использование паролей вместо длинных криптостойких ключей для аутентификации потоков протокола обмена ключами непросто. Например, пароль не может просто заменить надежный симметричный ключ в качестве входных данных для классического протокола обмена ключами. Для этого в основном есть две причины.
Во-первых, пароли — это данные с низкой энтропией. Это делает их уязвимыми для атак по словарю, которые, по сути, представляют собой атаки методом перебора. Во-вторых, пароли довольно часто используются неправильно (например,g., записанные или используемые в нескольких приложениях). Это часто приводит к компрометации пароля, что необходимо учитывать при разработке PAKE.
Атаки по словарю
При классическом обмене ключами исчерпывающий поиск правильного долгосрочного ключа просто не может быть осуществлен конструктивно: он является полностью случайным и очень длинным. С другой стороны, пароль, скорее всего, будет коротким и произведен с менее чем идеальной случайностью из небольшого набора значений, что делает возможным исчерпывающий поиск.Мы проиллюстрируем эффекты этого явления с помощью «фиктивного» протокола.
Предположим, что A и B имеют общий пароль pw и описание некоторой группы G и генератора g для G . Далее предположим, что они разделяют описание некоторой криптографической хеш-функции H . A и B могут попытаться задействовать следующий вариант обмена ключами Диффи-Хеллмана, представленный ранее:
•
A сначала выбирает x ∈ Z _n случайным образом и вычисляет g ^x и h: = H (pw, gx, IDA, IDB).Согласно свойствам функции H , значение h связывает IDA идентификатора A, идентификатор IDB целевого получателя и ее пароль с выбранным значением. Он также эффективно скрывает пароль. A отправляет (gx, h, IDA) в B.
•
После получения h и g ^x, B вычисляет H (pw, gx, IDA, IDB) и проверяет его равно ч . Таким образом, он получает уверенность в том, что он действительно получил данные от A. Теперь он случайным образом выбирает y ∈ Z _n, вычисляет h ‘: = H (pw, gy, gx, IDA, IDB) и отправляет спина (gy, h ‘, IDB).Он вычисляет ключ g ^xy.
•
Наконец, A проверяет, равно ли h ‘H (pw, gy, gx, IDA, IDB), и если да, вычисляет ключ g ^xy.
Этот протокол уязвим для атаки по словарю: перехватчик может просто записать первое сообщение (gx, h, IDA) и проверить возможные пароли pw ‘против h . Если для некоторого значения pw ′ злоумышленник получает h = H (pw ′, gx, IDA, IDB), очень вероятно, что он нашел пароль.Обратите внимание, что пароль никогда не раскрывается напрямую в протоколе.
Этот вид атаки, возможно, является наиболее важным для предотвращения в схеме PAKE, потому что злоумышленнику не обязательно быть в сети для ее выполнения. Автономные злоумышленники имеют больше времени и вычислительных мощностей по той простой причине, что их невозможно прервать. Действительно, в приведенном выше примере противнику было необходимо только зарегистрировать обмен. С этого момента нет возможности вмешиваться в поведение противника.Мы называем такие атаки офлайн-атаками по словарю. Чтобы предотвратить их, необходимо, чтобы протокол запускал утечку ни единого бита информации о базовом пароле, даже если злоумышленник использует протокол и вводит свои собственные данные, пытаясь выдать себя за сторону. Это имеет важное значение для аутентификации; мы вернемся к этому вопросу позже.
Атаки по онлайн-словарю — это активные атаки, при которых злоумышленник пытается угадать пароль посредством последовательных попыток входа в систему: противник снова и снова участвует в протоколе, пробуя разные пароли, и когда противная сторона прекращает прерывание, противник знает, что угадал правильный пароль.Ясно, что дизайн протокола не может предотвратить эту атаку; однако хорошо сконструированный PAKE должен позволять проверять только один пароль при каждой попытке входа в систему. С этого момента приложение, поддерживающее протокол, должно указать, сколько неудачных попыток можно допустить, прежде чем, например, заблокировать целевую учетную запись.
Прямая секретность и известные ключи сеанса
Пароль пользователя в протоколе PAKE рассматривается как долгосрочный ключ (т.е. ожидается, что он будет многократно использоваться для создания случайных независимых ключей сеанса).Очевидно, что он играет роль в вычислениях транскриптов обмена сеансовыми ключами и может даже выступать в качестве аргумента в формуле, производящей сами сеансовые ключи. Эти отношения нельзя игнорировать.
С одной стороны, пароли — это общеизвестно неправильно управляемые данные: они обычно теряются, передаются (с непреднамеренными сторонами) и используются в нескольких приложениях. Это очень часто приводит к компрометации пароля. Когда это происходит, очевидно, что невозможно помешать злоумышленнику, который знает пароль, выдать себя за своего законного владельца, по крайней мере, до тех пор, пока нарушение не будет обнаружено.Однако схема должна гарантировать, что, несмотря на это нарушение, ранее установленные сеансовые ключи оставались безопасными. Это свойство известно как прямая секретность.
С другой стороны, у нас есть сеансовые ключи: их потенциально много, и нет никаких ограничений на их использование. Это включает, конечно, их запуск в качестве входных данных для потенциально небезопасных алгоритмов. Кроме того, сеансовые ключи по своей природе являются эфемерными данными, но избавиться от них после того, как они выполнили свою задачу, на практике может оказаться не такой уж простой задачей.Учитывая все это, разумно предположить, что все ключи сеанса могут быть скомпрометированы во время или после их использования. Следовательно, PAKE должен гарантировать, что такое раскрытие не нарушит его безопасность. В частности, это также не должно допускать утечки информации о пароле. Это называется безопасностью известного сеансового ключа.
Другие свойства безопасности
Атаки по словарю специфичны для протоколов PAKE. Тем не менее, прямая секретность и безопасность известного сеансового ключа фактически сначала рассматривались в классическом обмене ключами, а затем были перенесены в случай, основанный на паролях.Может возникнуть соблазн сделать это со всеми свойствами безопасности, которые могут быть определены для обмена ключами в целом, но это не всегда возможно. Например, сопротивление компрометации ключа олицетворением — при котором злоумышленник, скомпрометировавший долгосрочный ключ пользователя, может затем выдать себя за другие стороны этого пользователя — не удовлетворяется PAKE: другой владелец пароля всегда может выдавать себя за атакованного. Пользователь.
Еще одно понятие безопасности, характерное для случая, основанного на паролях, — это устойчивость сервера к взлому (см.[6] или [7]). Он возникает в следующем случае: когда одна из двух сторон является сервером, на котором хранится функция пароля пользователя, а не сам пароль. Любой обычный PAKE может быть легко преобразован в подходящий для этой ситуации, например, простым хешированием пароля. (Обычные протоколы PAKE иногда называют сбалансированными протоколами, а защищенные от взлома протоколы — расширенными протоколами PAKE.) Это отражает реалистичный сценарий: один сервер может выполнять функции множества разных пользователей, которые открывают с ним сеансы для доступа к различным ресурсам.Устойчивость к компрометации сервера в основном означает, что сервер не может олицетворять пользователя, если сначала он не выполнит атаку по словарю на данные, которые он хранит. Отметим, что это понятие оспаривается, главным образом потому, что, если данные сервера действительно скомпрометированы, нет смысла считать соответствующие пароли безопасными, поскольку они тривиально уязвимы для автономного поиска. В оставшейся части этой главы мы сосредоточимся на сбалансированных PAKE.
Подтверждение ключа и аутентификация при обмене ключами с аутентификацией паролем (PAKE)
Ранее мы упоминали, что сопротивление атакам по словарю в автономном режиме влияет на аутентификацию; мы вернемся к этому вопросу сейчас.Как объяснялось ранее, в расшифровке протокола PAKE нельзя допустить утечку ни единого бита информации о пароле. Это означает, что не может быть никакого механизма, чтобы напрямую гарантировать на любом конце протокола, что правильный пароль используется другой стороной. Например, пароль не может удовлетворять никакому эффективно проверяемому уравнению, что является недостатком фиктивного протокола на рис. E49.5. Напротив, именно так работает схема цифровой подписи, ключевое отличие опять же состоит в том, что долгосрочный секрет является криптографически стойким.Это метод, лежащий в основе СТС.
Рисунок e49.5. Протокол аутентификации с фиктивным паролем.
Это делает подтверждение ключа единственным способом получения явной аутентификации: обе стороны уверены, что они разговаривали со своим предполагаемым партнером, тогда и только тогда, когда они могут определить, что они вычислили один и тот же сеансовый ключ. Это особенно важно при настройке на основе пароля, поскольку сервер не может отличить неудачную попытку входа в систему от успешной без явной аутентификации.Тем не менее, это, очевидно, необходимо определить до предоставления или отказа в праве на открытие сеанса и, в последнем случае, увеличения счетчика отклонения.
Internet Key Exchange для IPsec VPN Руководство по настройке, Cisco IOS версии 15M & T — Настройка Internet Key Exchange для IPsec VPN [Поддержка]
IKE имеет два этапа согласования ключей: этап 1 и этап 2. На этапе 1 согласовывается ассоциация безопасности (ключ) между двумя Пиры IKE.Ключ, согласованный на этапе 1, позволяет одноранговым узлам IKE безопасно обмениваться данными на этапе 2. Во время согласования этапа 2, IKE устанавливает ключи (ассоциации безопасности) для других приложений, таких как IPsec.
Согласование фазы 1 может происходить в основном режиме или в агрессивном режиме. Основной режим пытается защитить всю информацию во время переговоров, Это означает, что потенциальному злоумышленнику не доступна информация.Когда используется основной режим, идентификаторы двух одноранговых узлов IKE скрыты. Хотя этот режим работы очень безопасен, он относительно дорог с точки зрения времени, необходимого для завершения переговоры. В агрессивном режиме требуется меньше времени для согласования ключей между одноранговыми узлами; тем не менее, он отказывается от некоторой части безопасности обеспечивается согласованием основного режима. Например, личности двух сторон, пытающихся установить ассоциацию безопасности. подвергаются подслушиванию.
Эти два режима служат разным целям и имеют разные преимущества. Основной режим медленнее агрессивного, но основной режим является более безопасным и гибким, поскольку он может предложить одноранговому узлу IKE больше предложений по безопасности, чем агрессивный режим. Агрессивный режим менее гибкий и не такой безопасный, но намного быстрее.
В программном обеспечении Cisco IOS эти два режима не настраиваются.Действие по умолчанию для аутентификации IKE (rsa-sig, rsa-encr или prehared) — запускает основной режим; однако в случаях, когда нет соответствующей информации для инициирования аутентификации, и есть предварительный ключ, связанный с именем хоста однорангового узла, программное обеспечение Cisco IOS может инициировать агрессивный режим. Cisco Программное обеспечение IOS будет реагировать в агрессивном режиме на одноранговый узел IKE, который инициирует агрессивный режим.
Цифровые сертификаты и шифрование в Exchange Server
22.10.2021
16 минут для чтения
Эта страница полезна?
Оцените свой опыт
да Нет
Любой дополнительный отзыв?
Отзыв будет отправлен в Microsoft: при нажатии кнопки отправки ваш отзыв будет использован для улучшения продуктов и услуг Microsoft.Политика конфиденциальности.
Представлять на рассмотрение
В этой статье
Шифрование и цифровые сертификаты — важные аспекты в любой организации. По умолчанию Exchange Server настроен на использование Transport Layer Security (TLS) для шифрования связи между внутренними серверами Exchange и между службами Exchange на локальном сервере.Но администраторам Exchange необходимо учитывать свои требования к шифрованию для связи с внутренними и внешними клиентами (компьютерами и мобильными устройствами) и внешними серверами обмена сообщениями.
Примечание
Exchange Server 2019 включает важные изменения для повышения безопасности клиентских и серверных подключений. В конфигурации по умолчанию для шифрования будет включен только TLS 1.2 и отключена поддержка старых алгоритмов (а именно, DES, 3DES, RC2, RC4 и MD5). Он также настроит алгоритмы обмена ключами эллиптических кривых с приоритетом над алгоритмами неэллиптических кривых.В Exchange Server 2016 и более поздних версиях все параметры шифрования наследуются от конфигурации, указанной в операционной системе. Дополнительные сведения см. В разделе «Руководство по TLS для Exchange Server».
В этом разделе описаны различные типы доступных сертификатов, конфигурация сертификатов по умолчанию в Exchange и рекомендации по дополнительным сертификатам, которые вам понадобятся с Exchange.
Информацию о процедурах, необходимых для сертификатов в Exchange Server, см. В разделе Процедуры сертификации в Exchange Server.
Обзор цифровых сертификатов
Цифровые сертификаты — это электронные файлы, которые работают как онлайн-пароль для проверки личности пользователя или компьютера. Они используются для создания зашифрованного канала, который используется для связи с клиентом. Сертификат — это цифровое заявление, которое выдается центром сертификации (ЦС), удостоверяющее личность держателя сертификата и позволяющее сторонам общаться безопасным способом с помощью шифрования.
Цифровые сертификаты предоставляют следующие услуги:
Шифрование : они помогают защитить данные, которыми обмениваются, от кражи или взлома.
Аутентификация : они проверяют, что их владельцы (люди, веб-сайты и даже сетевые устройства, такие как маршрутизаторы) действительно являются тем, кем или чем они себя называют. Обычно аутентификация является односторонней, когда источник проверяет личность цели, но также возможна взаимная аутентификация TLS.
Сертификаты могут быть выданы для нескольких целей. Например: проверка подлинности веб-пользователя, проверка подлинности веб-сервера, безопасные / многоцелевые расширения почты Интернета (S / MIME), безопасность интернет-протокола (IPsec) и подпись кода.
Сертификат содержит открытый ключ и прикрепляет этот открытый ключ к личности человека, компьютера или службы, которая содержит соответствующий закрытый ключ. Открытый и закрытый ключи используются клиентом и сервером для шифрования данных перед их передачей. Для пользователей, компьютеров и служб Windows доверие к ЦС устанавливается, когда корневой сертификат определен в надежном корневом хранилище сертификатов, а сертификат содержит действительный путь сертификации. Сертификат считается действительным, если он не был отозван (его нет в списке отзыва сертификатов CA или CRL) или срок его действия не истек.
Три основных типа цифровых сертификатов описаны в следующей таблице.

Тип Описание Преимущества Недостатки
Самоподписанный сертификат Сертификат подписан приложением, которое его создало. Стоимость (бесплатно). Сертификат не доверяет автоматически клиентским компьютерам и мобильным устройствам. Сертификат необходимо вручную добавить в хранилище доверенных корневых сертификатов на всех клиентских компьютерах и устройствах, но не все мобильные устройства позволяют вносить изменения в хранилище доверенных корневых сертификатов.
Не все службы работают с самозаверяющими сертификатами.
Трудно создать инфраструктуру для управления жизненным циклом сертификатов. Например, самозаверяющие сертификаты нельзя отозвать.
Сертификат, выданный внутренним центром сертификации Сертификат выдается инфраструктурой открытых ключей (PKI) в вашей организации. Примером могут служить службы сертификации Active Directory (AD CS). Дополнительные сведения см. В разделе Обзор служб сертификации Active Directory. Позволяет организациям выдавать собственные сертификаты.
Дешевле, чем сертификаты коммерческого центра сертификации.
Повышенная сложность развертывания и обслуживания PKI.
Сертификат не доверяет автоматически клиентским компьютерам и мобильным устройствам. Сертификат необходимо вручную добавить в хранилище доверенных корневых сертификатов на всех клиентских компьютерах и устройствах, но не все мобильные устройства позволяют вносить изменения в хранилище доверенных корневых сертификатов.
Сертификат, выданный коммерческим центром сертификации Сертификат приобретен в надежном коммерческом центре сертификации. Упрощенное развертывание сертификатов, поскольку все клиенты, устройства и серверы автоматически доверяют сертификатам. Стоимость. Вам нужно спланировать заранее, чтобы свести к минимуму количество требуемых сертификатов.
Чтобы доказать, что владелец сертификата является тем, кем они себя называют, сертификат должен точно идентифицировать держателя сертификата для других клиентов, устройств или серверов. Три основных метода для этого описаны в следующей таблице.

Метод Описание Преимущества Недостатки
Соответствие предмета сертификата Поле Subject сертификата содержит общее имя (CN) хоста. Например, сертификат, выданный для www.contoso.com, можно использовать для веб-сайта https://www.contoso.com. Совместим со всеми клиентами, устройствами и службами.
Разделение на отдельные участки.Отзыв сертификата для хоста не влияет на другие хосты.
Количество необходимых сертификатов. Вы можете использовать сертификат только для указанного хоста. Например, вы не можете использовать сертификат www.contoso.com для ftp.contoso.com, даже если службы установлены на одном сервере.
Сложность. На веб-сервере каждый сертификат требует привязки собственного IP-адреса.
Соответствие альтернативному имени субъекта сертификата (SAN) В дополнение к полю Subject , поле Subject Alternative Name сертификата содержит список нескольких имен хостов.Например:
www.contoso.com
ftp.contoso.com
ftp.eu.fabirkam.net
Удобство. Вы можете использовать один и тот же сертификат для нескольких хостов в нескольких отдельных доменах.
Большинство клиентов, устройств и служб поддерживают сертификаты SAN.
Аудит и безопасность. Вы точно знаете, какие хосты могут использовать сертификат SAN.
Требуется дополнительное планирование. При создании сертификата вам необходимо предоставить список хостов.
Отсутствие разделения. Вы не можете выборочно отзывать сертификаты для некоторых из указанных хостов, не затрагивая все хосты в сертификате.
Соответствие подстановочного сертификата Поле Subject сертификата содержит общее имя в виде подстановочного знака (*) плюс один домен или субдомен. Например, * .contoso.com или * .eu.contoso.com. Подстановочный сертификат * .contoso.com можно использовать для:
www.contoso.com
ftp.contoso.com
mail.contoso.com
Гибкость. Вам не нужно предоставлять список хостов при запросе сертификата, и вы можете использовать сертификат на любом количестве хостов, которое может вам понадобиться в будущем. Вы не можете использовать подстановочные сертификаты с другими доменами верхнего уровня (TLD). Например, вы не можете использовать подстановочный сертификат * .contoso.com для хостов * .contoso.net.
Вы можете использовать подстановочные сертификаты для имен хостов только на уровне подстановочного знака.Например, вы не можете использовать сертификат * .contoso.com для www.eu.contoso.com. Или вы не можете использовать сертификат * .eu.contoso.com для www.uk.eu.contoso.com.
Старые клиенты, устройства, приложения или службы могут не поддерживать сертификаты с подстановочными знаками.
Подстановочные знаки недоступны с сертификатами расширенной проверки (EV).
Требуется тщательный аудит и контроль. Если подстановочный сертификат скомпрометирован, он повлияет на каждый хост в указанном домене.
Сертификаты в обмене
Когда вы устанавливаете Exchange 2016 или Exchange 2019 на сервере, два самозаверяющих сертификата создаются и устанавливаются Exchange.Третий самозаверяющий сертификат создается и устанавливается Microsoft Windows для службы веб-управления в Internet Information Services (IIS). Эти три сертификата отображаются в центре администрирования Exchange (EAC) и в командной консоли Exchange и описаны в следующей таблице:

Имя Комментарии
Microsoft Exchange Этот самозаверяющий сертификат Exchange имеет следующие возможности:
Сертификат автоматически является доверенным для всех других серверов Exchange в организации.Сюда входят любые пограничные транспортные серверы, подписанные на организацию Exchange.
Сертификат автоматически включается для всех служб Exchange, кроме единой системы обмена сообщениями, и используется для шифрования внутренней связи между серверами Exchange, службами Exchange на том же компьютере и клиентскими подключениями, которые передаются от служб клиентского доступа к внутренним службам в почтовом ящике. серверы. ( Примечание : единая система обмена сообщениями недоступна в Exchange 2019.)
Сертификат автоматически включается для входящих подключений от внешних серверов обмена сообщениями SMTP и исходящих подключений к внешним серверам обмена сообщениями SMTP.Эта конфигурация по умолчанию позволяет Exchange предоставлять гибких TLS для всех входящих и исходящих SMTP-подключений. Exchange пытается зашифровать сеанс SMTP с внешним сервером обмена сообщениями, но если внешний сервер не поддерживает шифрование TLS, сеанс не будет зашифрован.
Сертификат не обеспечивает шифрованную связь с внутренними или внешними клиентами. Клиенты и серверы не доверяют самозаверяющему сертификату Exchange, поскольку сертификат не определен в их доверенных корневых хранилищах сертификатов.
Сертификат аутентификации Microsoft Exchange Server Этот самозаверяющий сертификат Exchange используется для межсерверной аутентификации и интеграции с использованием OAuth. Дополнительные сведения см. В разделе Планирование интеграции сервера Exchange Server с SharePoint и Skype для бизнеса.
WMSVC Этот самозаверяющий сертификат Windows используется службой веб-управления в IIS для обеспечения удаленного управления веб-сервером и связанными с ним веб-сайтами и приложениями.
Если вы удалите этот сертификат, служба веб-управления не запустится, если не будет выбран действующий сертификат. Если служба находится в этом состоянии, это может помешать установке обновлений Exchange или удалению Exchange с сервера. Инструкции по устранению этой проблемы см. В разделе Событие с кодом 1007 — Аутентификация службы веб-управления IIS
Свойства этих самозаверяющих сертификатов описаны в разделе «Свойства самозаверяющих сертификатов по умолчанию».
Это ключевые проблемы, которые необходимо учитывать, когда речь идет о сертификатах в Exchange:
Вам не нужно заменять самозаверяющий сертификат Microsoft Exchange для шифрования сетевого трафика между серверами Exchange и службами в вашей организации.
Дополнительные сертификаты необходимы для шифрования подключений к серверам Exchange внутренних и внешних клиентов.
Для принудительного шифрования SMTP-подключений между серверами Exchange и внешними серверами обмена сообщениями необходимы дополнительные сертификаты.
Следующие элементы планирования и развертывания Exchange Server являются важными драйверами для ваших требований к сертификату:
Балансировка нагрузки : Планируете ли вы завершить работу зашифрованного канала на балансировщике нагрузки или обратном прокси-сервере, использовать балансировщики нагрузки уровня 4 или 7 и использовать привязку сеанса или отсутствие привязки сеанса? Дополнительные сведения см. В разделе «Балансировка нагрузки в Exchange 2016».
Планирование пространства имен : Какие версии Exchange присутствуют, используете ли вы модель связанного или несвязанного пространства имен, и используете ли вы раздельный DNS (настройка разных IP-адресов для одного и того же хоста в зависимости от внутреннего или внутреннего).внешний доступ)? Дополнительные сведения см. В разделе «Планирование пространства имен в Exchange 2016».
Подключение клиентов : Какие службы будут использовать ваши клиенты (веб-службы, POP, IMAP и т. Д.) И какие версии Exchange задействованы? Для получения дополнительной информации см. Следующие темы:
Требования к сертификатам для служб Exchange
Службы Exchange, которым могут быть назначены сертификаты, описаны в следующей таблице.

Сервис Описание
IIS (HTTP) По умолчанию следующие службы предлагаются на веб-сайте по умолчанию в службах клиентского доступа (интерфейс) на сервере почтовых ящиков и используются клиентами для подключения к Exchange:
Автообнаружение
Exchange ActiveSync
Центр администрирования Exchange
Веб-службы Exchange
Распространение автономной адресной книги (OAB)
Outlook Anywhere (RPC через HTTP)
Outlook MAPI через HTTP
Outlook в Интернете
Remote PowerShell ^*
Поскольку вы можете связать только один сертификат с веб-сайтом, все DNS-имена, которые клиенты используют для подключения к этим службам, должны быть включены в сертификат.Это можно сделать с помощью сертификата SAN или подстановочного сертификата.
POP или IMAP Сертификаты, используемые для POP или IMAP, могут отличаться от сертификата, используемого для IIS. Однако для упрощения администрирования мы рекомендуем вам также включить имена хостов, которые используются для POP или IMAP, в ваш сертификат IIS и использовать один и тот же сертификат для всех этих служб.
SMTP SMTP-подключения от клиентов или серверов обмена сообщениями принимаются одним или несколькими соединителями получения, которые настроены в транспортной службе переднего плана на сервере Exchange.Дополнительные сведения см. В разделе Соединители получения.
Чтобы требовать TLS-шифрование для SMTP-подключений, можно использовать отдельный сертификат для каждого соединителя получения. Сертификат должен включать DNS-имя, которое используется клиентами или серверами SMTP для подключения к соединителю получения. Чтобы упростить управление сертификатами, рассмотрите возможность включения всех имен DNS, для которых вы должны поддерживать трафик TLS, в один сертификат.
Чтобы требовать взаимной аутентификации TLS , где SMTP-соединения между исходным и целевым серверами зашифрованы и аутентифицированы, см. Безопасность домена.
Единая система обмена сообщениями Дополнительные сведения см. В разделе Развертывание сертификатов для единой системы обмена сообщениями.
Примечание : единая система обмена сообщениями недоступна в Exchange 2019.
Гибридное развертывание с Microsoft 365 или Office 365 Для получения дополнительной информации см. Требования к сертификатам для гибридных развертываний.
Безопасные / многоцелевые расширения почты Интернета (S / MIME) Для получения дополнительной информации см. S / MIME для подписи и шифрования сообщений.
^* Проверка подлинности Kerberos и шифрование Kerberos используются для удаленного доступа PowerShell как из центра администрирования Exchange, так и из командной консоли Exchange. Следовательно, вам не нужно настраивать сертификаты для использования с удаленной оболочкой PowerShell, если вы подключаетесь напрямую к серверу Exchange (а не к пространству имен с балансировкой нагрузки). Чтобы использовать удаленную оболочку PowerShell для подключения к серверу Exchange с компьютера, который не является членом домена, или для подключения из Интернета, необходимо настроить сертификаты для использования с удаленной оболочкой PowerShell.
Лучшие практики для сертификатов Exchange
Хотя конфигурация цифровых сертификатов вашей организации будет варьироваться в зависимости от ее конкретных потребностей, в нее включена информация о передовых методах, чтобы помочь вам выбрать конфигурацию цифрового сертификата, которая подходит именно вам.
Используйте как можно меньше сертификатов : Скорее всего, это означает использование сертификатов SAN или сертификатов с подстановочными знаками. Что касается взаимодействия с Exchange, оба они функционально эквивалентны.Решение о том, использовать ли сертификат SAN или подстановочный сертификат, больше связано с ключевыми возможностями или ограничениями (реальными или предполагаемыми) для каждого типа сертификата, как описано в обзоре цифровых сертификатов.
Например, если все ваши общие имена будут на одном уровне contoso.com, не имеет значения, используете ли вы сертификат SAN или подстановочный сертификат. Но, если необходимо использовать сертификат для autodiscover.contoso.com, autodiscover.fabrikam.com и autodiscover.northamerica.contoso.com необходимо использовать сертификат SAN.
Использование сертификатов коммерческого центра сертификации для подключений клиента и внешнего сервера : Хотя вы можете настроить большинство клиентов на доверие любому сертификату или издателю сертификата, гораздо проще использовать сертификат коммерческого центра сертификации для клиентских подключений к вашим серверам Exchange. Чтобы доверять сертификату, выпущенному коммерческим центром сертификации, на клиенте не требуется настройки. Многие коммерческие центры сертификации предлагают сертификаты, настроенные специально для Exchange.Вы можете использовать EAC или Exchange Management Shell для создания запросов на сертификаты, которые работают с большинством коммерческих центров сертификации.
Выберите подходящий коммерческий CA : сравните цены на сертификаты и возможности разных центров сертификации. Например:
Убедитесь, что ЦС доверяют клиенты (операционные системы, браузеры и мобильные устройства), которые подключаются к вашим серверам Exchange.
Убедитесь, что ЦС поддерживает нужный тип сертификата.Например, не все ЦС поддерживают сертификаты SAN, ЦС может ограничить количество общих имен, которые вы можете использовать в сертификате SAN, или ЦС может взимать дополнительную плату в зависимости от количества общих имен в сертификате SAN.
Посмотрите, предлагает ли ЦС льготный период, в течение которого вы можете добавить дополнительные общие имена к сертификатам SAN после их выпуска без взимания платы.
Убедитесь, что лицензия сертификата позволяет использовать сертификат на необходимом количестве серверов.Некоторые центры сертификации позволяют использовать сертификат только на одном сервере.
Используйте мастер сертификатов Exchange : Распространенная ошибка при создании сертификатов — забыть одно или несколько общих имен, необходимых для служб, которые вы хотите использовать. Мастер сертификатов в центре администрирования Exchange поможет вам включить правильный список общих имен в запрос на сертификат. Мастер позволяет указать службы, которые будут использовать сертификат, и включает общие имена, которые необходимо иметь в сертификате для этих служб.Запустите мастер сертификатов, когда вы развернули свой начальный набор серверов Exchange 2016 или Exchange 2019 и определили, какие имена узлов использовать для различных служб для вашего развертывания.
Используйте как можно меньше имен хостов : минимизация количества имен хостов в сертификатах SAN снижает сложность управления сертификатами. Не чувствуйте себя обязанным включать имена хостов отдельных серверов Exchange в сертификаты SAN, если предполагаемое использование сертификата не требует этого.Как правило, вам нужно включить только те DNS-имена, которые предоставляются внутренним клиентам, внешним клиентам или внешним серверам, которые используют сертификат для подключения к Exchange.
Для простой организации Exchange Server с именем Contoso это гипотетический пример минимальных требуемых имен узлов:
mail.contoso.com : это имя узла охватывает большинство подключений к Exchange, включая Outlook, Outlook в Интернете, распространение автономной адресной книги, веб-службы Exchange, центр администрирования Exchange и Exchange ActiveSync.
autodiscover.contoso.com : это конкретное имя узла требуется клиентам, поддерживающим автообнаружение, включая клиенты Outlook, Exchange ActiveSync и веб-службы Exchange. Дополнительные сведения см. В разделе Служба автообнаружения.
Свойства самозаверяющих сертификатов по умолчанию
Некоторые из наиболее интересных свойств самозаверяющих сертификатов по умолчанию, которые отображаются в центре администрирования Exchange и / или в командной консоли Exchange на сервере Exchange, описаны в следующей таблице.

Реестр Реестр
Недвижимость Microsoft Exchange Сертификат аутентификации Microsoft Exchange Server WMSVC
Тема CN = (например, CN = Mailbox01 ) CN = Сертификат аутентификации Microsoft Exchange Server CN = WMSvc- (например, CN = WMSvc-Mailbox01 )
Альтернативные имена субъектов (CertificateDomains) (например, Mailbox01)
(например, Mailbox01.contoso.com)
нет WMSvc- (например, WMSvc-Mailbox01 )
Имеет закрытый ключ (HasPrivateKey) Да (Верно) Да (Верно) Да (Верно)
PrivateKeyExportable ^* Ложь Истинно Истинно
EnhancedKeyUsageList ^* Проверка подлинности сервера (1.3.6.1.5.5.7.3.1) Аутентификация сервера (1.3.6.1.5.5.7.3.1) Аутентификация сервера (1.3.6.1.5.5.7.3.1)
Службы IIS ^* IIS: // / W3SVC / 1, IIS: // / W3SVC / 2 (например, IIS: // Mailbox01 / W3SVC / 1, IIS: // Mailbox01 / W3SVC / 2 ) нет нет
IsSelfSigned Истинно Истинно Истинно
Эмитент CN = (например, CN = Mailbox01 ) CN = Сертификат аутентификации Microsoft Exchange Server CN = WMSvc- (например, CN = WMSvc-Mailbox01 )
Не до Дата и время установки Exchange. Дата и время установки Exchange. Дата и время установки службы IIS Web Manager.
Срок действия истекает (NotAfter) 5 лет после Не до . 5 лет после Не до . 10 лет после Не до .
Размер открытого ключа (PublicKeySize) 2048 2048 2048
RootCAType Нет
Услуги IMAP, POP, IIS, SMTP SMTP Нет
^* Эти свойства не отображаются в стандартном представлении в командной консоли Exchange.Для их просмотра необходимо указать имя свойства (точное имя или совпадение с подстановочными знаками) с помощью командлетов Format-Table или Format-List . Например:
Get-ExchangeCertificate -Thumbprint | Список форматов *
Get-ExchangeCertificate -Thumbprint | Таблица форматов -Auto FriendlyName, * PrivateKey *
Дополнительные сведения см. В разделе Get-ExchangeCertificate.
Дополнительные сведения о самозаверяющих сертификатах по умолчанию, которые отображаются в диспетчере сертификатов Windows, описаны в следующей таблице.

Недвижимость Microsoft Exchange Сертификат аутентификации Microsoft Exchange Server WMSVC
Алгоритм подписи sha256RSA ¹ sha256RSA ¹ sha256RSA ¹
Алгоритм хеширования подписи sha256 ¹ sha256 ¹ sha256 ¹
Использование ключа Цифровая подпись, шифрование ключа (a0) Цифровая подпись, шифрование ключа (a0) Цифровая подпись, шифрование ключа (a0), шифрование данных (b0 00 00 00)
Основные ограничения Тип темы = Конечная сущность
Ограничение длины пути = Нет
Тип темы = Конечная сущность
Ограничение длины пути = Нет
н / д
Алгоритм отпечатка sha256 ¹ sha256 ¹ sha256 ¹
¹ Относится к свежим установкам Exchange 2016 Cumulative Update 22 или более поздней версии и Exchange 2019 Cumulative Update 11 или более поздней версии.Дополнительные сведения см. В разделе сертификаты Exchange Server 2019 и 2016, созданные во время установки, используют хэш SHA-1.
Обычно диспетчер сертификатов Windows не используется для управления сертификатами Exchange (используйте центр администрирования Exchange или командную консоль Exchange). Обратите внимание, что сертификат WMSVC не является сертификатом Exchange.
Узнайте о ключе доступности для ключа клиента — соответствие требованиям Microsoft 365
06.10.2021
15 минут на чтение
Эта страница полезна?
Оцените свой опыт
да Нет
Любой дополнительный отзыв?
Отзыв будет отправлен в Microsoft: при нажатии кнопки отправки ваш отзыв будет использован для улучшения продуктов и услуг Microsoft.Политика конфиденциальности.
Представлять на рассмотрение
В этой статье
Ключ доступности — это корневой ключ, автоматически генерируемый и предоставляемый при создании политики шифрования данных. Microsoft 365 хранит и защищает ключ доступности. Ключ доступности функционально аналогичен двум корневым ключам, которые вы предоставляете для шифрования службы с помощью ключа клиента.Ключ доступности оборачивает ключи на один уровень ниже в иерархии ключей. В отличие от ключей, которые вы предоставляете и управляете в Azure Key Vault, вы не можете напрямую получить доступ к ключу доступности. Автоматические службы Microsoft 365 управляют ключом доступности программно. Эти службы инициируют автоматизированные операции, которые никогда не требуют прямого доступа к ключу доступности.
Основная цель ключа доступности — обеспечить возможность восстановления после непредвиденной потери корневых ключей, которыми вы управляете.Убыток может быть результатом неправильного управления или злонамеренных действий. Если вы потеряете контроль над своими корневыми ключами, обратитесь в службу поддержки Microsoft, и Microsoft поможет вам в процессе восстановления с использованием ключа доступности. Вы будете использовать ключ доступности для перехода на новую политику шифрования данных с новыми корневыми ключами, которые вы предоставите.
Хранение и контроль ключа доступности намеренно отличаются от ключей Azure Key Vault по трем причинам:
Ключ доступности обеспечивает возможность восстановления, «разбивающуюся» в случае потери контроля над обоими ключами Azure Key Vault.
Разделение логических элементов управления и безопасных мест хранения обеспечивает комплексную защиту и защищает от потери всех ключей и ваших данных в результате единственной атаки или точки отказа.
Ключ доступности обеспечивает возможность высокой доступности, если службы Microsoft 365 не могут получить доступ к ключам, размещенным в Azure Key Vault, из-за временных ошибок. Это правило применяется только к шифрованию служб Exchange Online и Skype для бизнеса. Файлы SharePoint Online, OneDrive для бизнеса и Teams никогда не используют ключ доступности, если вы явно не дадите Microsoft указание инициировать процесс восстановления.
Разделение ответственности за защиту ваших данных с использованием различных средств защиты и процессов для управления ключами в конечном итоге снижает риск того, что все ключи (и, следовательно, ваши данные) будут безвозвратно потеряны или уничтожены. Microsoft предоставляет вам исключительные права на отключение или уничтожение ключа доступности при выходе из службы. По умолчанию никто в Microsoft не имеет доступа к ключу доступности: он доступен только с помощью кода службы Microsoft 365.
См. Центр управления безопасностью Microsoft для получения дополнительной информации о том, как мы защищаем ключи.
Ключ доступности использует
Ключ доступности обеспечивает возможность восстановления в сценариях, в которых внешний злоумышленник или злонамеренный внутренний злоумышленник крадет контроль над вашим хранилищем ключей, или когда непреднамеренное неправильное управление приводит к потере корневых ключей. Эта возможность восстановления применима ко всем службам Microsoft 365, совместимым с ключом клиента. Отдельные службы по-разному используют ключ доступности. Microsoft 365 использует ключ доступности только способами, описанными ниже.
Exchange Online и Skype для бизнеса используют
Помимо возможности восстановления, Exchange Online и Skype для бизнеса используют ключ доступности, чтобы гарантировать доступность данных во время временных или периодических рабочих проблем, связанных с доступом службы к корневым ключам.Когда служба не может получить доступ ни к одному из ваших ключей клиента в Azure Key Vault из-за временных ошибок, служба автоматически использует ключ доступности. Услуга НИКОГДА не переходит непосредственно к ключу доступности.
Автоматизированные системы в Exchange Online и Skype для бизнеса могут использовать ключ доступности во время временных ошибок для поддержки автоматических внутренних служб, таких как антивирус, электронное обнаружение, предотвращение потери данных, перемещение почтовых ящиков и индексация данных.
файлы SharePoint Online, OneDrive для бизнеса и Teams используют
Для файлов SharePoint Online, OneDrive для бизнеса и Teams ключ доступности НИКОГДА не используется за пределами возможностей восстановления, и клиенты должны явным образом проинструктировать Microsoft инициировать использование ключа доступности во время сценария восстановления.Автоматизированные сервисные операции полагаются исключительно на ваши ключи клиентов в хранилище ключей Azure. Подробные сведения о том, как работает иерархия ключей для этих служб, см. В разделе Как файлы SharePoint Online, OneDrive для бизнеса и Teams используют ключ доступности.
Наличие ключа безопасности
Microsoft разделяет с вами ответственность за защиту данных, создавая экземпляр ключа доступности и принимая обширные меры для его защиты. Microsoft не предоставляет клиентам прямой контроль над ключом доступности.Например, вы можете проверять (вращать) только те ключи, которыми вы владеете, в Azure Key Vault. Дополнительные сведения см. В разделе Смена или замена ключа клиента или ключа доступности.
Наличие ключей секретных хранилищ
Корпорация Майкрософт защищает ключи доступности во внутренних хранилищах секретов с контролируемым доступом, таких как хранилище ключей Azure, доступное для клиентов. Мы реализуем элементы управления доступом, чтобы администраторы Microsoft не могли напрямую получить доступ к секретам, содержащимся в них. Операции хранилища секретов, включая ротацию и удаление ключей, выполняются с помощью автоматических команд, которые никогда не предполагают прямого доступа к ключу доступности.Операции по управлению секретным хранилищем ограничены конкретными инженерами и требуют повышения привилегий с помощью внутреннего инструмента Lockbox. Повышение привилегий требует одобрения и обоснования со стороны менеджера перед предоставлением. Lockbox гарантирует, что доступ ограничен по времени с автоматическим аннулированием доступа по истечении времени или выхода инженера из системы.
Ключи доступности Exchange Online и Skype для бизнеса хранятся в секретном хранилище Exchange Online Active Directory. Ключи доступности надежно хранятся в контейнерах для конкретных клиентов в контроллере домена Active Directory.Это безопасное хранилище отделено и изолировано от секретного хранилища файлов SharePoint Online, OneDrive для бизнеса и Teams.
Файлы SharePoint Online, OneDrive для бизнеса и Teams ключи доступности хранятся во внутреннем хранилище секретов, управляемом группой обслуживания. Эта защищенная служба хранения секретов имеет серверы переднего плана с конечными точками приложений и базу данных SQL в качестве серверной части. Ключи доступности хранятся в базе данных SQL и обернуты (зашифрованы) ключами шифрования секретного хранилища, которые используют комбинацию AES-256 и HMAC для шифрования неактивного ключа доступности.Ключи шифрования секретного хранилища хранятся в логически изолированном компоненте той же базы данных SQL и дополнительно шифруются ключами RSA-2048, содержащимися в сертификатах, управляемых центром сертификации (CA) Microsoft. Эти сертификаты хранятся на интерфейсных серверах хранилища секретов, которые выполняют операции с базой данных.
Глубокоэшелонированная защита
Microsoft применяет стратегию глубокой защиты, чтобы не дать злоумышленникам повлиять на конфиденциальность, целостность или доступность данных клиентов, хранящихся в Microsoft Cloud.Для защиты секретного хранилища и ключа доступности реализованы специальные превентивные и детективные средства управления как часть всеобъемлющей стратегии безопасности.
Microsoft 365 создан для предотвращения неправильного использования ключа доступности. Уровень приложения — единственный метод, с помощью которого ключи, включая ключ доступности, могут использоваться для шифрования и дешифрования данных. Только код службы Microsoft 365 может интерпретировать и пересекать иерархию ключей для действий по шифрованию и дешифрованию.Логическая изоляция существует между местами хранения ключей клиентов, ключей доступности, других иерархических ключей и данных клиентов. Эта изоляция снижает риск раскрытия данных в случае взлома одного или нескольких расположений. Каждый уровень в иерархии имеет встроенные возможности круглосуточного обнаружения вторжений для защиты хранимых данных и секретов.
Контроль доступа реализован для предотвращения несанкционированного доступа к внутренним системам, включая хранилища секретов ключей доступности. Инженеры Microsoft не имеют прямого доступа к хранилищам секретов ключей доступности.Дополнительные сведения об элементах управления доступом см. В разделе «Управление доступом администратора в Microsoft 365».
Технические средства контроля не позволяют персоналу Microsoft входить в учетные записи служб с высокими привилегиями, которые в противном случае могли бы использоваться злоумышленниками для имитации служб Microsoft. Например, эти элементы управления предотвращают интерактивный вход в систему.
Средства контроля и ведения журналов безопасности — это еще одна реализованная система глубокой защиты, которая снижает риск для служб Microsoft и ваших данных.Сервисные группы Microsoft развернули решения для активного мониторинга, которые генерируют предупреждения и журналы аудита. Все сервисные группы загружают свои журналы в центральный репозиторий, где журналы собираются и обрабатываются. Внутренние инструменты автоматически проверяют записи, чтобы подтвердить, что службы работают в оптимальном, отказоустойчивом и безопасном состоянии. Необычная активность помечена для дальнейшего рассмотрения.
Любое событие журнала, указывающее на возможное нарушение политики безопасности Microsoft, немедленно доводится до сведения групп безопасности Microsoft.Система безопасности Microsoft 365 настроила оповещения для обнаружения попыток доступа к хранилищам секретов ключей доступности. Оповещения также генерируются, если персонал Microsoft пытается интерактивно войти в учетные записи служб, что запрещено и защищено средствами контроля доступа. Безопасность Microsoft 365 также обнаруживает и предупреждает об отклонениях службы Microsoft 365 от обычных базовых операций. Злоумышленники, пытающиеся неправомерно использовать службы Microsoft 365, будут вызывать предупреждения, в результате которых преступник будет выселен из облачной среды Microsoft.
Используйте ключ доступности для восстановления после потери ключа
Если вы потеряете контроль над своими ключами клиентов, ключ доступности даст вам возможность восстановить и повторно зашифровать ваши данные.
Процедура восстановления для Exchange Online и Skype для бизнеса
Если вы потеряете контроль над своими ключами клиентов, ключ доступности даст вам возможность восстановить данные и вернуть затронутые ресурсы Microsoft 365 в оперативный режим. Ключ доступности продолжает защищать ваши данные во время восстановления.На высоком уровне для полного восстановления после потери ключа вам необходимо создать новый DEP и переместить затронутые ресурсы в новую политику.
Чтобы зашифровать ваши данные с помощью новых ключей клиента, создайте новые ключи в Azure Key Vault, создайте новый DEP с использованием новых ключей клиента, затем назначьте новый DEP почтовым ящикам, в настоящее время зашифрованным с помощью предыдущего DEP, ключи для которых были потеряны или скомпрометированы .
Процесс повторного шифрования может занять до 72 часов. Это стандартная продолжительность при изменении DEP.
Процедура восстановления для файлов SharePoint Online, OneDrive для бизнеса и команд
Для файлов SharePoint Online, OneDrive для бизнеса и Teams ключ доступности НИКОГДА не используется вне функции восстановления. Вы должны явным образом проинструктировать Microsoft инициировать использование ключа доступности во время сценария восстановления. Чтобы начать процесс восстановления, свяжитесь с Microsoft, чтобы активировать ключ доступности. После активации ключ доступности автоматически используется для расшифровки ваших данных, что позволяет зашифровать данные с помощью вновь созданного DEP, связанного с новыми ключами клиента.
Эта операция пропорциональна количеству сайтов в вашей организации. После того, как вы позвоните в Microsoft, чтобы воспользоваться ключом доступности, вы должны полностью подключиться к сети примерно через четыре часа.
Как Exchange Online и Skype для бизнеса используют ключ доступности
Когда вы создаете DEP с ключом клиента, Microsoft 365 генерирует ключ политики шифрования данных (DEP Key), связанный с этим DEP. Служба шифрует ключ DEP трижды: один раз с каждым ключом клиента и один раз с ключом доступности.Сохраняются только зашифрованные версии ключа DEP, а ключ DEP можно расшифровать только с помощью ключей клиента или ключа доступности. Затем ключ DEP используется для шифрования ключей почтовых ящиков, которые шифруют отдельные почтовые ящики.
Microsoft 365 следует этому процессу для расшифровки и предоставления данных, когда клиенты используют службу:
Расшифруйте ключ DEP с помощью ключа клиента.
Используйте дешифрованный ключ DEP для расшифровки ключа почтового ящика.
Используйте расшифрованный ключ почтового ящика, чтобы расшифровать сам почтовый ящик, что позволит вам получить доступ к данным в почтовом ящике.
Как файлы SharePoint Online, OneDrive для бизнеса и Teams используют ключ доступности
Архитектура и реализация SharePoint Online и OneDrive для бизнеса для ключа клиента и ключа доступности отличаются от Exchange Online и Skype для бизнеса.
Когда организация переходит на ключи, управляемые клиентами, Microsoft 365 создает специфичный для организации промежуточный ключ (TIK). Microsoft 365 шифрует TIK дважды, по одному разу с каждым ключом клиента, и сохраняет две зашифрованные версии TIK.Сохраняются только зашифрованные версии TIK, а TIK можно расшифровать только с помощью ключей клиента. Затем TIK используется для шифрования ключей сайта, которые затем используются для шифрования ключей больших двоичных объектов (также называемых ключами фрагментов файлов). В зависимости от размера файла служба может разбить файл на несколько фрагментов, каждый из которых имеет уникальный ключ. Сами большие двоичные объекты (блоки файлов) зашифровываются с помощью ключей больших двоичных объектов и хранятся в службе хранилища больших двоичных объектов Microsoft Azure.
Microsoft 365 следует этому процессу, чтобы расшифровать и предоставить файлы клиентов, когда клиенты используют службу:
Расшифруйте TIK с помощью ключа клиента.
Используйте расшифрованный TIK для расшифровки ключа сайта.
Используйте расшифрованный ключ сайта, чтобы расшифровать ключ большого двоичного объекта.
Используйте расшифрованный ключ большого двоичного объекта, чтобы расшифровать большой двоичный объект.
Microsoft 365 расшифровывает TIK, отправляя два запроса на расшифровку в Azure Key Vault с небольшим смещением. Тот, кто закончил, сообщает результат, отменяя другой запрос.
В случае потери доступа к ключам клиента Microsoft 365 также шифрует TIK с помощью ключа доступности и сохраняет его вместе с TIK, зашифрованными с каждым ключом клиента.TIK, зашифрованный с помощью ключа доступности, используется только тогда, когда клиент звонит в Microsoft, чтобы указать путь восстановления, когда он злонамеренно или случайно потерял доступ к своим ключам.
По причинам доступности и масштабируемости расшифрованные TIK кэшируются в ограниченном по времени кэше памяти. За два часа до истечения срока действия кеша TIK Microsoft 365 пытается расшифровать каждый TIK. Расшифровка TIK продлевает время жизни кеша. Если расшифровка TIK не удается в течение значительного периода времени, Microsoft 365 генерирует предупреждение, чтобы уведомить инженеров до истечения срока действия кеша.Только если клиент позвонит в Microsoft, Microsoft 365 инициирует операцию восстановления, которая включает в себя расшифровку TIK с помощью ключа доступности, хранящегося в секретном хранилище Microsoft, и повторное подключение клиента с использованием расшифрованного TIK и нового набора ключей Azure Key Vault, предоставленных клиентом.
На сегодняшний день ключ клиента участвует в цепочке шифрования и дешифрования файловых данных SharePoint Online, хранящихся в хранилище BLOB-объектов Azure, но не в элементах списков или метаданных SharePoint Online, хранящихся в базе данных SQL.Microsoft 365 не использует ключ доступности для файлов Exchange Online, Skype для бизнеса, SharePoint Online, OneDrive для бизнеса и команд, кроме описанного выше случая, инициированного клиентом. Доступ человека к данным о клиентах защищен сейфом для клиентов.
Триггеры ключа доступности
Microsoft 365 активирует ключ доступности только при определенных обстоятельствах. Эти обстоятельства различаются в зависимости от службы.
Триггеры для Exchange Online и Skype для бизнеса
Microsoft 365 считывает DEP, которому назначен почтовый ящик, чтобы определить расположение двух ключей клиента в Azure Key Vault.
Microsoft 365 случайным образом выбирает один из двух ключей клиента из DEP и отправляет запрос в Azure Key Vault, чтобы развернуть ключ DEP с помощью ключа клиента.
Если запрос на развертывание ключа DEP с использованием ключа клиента завершается неудачно, Microsoft 365 отправляет второй запрос в хранилище ключей Azure, на этот раз инструктируя его использовать альтернативный (второй) ключ клиента.
Если второй запрос на раскрытие ключа DEP с использованием ключа клиента завершился неудачно, Microsoft 365 проверяет результаты обоих запросов.
Важно
Код службы
Microsoft 365 всегда имеет действующий токен входа в систему, чтобы анализировать данные клиентов и предоставлять дополнительные облачные службы. Поэтому, пока ключ доступности не будет удален, его можно использовать в качестве запасного варианта для действий, инициированных или внутренних для Exchange Online и Skype для бизнеса, таких как создание индекса поиска или перемещение почтовых ящиков. Это относится как к временным ОШИБКАМ, так и к запросам ОТКЛОНЕННЫЙ ДОСТУП к хранилищу ключей Azure.
Триггеры для SharePoint Online, OneDrive для бизнеса и файлы команд
Для файлов SharePoint Online, OneDrive для бизнеса и Teams ключ доступности НИКОГДА не используется за пределами возможностей восстановления, и клиенты должны явным образом проинструктировать Microsoft инициировать использование ключа доступности во время сценария восстановления.
Журналы аудита и ключ доступности
Автоматизированные системы в Microsoft 365 обрабатывают все данные по мере их прохождения через систему для предоставления облачных услуг, например, антивирусной защиты, электронного обнаружения, предотвращения потери данных и индексации данных. Microsoft 365 не создает видимые для клиентов журналы для этого действия. Кроме того, персонал Microsoft не имеет доступа к вашим данным в рамках этих обычных операций системы.
Регистрация ключей доступности Exchange Online и Skype для бизнеса
Когда Exchange Online и Skype для бизнеса получают доступ к ключу доступности для предоставления услуги, Microsoft 365 публикует видимые для клиентов журналы, доступные из Центра безопасности и соответствия требованиям.Запись журнала аудита для операции с ключом доступности создается каждый раз, когда служба использует ключ доступности. Новый тип записи под названием «Шифрование службы ключей клиента» с типом действия «Возврат к ключу доступности» позволяет администраторам фильтровать результаты поиска в едином журнале аудита для просмотра записей о ключах доступности.
Записи журнала включают такие атрибуты, как дата, время, активность, идентификатор организации и идентификатор политики шифрования данных. Запись доступна как часть единых журналов аудита и доступна на вкладке поиска в журнале аудита Центра безопасности и соответствия требованиям.
Записи ключей доступности
Exchange Online и Skype для бизнеса используют общую схему Office 365 Management Activity с добавленными настраиваемыми параметрами: идентификатор политики, идентификатор версии ключа области действия и идентификатор запроса.
Регистрация ключей доступности файлов SharePoint Online, OneDrive для бизнеса и Teams
Регистрация ключей доступности пока недоступна для этих служб. Для файлов SharePoint Online, OneDrive для бизнеса и Teams ключ доступности активируется корпорацией Майкрософт только по вашему указанию в целях восстановления.В результате вы уже знаете каждое событие, в котором ключ доступности используется для этих служб.
Ключ доступности в иерархии ключей клиентов
Microsoft 365 использует ключ доступности для обертывания нижнего уровня ключей в иерархии ключей, установленной для шифрования службы «Ключ клиента». Между службами существуют разные иерархии ключей. Ключевые алгоритмы также различаются между ключами доступности и другими ключами в иерархии каждой применимой службы. Алгоритмы ключа доступности, используемые различными службами, следующие:
Ключи доступности Exchange Online и Skype для бизнеса используют AES-256.
Ключи доступности файлов SharePoint Online, OneDrive для бизнеса и Teams используют RSA-2048.
Шифры шифрования, используемые для шифрования ключей для Exchange Online и Skype для бизнеса
Шифры шифрования, используемые для шифрования ключей для SharePoint Online и OneDrive для бизнеса
Статьи по теме
Irdeto и VOXX Automotive предоставляют владельцам автопарков простое и безопасное управление ключами

Новое партнерство передает управление ключами в руки клиентов автопарка.

NACV, АТЛАНТА — 28 октября 2019 г. — Владельцы автопарков, дилеры по продаже новых автомобилей и компании по прокату автомобилей переходят на цифровую трансформацию. Внедрение возможности подключения дало множество способов решить реальные проблемы бизнеса, связанные с каршерингом. Утерянные ключи, аутентификация водителя и другие проблемы быстро уходят в прошлое. Однако залогом успешного устранения этих проблем является безопасность.Благодаря Irdeto и VOXX Automotive владельцы автопарков, дилеры и компании, занимающиеся шерингом, теперь имеют простое и безопасное решение, которое дает их клиентам возможность доступа к транспортным средствам (включая запуск и управление транспортными средствами) и управление ключами на их мобильных устройствах.
Первое на рынке решение сочетает в себе Keystone от Irdeto с инновационной технологией eFob от VOXX, что позволяет использовать новые бизнес-модели автопарка для доступа к транспортным средствам и управления ключами, полностью устраняя необходимость в ключе и брелке. Важная функция с добавленной стоимостью для потребителей, технология eFob также имеет решающее значение для владельцев автопарков, которые хотят внедрить инновационные функции, такие как запуск и движение транспортного средства без ключа / без брелока, обмен цифровыми ключами, отслеживание и управление многопользовательскими транспортными средствами и многое другое. .Однако владельцы автопарков также знают, что безопасность имеет решающее значение для использования этих функций. Опыт Irdeto в области безопасности в сочетании с пятидесятилетним опытом VOXX по предоставлению передовых технологий производителям автомобильных комплектующих предлагает решение для управления ключами премиум-класса со встроенной системой безопасности, гарантирующее неизменность новых бизнес-моделей автопарка.
«Продолжение инноваций имеет решающее значение на сегодняшнем высококонкурентном автомобильном рынке», — сказал Эдвард Мас, президент VOXX Automotive . «Потребителям нужны не только новейшие и самые совершенные функции и возможности, но они также хотят управлять различными функциями автомобиля с помощью своих мобильных устройств.VOXX стремится к разработке технологий следующего поколения, которые устраняют разрыв между контентом, устройствами и возможностью подключения. Обладая более чем 50-летним опытом инноваций, мы искали компанию-единомышленницу, которая разделяла бы наш новаторский дух. Irdeto — идеальный партнер, предлагающий свои 50-летние инновации в области безопасности для создания новых бизнес-моделей автопарков, а также для новых автомобильных дилеров и компаний по прокату автомобилей ».
Сочетая в себе безопасное и защищенное от несанкционированного доступа управление политиками, которое предотвращает множество потенциальных взломов транспортных средств, Keystone представляет собой безопасную систему, которая позволяет владельцам транспортных средств создавать и контролировать политики, касающиеся многопользовательского доступа к транспортным средствам, настроек и использования.Irdeto использует свои собственные комплексные архитектуры безопасности, передовой опыт и технологии, чтобы гарантировать невозможность взлома Keystone. Решение также включает в себя функциональность на стороне ECU и облачные сервисы, а также полную внутреннюю систему управления с аналитикой. Отмеченная наградами технология eFob от VOXX Automotive предоставляет клиентам автопарка контроль над всеми функциями традиционных заводских брелков для входа / выхода без ключа, которые теперь доступны на большинстве легковых и грузовых автомобилей, просто подойдя к их автомобилю со смартфоном.Вместе эти решения обеспечивают наиболее безопасное и многофункциональное решение для управления ключами на рынке.
«Невозможно недооценить важность безопасности в современном цифровом мире», — сказал Нильс Хаверкорн, генеральный менеджер по подключенному транспорту, Irdeto . «Новый парк автомобилей и бизнес-модели подключенных автомобилей революционизируют автомобильное пространство. Однако, если безопасность не является встроенной с нуля, эти инновационные бизнес-модели обречены на провал. VOXX Automotive осознает эту важность, и, объединив свои усилия, мы облегчаем владельцам автопарков, дилерам по продаже новых автомобилей и компаниям, занимающимся каршерингом, внедрение безопасного и надежного решения для управления ключами.”
Чтобы узнать больше о Keystone, посетите: https://irdeto.com/keystone/
Профили IPSec
Профили IPSec
В отображаемых профилях IPSec перечислены все предварительно настроенные и настраиваемые профили IPSec.
Политика
описывает параметры безопасности, используемые для переговоров для установления и поддержания безопасного туннеля между двумя одноранговыми узлами.
Прежде чем настраивать безопасные туннели, чтобы сделать их настройку быстрее и проще, вы можете создать политики VPN, которые работают на глобальном уровне.Вместо того, чтобы настраивать параметры политики для каждого создаваемого туннеля, вы можете настроить общие политики, а затем применить их к своим безопасным туннелям.
Режим аутентификации
Для обеспечения безопасного обмена данными каждое согласование IKE (Internet Key Exchange) состоит из двух этапов — Этап 1 (Аутентификация) и Этап 2 (Обмен ключами).
На этапе 1 согласование устанавливает безопасный канал между одноранговыми узлами и определяет конкретный набор криптографических протоколов, обменивается общими секретными ключами и алгоритмом шифрования и аутентификации, который будет использоваться для генерации ключей.
Согласование фазы 2 устанавливает безопасный канал между одноранговыми узлами для защиты данных. Во время согласования на этапе 2 устанавливается ассоциация безопасности протокола для туннеля. Любой из одноранговых узлов может инициировать повторное согласование фазы 1 или фазы 2 в любое время. Оба могут указывать интервалы, после которых следует вести переговоры.
Срок службы ключа
Срок службы ключа указан как Срок службы ключа.
Как только соединение установлено после обмена аутентифицированными и зашифрованными ключами, соединение не разрывается до истечения срока действия ключа.Если срок службы ключей обоих одноранговых узлов не совпадает, переговоры будут происходить всякий раз, когда срок службы ключа любого однорангового узла закончится. Это означает, что злоумышленник должен расшифровать только один ключ, чтобы взломать вашу систему.
Генерация и ротация ключей важны, потому что чем дольше срок службы ключа, тем больший объем данных подвергается риску и тем легче становится перехватить более зашифрованный текст для анализа.
Perfect Forward Secrecy (PFS)
Сетевому злоумышленнику становится трудно получить общую картину, если ключи меняются, и им приходится постоянно взламывать ключи для каждого согласования.Это достигается за счет реализации PFS. При выборе PFS для каждого согласования будет генерироваться новый ключ, и будет включен новый обмен ключами DH. Так что каждый раз злоумышленнику придется взламывать еще один ключ, даже если он уже знает ключ. Это повышает безопасность.
Группа Диффи-Хеллмана (DH) (группа IKE)
Диффи-Хеллман — это криптографическая схема с открытым ключом, которая позволяет одноранговым узлам устанавливать общий секрет по незащищенному каналу связи. Обмен ключами Диффи-Хеллмана использует сложный алгоритм, а также открытые и закрытые ключи для шифрования, а затем дешифрования данных.
Группа Диффи-Хеллмана описывает длину ключа, используемого при шифровании. Номер группы также называется идентификаторами.
2342 сверстник, переговоры не удается.Группу нельзя переключить во время согласования.
Re-key Margin
Время до смены следующего ключа. Время рассчитывается путем вычитания времени, прошедшего с момента последнего обмена ключами, из срока службы ключа. Если для параметра Re-keying установлено значение «Yes», процесс переговоров запускается автоматически без прерывания обслуживания до истечения срока действия ключа.
Настройки обнаружения мертвого узла
Используется для проверки, может ли устройство подключиться к IP-адресу. Установите интервал времени, по истечении которого должен быть проверен статус однорангового узла и какие действия предпринять, если одноранговый узел не работает.
Туннельное согласование
Процесс согласования начинает устанавливать соединение, когда локальный или удаленный одноранговый узел хочет установить связь друг с другом. В зависимости от заданных параметров соединения генерируется ключ, который используется для переговоров. Срок службы ключа указан как Срок службы ключа. Как только соединение установлено, соединение активно / активно, и данные могут быть переданы до указанного срока действия ключа. Соединение будет закрыто / деактивировано по истечении срока действия ключа.
Если соединение должно быть активировано снова, тогда весь процесс согласования должен быть начат заново.Процесс согласования может быть запущен снова автоматически локальным или удаленным узлом, только если для параметра Разрешить смену ключей установлено значение «Да». Установите время смены ключа в терминах оставшегося срока службы ключа, когда согласование должно начинаться автоматически без прерывания связи до истечения срока действия ключа. Например, если срок службы ключа составляет 8 часов, а время запаса повторного ключа составляет 10 минут, то процесс согласования автоматически начнется через 7 часов 50 минут использования ключа.
Процесс согласования будет генерировать новый ключ только в том случае, если для Perfect Forward Secrecy (PFS) установлено значение «Да».PFS сгенерирует новый ключ с нуля, и между старым и новым ключом не будет зависимости.
DH Group
Длина ключа (бит)
1
768
1024
1536
14
2048
15
3072
16
16
Переназначение ключей
Результат
Да
Локальный и удаленный одноранговые узлы смогут инициировать запрос на соединение. В зависимости от PFS в процессе согласования будет использоваться тот же ключ или сгенерирован новый ключ.
№
Только удаленный узел сможет инициировать запрос на соединение.В зависимости от PFS в процессе согласования будет использоваться тот же ключ или сгенерирован новый ключ.
Устройство предоставляет 5 политик по умолчанию, и вы также можете создать собственную политику в соответствии с требованиями вашей организации.
Чтобы упростить настройку VPN-подключения, для часто используемых сценариев развертывания VPN включены следующие пять предварительно настроенных политик:
• Road warrior
• L2TP
• Подключение головного офиса
• Подключение филиалов
• По умолчанию
Он также предоставляет возможность добавить новую политику, обновить параметры существующей политики или удалить политику.
No related posts.

Тип	Описание	Преимущества	Недостатки
Самоподписанный сертификат	Сертификат подписан приложением, которое его создало.	Стоимость (бесплатно).	Сертификат не доверяет автоматически клиентским компьютерам и мобильным устройствам. Сертификат необходимо вручную добавить в хранилище доверенных корневых сертификатов на всех клиентских компьютерах и устройствах, но не все мобильные устройства позволяют вносить изменения в хранилище доверенных корневых сертификатов. Не все службы работают с самозаверяющими сертификатами. Трудно создать инфраструктуру для управления жизненным циклом сертификатов. Например, самозаверяющие сертификаты нельзя отозвать.
Сертификат, выданный внутренним центром сертификации	Сертификат выдается инфраструктурой открытых ключей (PKI) в вашей организации. Примером могут служить службы сертификации Active Directory (AD CS). Дополнительные сведения см. В разделе Обзор служб сертификации Active Directory.	Позволяет организациям выдавать собственные сертификаты. Дешевле, чем сертификаты коммерческого центра сертификации.	Повышенная сложность развертывания и обслуживания PKI. Сертификат не доверяет автоматически клиентским компьютерам и мобильным устройствам. Сертификат необходимо вручную добавить в хранилище доверенных корневых сертификатов на всех клиентских компьютерах и устройствах, но не все мобильные устройства позволяют вносить изменения в хранилище доверенных корневых сертификатов.
Сертификат, выданный коммерческим центром сертификации	Сертификат приобретен в надежном коммерческом центре сертификации.	Упрощенное развертывание сертификатов, поскольку все клиенты, устройства и серверы автоматически доверяют сертификатам.	Стоимость. Вам нужно спланировать заранее, чтобы свести к минимуму количество требуемых сертификатов.

Метод	Описание	Преимущества	Недостатки
Соответствие предмета сертификата	Поле Subject сертификата содержит общее имя (CN) хоста. Например, сертификат, выданный для www.contoso.com, можно использовать для веб-сайта https://www.contoso.com.	Совместим со всеми клиентами, устройствами и службами. Разделение на отдельные участки.Отзыв сертификата для хоста не влияет на другие хосты.	Количество необходимых сертификатов. Вы можете использовать сертификат только для указанного хоста. Например, вы не можете использовать сертификат www.contoso.com для ftp.contoso.com, даже если службы установлены на одном сервере. Сложность. На веб-сервере каждый сертификат требует привязки собственного IP-адреса.
Соответствие альтернативному имени субъекта сертификата (SAN)	В дополнение к полю Subject , поле Subject Alternative Name сертификата содержит список нескольких имен хостов.Например: www.contoso.com ftp.contoso.com ftp.eu.fabirkam.net	Удобство. Вы можете использовать один и тот же сертификат для нескольких хостов в нескольких отдельных доменах. Большинство клиентов, устройств и служб поддерживают сертификаты SAN. Аудит и безопасность. Вы точно знаете, какие хосты могут использовать сертификат SAN.	Требуется дополнительное планирование. При создании сертификата вам необходимо предоставить список хостов. Отсутствие разделения. Вы не можете выборочно отзывать сертификаты для некоторых из указанных хостов, не затрагивая все хосты в сертификате.
Соответствие подстановочного сертификата	Поле Subject сертификата содержит общее имя в виде подстановочного знака () плюс один домен или субдомен. Например, .contoso.com или * .eu.contoso.com. Подстановочный сертификат * .contoso.com можно использовать для: www.contoso.com ftp.contoso.com mail.contoso.com	Гибкость. Вам не нужно предоставлять список хостов при запросе сертификата, и вы можете использовать сертификат на любом количестве хостов, которое может вам понадобиться в будущем.	Вы не можете использовать подстановочные сертификаты с другими доменами верхнего уровня (TLD). Например, вы не можете использовать подстановочный сертификат * .contoso.com для хостов * .contoso.net. Вы можете использовать подстановочные сертификаты для имен хостов только на уровне подстановочного знака.Например, вы не можете использовать сертификат * .contoso.com для www.eu.contoso.com. Или вы не можете использовать сертификат * .eu.contoso.com для www.uk.eu.contoso.com. Старые клиенты, устройства, приложения или службы могут не поддерживать сертификаты с подстановочными знаками. Подстановочные знаки недоступны с сертификатами расширенной проверки (EV). Требуется тщательный аудит и контроль. Если подстановочный сертификат скомпрометирован, он повлияет на каждый хост в указанном домене.

Имя	Комментарии
Microsoft Exchange	Этот самозаверяющий сертификат Exchange имеет следующие возможности: Сертификат автоматически является доверенным для всех других серверов Exchange в организации.Сюда входят любые пограничные транспортные серверы, подписанные на организацию Exchange. Сертификат автоматически включается для всех служб Exchange, кроме единой системы обмена сообщениями, и используется для шифрования внутренней связи между серверами Exchange, службами Exchange на том же компьютере и клиентскими подключениями, которые передаются от служб клиентского доступа к внутренним службам в почтовом ящике. серверы. ( Примечание : единая система обмена сообщениями недоступна в Exchange 2019.) Сертификат автоматически включается для входящих подключений от внешних серверов обмена сообщениями SMTP и исходящих подключений к внешним серверам обмена сообщениями SMTP.Эта конфигурация по умолчанию позволяет Exchange предоставлять гибких TLS для всех входящих и исходящих SMTP-подключений. Exchange пытается зашифровать сеанс SMTP с внешним сервером обмена сообщениями, но если внешний сервер не поддерживает шифрование TLS, сеанс не будет зашифрован. Сертификат не обеспечивает шифрованную связь с внутренними или внешними клиентами. Клиенты и серверы не доверяют самозаверяющему сертификату Exchange, поскольку сертификат не определен в их доверенных корневых хранилищах сертификатов.
Сертификат аутентификации Microsoft Exchange Server	Этот самозаверяющий сертификат Exchange используется для межсерверной аутентификации и интеграции с использованием OAuth. Дополнительные сведения см. В разделе Планирование интеграции сервера Exchange Server с SharePoint и Skype для бизнеса.
WMSVC	Этот самозаверяющий сертификат Windows используется службой веб-управления в IIS для обеспечения удаленного управления веб-сервером и связанными с ним веб-сайтами и приложениями. Если вы удалите этот сертификат, служба веб-управления не запустится, если не будет выбран действующий сертификат. Если служба находится в этом состоянии, это может помешать установке обновлений Exchange или удалению Exchange с сервера. Инструкции по устранению этой проблемы см. В разделе Событие с кодом 1007 — Аутентификация службы веб-управления IIS

Сервис	Описание
IIS (HTTP)	По умолчанию следующие службы предлагаются на веб-сайте по умолчанию в службах клиентского доступа (интерфейс) на сервере почтовых ящиков и используются клиентами для подключения к Exchange: Автообнаружение Exchange ActiveSync Центр администрирования Exchange Веб-службы Exchange Распространение автономной адресной книги (OAB) Outlook Anywhere (RPC через HTTP) Outlook MAPI через HTTP Outlook в Интернете Remote PowerShell ^* Поскольку вы можете связать только один сертификат с веб-сайтом, все DNS-имена, которые клиенты используют для подключения к этим службам, должны быть включены в сертификат.Это можно сделать с помощью сертификата SAN или подстановочного сертификата.
POP или IMAP	Сертификаты, используемые для POP или IMAP, могут отличаться от сертификата, используемого для IIS. Однако для упрощения администрирования мы рекомендуем вам также включить имена хостов, которые используются для POP или IMAP, в ваш сертификат IIS и использовать один и тот же сертификат для всех этих служб.
SMTP	SMTP-подключения от клиентов или серверов обмена сообщениями принимаются одним или несколькими соединителями получения, которые настроены в транспортной службе переднего плана на сервере Exchange.Дополнительные сведения см. В разделе Соединители получения. Чтобы требовать TLS-шифрование для SMTP-подключений, можно использовать отдельный сертификат для каждого соединителя получения. Сертификат должен включать DNS-имя, которое используется клиентами или серверами SMTP для подключения к соединителю получения. Чтобы упростить управление сертификатами, рассмотрите возможность включения всех имен DNS, для которых вы должны поддерживать трафик TLS, в один сертификат. Чтобы требовать взаимной аутентификации TLS , где SMTP-соединения между исходным и целевым серверами зашифрованы и аутентифицированы, см. Безопасность домена.
Единая система обмена сообщениями	Дополнительные сведения см. В разделе Развертывание сертификатов для единой системы обмена сообщениями. Примечание : единая система обмена сообщениями недоступна в Exchange 2019.
Гибридное развертывание с Microsoft 365 или Office 365	Для получения дополнительной информации см. Требования к сертификатам для гибридных развертываний.
Безопасные / многоцелевые расширения почты Интернета (S / MIME)	Для получения дополнительной информации см. S / MIME для подписи и шифрования сообщений.

Недвижимость	Microsoft Exchange	Сертификат аутентификации Microsoft Exchange Server	WMSVC
Тема	`CN =` (например, `CN = Mailbox01` )	`CN = Сертификат аутентификации Microsoft Exchange Server`	`CN = WMSvc-` (например, `CN = WMSvc-Mailbox01` )
Альтернативные имена субъектов (CertificateDomains)	(например, Mailbox01) (например, Mailbox01.contoso.com)	нет	`WMSvc-` (например, `WMSvc-Mailbox01` )
Имеет закрытый ключ (HasPrivateKey)	Да (Верно)	Да (Верно)	Да (Верно)
PrivateKeyExportable ^*	Ложь	Истинно	Истинно
EnhancedKeyUsageList ^*	Проверка подлинности сервера (1.3.6.1.5.5.7.3.1)	Аутентификация сервера (1.3.6.1.5.5.7.3.1)	Аутентификация сервера (1.3.6.1.5.5.7.3.1)
Службы IIS ^*	`IIS: // / W3SVC / 1, IIS: // / W3SVC / 2` (например, `IIS: // Mailbox01 / W3SVC / 1, IIS: // Mailbox01 / W3SVC / 2` )	нет	нет
IsSelfSigned	Истинно	Истинно	Истинно
Эмитент	`CN =` (например, `CN = Mailbox01` )	`CN = Сертификат аутентификации Microsoft Exchange Server`	`CN = WMSvc-` (например, `CN = WMSvc-Mailbox01` )
Не до	Дата и время установки Exchange.	Дата и время установки Exchange.	Дата и время установки службы IIS Web Manager.
Срок действия истекает (NotAfter)	5 лет после `Не до` .	5 лет после `Не до` .	10 лет после `Не до` .
Размер открытого ключа (PublicKeySize)	2048	2048	2048
RootCAType		Нет
Услуги	IMAP, POP, IIS, SMTP	SMTP	Нет

Недвижимость	Microsoft Exchange	Сертификат аутентификации Microsoft Exchange Server	WMSVC
Алгоритм подписи	sha256RSA ¹	sha256RSA ¹	sha256RSA ¹
Алгоритм хеширования подписи	sha256 ¹	sha256 ¹	sha256 ¹
Использование ключа	Цифровая подпись, шифрование ключа (a0)	Цифровая подпись, шифрование ключа (a0)	Цифровая подпись, шифрование ключа (a0), шифрование данных (b0 00 00 00)
Основные ограничения	`Тип темы = Конечная сущность` `Ограничение длины пути = Нет`	`Тип темы = Конечная сущность` `Ограничение длины пути = Нет`	н / д
Алгоритм отпечатка	sha256 ¹	sha256 ¹	sha256 ¹

DH Group	Длина ключа (бит)
1	768
1024		1536
14	2048
15	3072
16
16

Переназначение ключей	Результат
Да	Локальный и удаленный одноранговые узлы смогут инициировать запрос на соединение. В зависимости от PFS в процессе согласования будет использоваться тот же ключ или сгенерирован новый ключ.
№	Только удаленный узел сможет инициировать запрос на соединение.В зависимости от PFS в процессе согласования будет использоваться тот же ключ или сгенерирован новый ключ.