novembre 14th, 2013

RMS (pour Active Directory Rights Management Services) est une planète relativement inconnue de l’univers Microsoft. D’une part parce qu’il s’agit d’un gestionnaire de DRM et que les DRM ont mauvaise presse, d’autre part parce qu’il était frappé d’une certaine forme d’autisme : Microsoft RMS ne protégeait que des documents Microsoft (gamme Office, Sharepoint, Outlook, Infopath), dans le cadre restreint d’un domaine piloté par les ADS et n’acceptant que des clients Windows. Une vision très microsoftienne du monde qui a permis à RMS de connaître le succès que l’on sait, autrement dit quasiment aucun.

Les choses risquent de changer avec une nouvelle version considérablement plus ouverte et « cloudifiée ». De manière lapidaire, RMS devient un service Azure, accessible gratuitement pour les particuliers. Quand bien même l’usager serait allergique au Cloud Microsoft qu’il lui suffit d’utiliser son « identité sociale virtuelle », compte Google Gmail ou Hotmail/Skype (phase encore en cours de développement, prévue pour 2014).

Pour les entreprises, il s’agit d’un service à ajouter dans les ADS Azure, et dans ce cas, la gestion des licences s’effectue en mode kiosque à raison de 2$ par poste environ. Une licence qui n’est nécessaire que si le poste est créateur de document, et non simple consommateur de contenu protégé à l’instar de tous les autres services drm concurrents.

Les formats de fichiers ne se limitent plus aux seuls Doc et XLS maison, et incluent désormais les formats les plus courants, tels que Gif, pdf, tiff, jpeg etc. Des API offrent aux développeurs d’intégrer le mode de protection RMS dans leurs programmes. Les formats plus exotiques ou d’applications étrangères peuvent être également protégés a posteriori dans un containeur indéchiffrable hormis par le destinataire qui, de son côté, doit posséder une application d’ouverture de containeur paramétré avec ses droits d’ouverture associés. Cette approche est certes plus lourde mais plus universelle. Que les fichiers soient encapsulés ou nativement générés à la sauce RMS, ils bénéficient du même niveau de gestion des droits : visualisation, édition, copie, impression, logon nécessaire à chaque ouverture de fichier, date d’expiration sont autant de règles pouvant être associées à un fichier transmis en fonction du niveau de confidentialité que l’on envisage d’appliquer

Mais l’évolution la plus importante de RMS est probablement son portage sur des plateformes non Windows et plus particulièrement : OSX, IOS et Android. Ce qui signifie que les documents protégés peuvent circuler dans un environnement Byod hétérogène. Ajoutons qu’en ces temps de suspicion barbouzesque et de doutes sur la solidité des outils de chiffrement offerts par les éditeurs (surtout ceux provenant de l’autre côté de l’Atlantique) que la partie « crypto » peut être confiée à un équipement dédié certifié. RMS est compatible par exemple avec les HSM de Thales.

L’équipe de développement de RMS a rédigé un billet de blog plus approfondi sur les caractéristiques de ce service.