Sophos SafeGuard Disk Encryption pour Mac Manuel d'administration. Version du produit : 6.1

Transcription

1 Sophos SafeGuard Disk Encryption pour Mac Manuel d'administration Version du produit : 6.1 Date du document : février 2014

2 Table des matières 1 À propos de SafeGuard Disk Encryption pour Mac Installation Configuration Utilisation de SafeGuard Disk Encryption pour Mac Récupération Désinstallation à partir du client Support technique Mentions légales

3 Manuel d'administration 1 À propos de SafeGuard Disk Encryption pour Mac Sophos SafeGuard Disk Encryption pour Mac fait bénéficier aux utilisateurs Mac OS X du même niveau de protection des données que la fonction de chiffrement de disque de SafeGuard Enterprise offre déjà aux utilisateurs Windows. SafeGuard Disk Encryption pour Mac est compatible avec la technologie de chiffrement FileVault 2 intégrée de Mac OS X. Le logiciel a recours à FileVault 2 pour chiffrer l'intégralité du disque dur afin que vos données soient en sécurité même en cas de perte ou de vol de votre ordinateur. Vous bénéficiez également de la possibilité d'appliquer et de gérer le chiffrement du disque sur des réseaux tout entier. Le chiffrement fonctionne de manière transparente. L'utilisateur ne sera pas invité à chiffrer ou à déchiffrer les fichiers lors de leur ouverture, modification ou enregistrement. SafeGuard Management Center vous permet de sélectionner les ordinateurs (Windows et Macs) à chiffrer, de suivre l'état de leur chiffrement et de fournir des outils de récupération aux utilisateurs ayant oublié leur mot de passe. 1.1 À propos de ce document Le présent document vous explique comment installer, configurer et administrer Sophos SafeGuard Disk Encryption pour Mac. Retrouvez plus d'informations sur le fonctionnement de SafeGuard Management Center et sur le paramétrage des règles dans le Manuel d'administration de SafeGuard Enterprise. Retrouvez plus d'informations sur l'utilisation du logiciel dans le Guide de démarrage rapide de Sophos SafeGuard Disk Encryption pour Mac. 1.2 Terminologie et acronymes La terminologie et les acronymes ci-dessous sont utilisés dans le présent document : Terme ou acronyme GUID POA SGN Sophos Signification ou explication Globally Unique Identifier (identifiant unique universel) : un numéro de référence unique utilisé en tant qu'identifiant dans les logiciels informatiques. Authentification au démarrage (synonyme : "authentification de préinitialisation") SafeGuard Enterprise Secure Sockets Layer : un protocole cryptographique permettant d'établir des communications sécurisées sur Internet. 3

4 Sophos SafeGuard Disk Encryption pour Mac 2 Installation Le chapitre suivant décrit l'installation de Sophos SafeGuard Disk Encryption sur les clients Mac OS X. Retrouvez plus d'informations sur la procédure d'installation de l'environnement d'administration (serveur backend) dans le Guide d'installation de SafeGuard Enterprise. Deux types d'installation du client Mac OS X sont disponibles : Installation manuelle (sous surveillance) Installation automatisée (sans surveillance) Le package du programme d'installation est signé. En cas de problèmes de connexion à Internet, la procédure d'installation peut être retardée d'au moins 20 minutes. 2.1 Conditions préalables à l'installation Avant de procéder à l'installation, assurez-vous que le certificat du serveur SGN-SSL a été importé dans le trousseau d'accès système et qu'il est défini sur Toujours approuver pour SSL. 1. Demandez à l'administrateur de votre serveur SafeGuard de vous fournir le certificat du serveur SGN pour la connexion SSL (fichier <nom certificat>.cer). 2. Importez le fichier <nom certificat>.cer dans votre jeu de clés. Allez dans Applications - Utilitaires et cliquez deux fois sur Trousseaux d accès.app. 3. Dans le volet de gauche, sélectionnez Système. 4. Ouvrez une fenêtre Finder et sélectionnez le fichier <nom certificat >.cer. 5. Faites glisser le fichier certificat et déposez-le dans la fenêtre Trousseaux d accès système. 6. Vous allez être invité à saisir votre mot de passe Mac OS X. 7. Après avoir saisi le mot de passe, cliquez sur Modifier le trousseau pour confirmer votre action. 8. Cliquez deux fois sur le fichier <nom certificat>.cer. Cliquez sur la flèche de gauche située à côté de Se fier et ouvrez le Trousseau de clés de confiance. 9. Pour Secure Sockets Layer (SSL), sélectionnez l'option Toujours approuver. 10. Fermez la boîte de dialogue. Vous allez être invité à saisir de nouveau votre mot de passe Mac OS X. 11. Saisissez votre mot de passe et cliquez sur Réglages de mise à jour pour confirmer. Un symbole + bleu apparaît dans le coin inférieur droit de l'icône de certificat. Il indique que ce certificat est marqué comme fiable pour tous les utilisateurs : 12. Ouvrez un navigateur Web et vérifiez que votre serveur SafeGuard Enterprise est disponible en saisissant serveur>. Vous pouvez à présent commencer l'installation. Remarque : 4

5 Manuel d'administration L'importation de certificats peut également être effectuée à l'aide de la commande sudo /usr/bin/security add-trusted-cert -d -k /Library/Keychains/System.keychain -r trustasroot -p ssl "/folder/<nom du certificat>.cer". Celle-ci peut également être utilisée pour le déploiement automatisé à l'aide d'un script. Changez les noms de dossier et de certificat en fonction de vos paramètres. Remarque : Si vous voulez éviter la procédure décrite ci-dessus, vous pouvez exécuter la commande sgdeadmin --disable-server-verify avec les droits sudo conformément aux instructions de la section Options de ligne de commande à la page 14. Nous déconseillons l'utilisation de cette option car elle risque de créer une faille de sécurité. 2.2 Installation manuelle (sous surveillance) Une installation manuelle (ou sous surveillance) vous permet de contrôler et de tester l'installation étape par étape. Elle est effectuée sur un seul Mac. Remarque : Assurez-vous que la vérification du serveur est configurée correctement conformément aux instructions de la section Conditions préalables à l'installation à la page Copiez le fichier Sophos SafeGuard DE for OS X dmg sur votre bureau. 2. Cliquez deux fois sur le fichier Sophos SafeGuard DE for OS X dmg pour installer l'application. Après avoir lu le fichier "readme", cliquez sur Sophos SafeGuard DE.pkg et suivez les instructions de l'assistant d'installation. Vous allez être invité à saisir votre mot de passe pour permettre l'installation du nouveau logiciel. 3. Cliquez sur Fermer pour terminer l'installation. 4. Suite au redémarrage de l'ordinateur, connectez-vous à l'aide de votre mot de passe Mac. 5. Ouvrez les Préférences Système et cliquez sur l'icône Sophos Encryption pou démarrer l'application. 6. Cliquez sur l'onglet Serveur. 7. Si les détails du serveur et du certificat apparaissent, passez les étapes suivantes et rendez-vous directement à l'étape 11 puis cliquez sur Synchroniser. Si aucune information n'apparaît, passez à l'étape suivante. 8. Sélectionnez le fichier ZIP de configuration (retrouvez plus d'informations sur la création d'un package de configuration pour les Macs dans la version 6.10 du Manuel d'administration de SafeGuard Enterprise à la section Utilisation de packages de configuration > Création d'un package de configuration pour les Macs). 9. Faites glisser le fichier ZIP dans la boîte de dialogue Serveur et déposez-le dans la zone de dépôt. 10. Vous allez être invité à saisir un mot de passe d'administrateur Mac. Saisissez le mot de passe et cliquez sur OK pour confirmer. 5

6 Sophos SafeGuard Disk Encryption pour Mac 11. Vérifiez la connexion au serveur SafeGuard Enterprise : les détails du certificat d'entreprise sont affichés dans la section inférieure de la boîte de dialogue Serveur. Cliquez ensuite sur Synchroniser. Une connexion réussie entraînera la mise à jour des informations sous "Dernier contact" (Onglet Serveur, zone Informations sur le serveur, Dernier contact :). Un échec de la connexion sera indiqué par l'icône ci-dessous : Retrouvez plus d'informations dans le fichier d'historique. Retrouvez plus d'informations sur la synchronisation et la connexion au serveur à la section Onglet Serveur à la page Installation automatisée (sans surveillance) via un logiciel de gestion à distance L'installation automatisée (sans surveillance) ne nécessite aucune intervention de la part de l'utilisateur pendant la procédure d'installation. Cette section décrit les étapes de base pour l'installation automatisée (sans surveillance) de SafeGuard Disk Encryption pour Mac. Veuillez utiliser le logiciel d'administration installé sur votre système. Les étapes peuvent varier selon la solution d'administration que vous utilisez. Remarque : Pour installer SafeGuard Disk Encryption pour Mac sur les ordinateurs clients, effectuez les étapes suivantes : 1. Téléchargez le programme d'installation Sophos SafeGuard DE for OS X dmg. 2. Copiez le fichier sur les machines cibles. 3. Installez le fichier sur les machines cibles. Si vous utilisez Apple Remote Desktop, les étapes 2 et 3 représentent une seule et même étape. 4. Sélectionnez le fichier ZIP de configuration (retrouvez plus d'informations sur la création d'un package de configuration pour les Macs dans la version 6.10 du Manuel d'administration de SafeGuard Enterprise à la section Utilisation de packages de configuration > Création d'un package de configuration pour les Macs) et copiez-le sur les machines cibles. 5. Exécutez la commande suivante sur les machines cibles : /usr/bin/sgdeadmin --import-config /full/path/to/file.zip Changez /full/path/to/file en fonction de vos paramètres. Cette commande doit être exécutée à l'aide des droits administrateur. Si vous utilisez Apple Remote Desktop, saisissez root dans le champ Nom d'utilisateur pour indiquer quel utilisateur a émis la commande mentionnée ci-dessus. 6

7 Manuel d'administration 3 Configuration Sophos SafeGuard Disk Encryption pour Mac OS X est administré dans SafeGuard Management Center. Le chapitre suivant aborde exclusivement la configuration Mac. Retrouvez des informations détaillées sur les fonctionnalités standard de Management Center dans le Manuel d'administration de SafeGuard Enterprise. Remarque : SafeGuard Disk Encryption pour Mac utilise uniquement les règles de type "Protection des périphériques" et ignore tous les paramètres de règle à l'exception de Cible et de Mode de chiffrement du support. 3.1 Options de configuration administrées de manière centralisée Les règles sont configurées de manière centralisée dans SafeGuard Management Center. SafeGuard Disk Encryption pour Mac utilise uniquement les règles de type "Protection des périphériques" et ignore tous les paramètres de règle à l'exception de Cible et de Mode de chiffrement du support. Pour commencer à utiliser le chiffrement intégral du disque, les paramètres doivent être choisi comme suit : 1. Créez une nouvelle règle de type Protection des périphériques. Pour Cible de protection de périphérique, sélectionnez Périphériques de stockage locaux, Stockage interne ou Volumes d'initialisation. Saisissez un nom pour la règle et cliquez sur OK. 2. Pour le Mode de chiffrement du support, sélectionnez Basé sur le volume. Une nouvelle règle de protection des périphériques est créée et configurée pour le chiffrement intégral du disque des Macs. Remarque : assurez-vous que la règle est attribuée aux clients qui seront chiffrés. Si tous les ordinateurs d'extrémité doivent être chiffrés, vous pouvez attribuer la règle sur le dossier de premier niveau de votre domaine ou de votre groupe de travail. Si l'équipe de votre service informatique effectue l'installation, veuillez ne pas attribuer la règle avant que les ordinateurs clients ne soient distribués aux utilisateurs. En effet, il y a un risque que l'ordinateur d'extrémité soit chiffré trop tôt et que le technicien du service informatique soit enregistré dans FileVault 2 à la place des utilisateurs. 3.2 Options de configuration administrées localement Les options suivantes sont configurées localement sur le client Mac : Définir l'intervalle de synchronisation Cette option vous permet de paramétrer les intervalles auxquels le client contacte le serveur pour synchroniser les paramètres. Utilisez la commande sgdeadmin --contact-interval pour indiquer un intervalle de temps précis (en minutes). Par exemple, la commande sgdeadmin --contact-interval 120 indique un intervalle de 2 heures. 7

8 Sophos SafeGuard Disk Encryption pour Mac Remarque : la valeur par défaut est de 90 minutes. Synchroniser les informations de la base de données Utilisez la commande sgdeadmin --synchronize pour commencer à synchroniser les informations de la base de données (stratégies, clés, etc.) à partir du serveur backend SafeGuard Enterprise. Activer ou désactiver le menu système Utilisez la commande sgdeadmin --enable-systemmenu pour activer le menu système dans le coin supérieur droit. Utilisez la commande sgdeadmin --disable-systemmenu pour désactiver le menu système. Remarque : suite à l'installation de SafeGuard Disk Encryption, le paramètre par défaut du menu système est défini sur "disabled" ce qui signifie qu'il est désactivé. Retrouvez plus d'informations sur le menu système à la section Menu système de Sophos SafeGuard Disk Encryption à la page 14. Retrouvez une vue générale complète de toutes les options de la ligne de commande à la section Options de la ligne de commandes à la page 14. 8

9 Manuel d'administration 4 Utilisation de SafeGuard Disk Encryption pour Mac Un Guide de démarrage rapide de Sophos SafeGuard Disk Encryption vous explique l'utilisation de l'application. Retrouvez la dernière version de la documentation des produits sur Les sections suivantes contiennent des informations destinées aux administrateurs sur l'utilisation de SafeGuard Disk Encryption pour Mac. 4.1 Fonctionnement du chiffrement FileVault 2 maintient toutes les données sécurisées sur le disque dur grâce au chiffrement de données XTS-AES-128 opérant au niveau du disque. L'algorithme a été optimisé pour les blocs de 512 octets. La conversion du texte brut en texte crypté et vice versa est effectuée instantanément et a peu d'impact sur l'activité de l'utilisateur étant donné sa priorité peu élevée. L'un des obstacles classiques à l'utilisation du chiffrement intégral du disque était que l'utilisateur devait s'authentifier par deux fois : une fois pour déverrouiller le volume d'initialisation chiffré (authentification au démarrage) et une seconde fois pour se connecter à son ordinateur. Ces opérations ne sont, à présent, plus nécessaires. L'utilisateur saisit son mot de passe à la connexion avant le démarrage et le système déclenche le transfert du mot de passe lorsque le système d'exploitation est en route et demande les codes d'accès de connexion. Le transfert de mot de passe évite à l'utilisateur d'avoir à se connecter deux fois suite à un démarrage à froid. L'utilisateur peut réinitialiser son mot de passe à tout moment sans avoir à chiffrer de nouveau le volume. Ceci est rendu possible par le système de clé multi-niveaux qui est utilisé. Les clés affichées à l'utilisateur (clés de connexion et clés de récupération) sont des clés de chiffrement dérivées pouvant être remplacées. L'authentique clé de chiffrement de volume n'est jamais transmise à l'utilisateur. Retrouvez plus d'informations sur FileVault 2 dans le Livre blanc technique d'apple - Bon usage pour le déploiement de FileVault 2 (Août 2012), disponible au téléchargement sur le site Web d'apple. 4.2 Chiffrement initial Si un chiffrement de volume du disque système est indiqué dans la règle, le chiffrement du disque sera activé pour l'utilisateur connecté. Sur le client, procédez aux étapes suivantes : 1. Avant que l'opération de chiffrement ne démarre, une boîte de dialogue apparaît invitant à saisir le mot de passe de connexion. Veuillez saisir le mot de passe Mac OS X. Si la boîte de dialogue vibre, le mot de passe est incorrect. Veuillez réessayer. Remarque : si le mot de passe est vide, veuillez-le changer. Il n'est pas possible d'activer le chiffrement du disque sans mot de passe. 9

10 Sophos SafeGuard Disk Encryption pour Mac 2. Patientez pendant le redémarrage du Mac. Remarque : en cas d'échec de l'activation du chiffrement, un message d'erreur apparaît. Retrouvez plus d'informations dans les fichiers d'historique. Retrouvez-les dans /var/log/system.log sauf si vous avez changé l'emplacement manuellement. 3. Le chiffrement du disque commence et s'effectue en tâche de fond. L'utilisateur peut continuer à travailler. L'utilisateur est ajouté en tant que premier utilisateur FileVault 2 de l'ordinateur d'extrémité. 4.3 Déchiffrement Il n'est généralement pas nécessaire de déchiffrer. Si vous définissez une règle stipulant qu'aucun chiffrement n'est nécessaire pour vos clients Mac déjà chiffrés, ceux-ci resteront chiffrés. Par contre, les utilisateurs auront la possibilité de les déchiffrer. Ils trouveront le bouton correspondant dans le volet de préférences. Retrouvez plus d'informations à la section Onglet Chiffrement du disque à la page 13. Les utilisateurs disposant des droits d'administrateur local pourront déchiffrer manuellement leur disque dur à l'aide de la fonctionnalité FileVault 2 intégrée. Toutefois, ils seront invités à redémarrer pour terminer l'opération de déchiffrement. Dès que le Mac aura redémarré, SafeGuard Disk Encryption pour Mac appliquera le chiffrement si une règle a été définie dans ce sens. 4.4 Ajout d'un utilisateur FileVault 2 Seuls les utilisateurs qui sont déjà enregistrés dans FileVault 2 sur l'ordinateur d'extrémité pourront se connecter au système après son redémarrage. Pour ajouter un utilisateur à FileVault 2, procédez de la manière suivante : 1. Lorsque le Mac est en cours de fonctionnement, connectez-vous sous le nom de l'utilisateur que vous souhaitez enregistrer dans FileVault Saisissez les codes d'accès de cet utilisateur dans la boîte de dialogue Activation de votre compte. Si vous utilisez la version 10.8 de Mac OS X, vous allez devoir saisir les codes d'accès de l'utilisateur ainsi que ceux d'un utilisateur déjà activé dans FileVault 2. La version 10.9 de Mac OS X ne vous demande pas d'effectuer ces opérations. Par conséquent, à l'exception de la version 10.8 de Mac OS X, les utilisateurs pourront se connecter aussi facilement que s'il n'y avait aucun logiciel de chiffrement du disque installé sur leur ordinateur. 4.5 Suppression d'un utilisateur FileVault 2 Il est possible de supprimer un utilisateur de la liste des utilisateurs affectés à un Mac dans SafeGuard Management Center. À la prochaine synchronisation, l'utilisateur ne fera également plus partie des utilisateurs FileVault 2 sur l'ordinateur d'extrémité. En revanche, ceci ne signifie pas que l'utilisateur ne sera plus en mesure de se connecter au Mac. Pareillement à tout autre nouvel utilisateur, il lui suffira de se connecter à un Mac afin d'être à nouveau autorisé d'accès. 10

11 Manuel d'administration Si vous voulez vraiment empêcher un utilisateur de démarrer un Mac, indiquez que cet utilisateur est bloqué dans Management Center. L'utilisateur sera supprimé de la liste des utilisateurs FileVault 2 du client et aucune nouvelle autorisation ne sera possible. Remarque : il est possible de supprimer les utilisateurs FileVault 2 à l'exception du dernier d'entre-eux. Le propriétaire peut également être supprimé. Dans ce cas, l'utilisateur suivant dans la liste est indiqué comme étant le propriétaire. SafeGuard Disk Encryption pour Mac ne fait aucune différence entre un utilisateur et un propriétaire. 4.6 Synchronisation avec le serveur backend Pendant le processus de synchronisation, l'état des clients est signalé au serveur backend de SafeGuard Enterprise. Les règles sont mises à jour et l'attribution utilisateur/machine est vérifiée. Les informations suivantes sont donc envoyées à partir des clients et apparaissent dans SafeGuard Management Center : Dès que l'ordinateur d'extrémité est chiffré, l'authentification au démarrage est vérifiée. Les autres informations affichées incluent le nom du lecteur, l'intitulé, le type, l'état, l'algorithme et le système d'exploitation. Les nouveaux utilisateurs FileVault 2 sont également ajoutés dans Management Center. Remarque : si le logiciel client SafeGuard Enterprise est supprimé d'un ordinateur d'extrémité, cet ordinateur ainsi que ses utilisateurs demeurent visibles dans SafeGuard Management Center. En revanche, la date et l'heure auxquelles le serveur a été contacté pour la dernière fois ne changent plus. Les modifications ci-dessous ont lieu sur le client : Les règles modifiées dans Management Center sont modifiées sur le client. Les utilisateurs supprimés ou bloqués dans Management Center sont également supprimés de la liste des utilisateurs FileVault 2 sur le client. 4.7 Fenêtre de préférences Une fenêtre de préférences vous permet de définir vos préférences pour une application spécifique ou pour le système. Suite à l'installation de Sophos Encryption sur un client Mac, vous allez voir apparaître l'icône de la fenêtre de préférences ci-dessous dans les Préférences système : Cliquez sur l'icône pour ouvrir le volet des préférences Sophos Encryption. La boîte de dialogue À propos s'ouvre. La barre de menus vous permet d'ouvrir les fenêtres d'informations du menu suivantes : 11

12 Sophos SafeGuard Disk Encryption pour Mac Onglet À propos L'onglet À propos vous donne des renseignements sur la version du produit installée sur le client, sur les droits d'auteur et sur les marques déposées. Si Sophos SafeGuard File Encryption est installé, il sera également répertorié dans la liste. Cliquez sur le point d'interrogation dans le coin inférieur droit pour ouvrir le Guide de démarrage rapide de Sophos SafeGuard Disk Encryption dans la langue de votre système Onglet Serveur Cliquez sur Serveur pour afficher une fenêtre contenant les informations et fonctionnalités suivantes : Informations sur le serveur Intervalle de contact : indique l'intervalle auquel a lieu la synchronisation avec le serveur. Retrouvez plus d'informations sur le paramétrage de cet intervalle à la section Options de configuration administrées localement à la page 7. La valeur par défaut est de 90 minutes. Dernier contact : indique la date à laquelle le client a communiqué pour la dernière fois avec le serveur URL du serveur principal : URL de connexion au serveur principal URL du serveur secondaire : URL de connexion au serveur secondaire Vérification du serveur : indique si la vérification du serveur SSL pour entrer en communication avec le serveur SafeGuard Enterprise est activée ou désactivée. Retrouvez plus d'informations sur la modification de cette option à la section Options de ligne de commande à la page 14 (commande sgdeadmin --enable-server-verify ou sgdeadmin --disable-server-verify). Faire glisser le fichier ZIP de configuration ici Faites glisser le fichier ZIP de configuration dans cette zone pour appliquer les informations de configuration du Management Center au client Mac. Retrouvez plus d'informations à la section Installation manuelle (sous surveillance) à la page 5. Synchroniser Cliquez sur ce bouton pour démarrer manuellement la synchronisation des informations de la base de données telles que les stratégies. Cette opération pourrait être nécessaire suite aux modifications effectuées dans SafeGuard Management Center. En cas d'échec de la synchronisation, l'icône ci-dessous apparaît : Ouvrez le fichier d'historique pour trouver plus de renseignements sur les causes possibles du problème. Vous pouvez modifier l'intervalle de contact de la synchronisation automatique en modifiant le paramètre correspondant. Retrouvez plus d'informations à la section Options de configuration administrées localement à la page 7. 12

13 Manuel d'administration Certificat d'entreprise Valide à partir du : date de début de validité du certificat. Valide jusqu'au : date de fin de validité du certificat. Émetteur : instance ayant émis le certificat. N de série : numéro de série du certificat de l'entreprise Onglet Utilisateur Cliquez sur Utilisateur pour afficher les informations sur : Le Nom d'utilisateur de l'utilisateur connecté. Le Domaine répertoriant le répertoire du domaine auquel appartient le client. Le nom de l'ordinateur local est affiché pour les utilisateurs locaux. Remarque : L'entrée Domaine doit être identique à l'entrée dans Préférences système - Utilisateurs et groupes - Options de connexion - Compte serveur réseau La GUID de l'utilisateur SafeGuard affiche la GUID qui a été générée pour l'utilisateur suite à sa première connexion. Dans le second volet, vous pouvez sélectionner/dessélectionner l'option suivante : Afficher le menu système de Disk Encryption : lorsque cette option est activée, l'icône Sophos SafeGuard Disk Encryption apparaît dans la barre de menus. Retrouvez plus d'informations à la section Menu système de Sophos SafeGuard Disk Encryption à la page 14. Le troisième volet affiche les informations sur le Certificat de l'utilisateur (elle n'est pas nécessaire pour le chiffrement des disques) : Valide à partir du : date de début de validité du certificat. Valide jusqu'au : date de fin de validité du certificat. Émetteur : instance ayant émis le certificat. N de série : numéro de série du certificat Onglet Chiffrement du disque Cliquez sur Chiffrement du disque pour afficher des informations sur les règles en cours d'application et sur l'état du client Mac. Le premier volet vous indique si le disque système doit être chiffré conformément à la règle définie par le responsable de la sécurité. Le second volet affiche l'état du client Mac. Il peut s'agir de l'un des suivants : Le disque système est chiffré et une clé de récupération stockée de manière centralisée est disponible. 13

14 Sophos SafeGuard Disk Encryption pour Mac Le disque système est chiffré mais aucune clé de récupération stockée de manière centralisée n'est disponible. Le disque système n est pas chiffré. En bas de la fenêtre, un bouton Déchiffrer le disque système apparaît. Il sera activé si FileVault 2 est activé, si l'utilisateur est activé dans FileVault 2 et si le responsable de la sécurité a défini une règle stipulant que le chiffrement n'est pas nécessaire pour le client. Remarque : si aucune clé de récupération centrale n'est disponible, le support technique ne pourra pas vous aider à récupérer votre mot de passe. Dans ce cas, la clé de récupération doit être importée à l'aide de l'outil de ligne de commande : sgdeadmin --import-recoverykey. Si l'utilisateur et le responsable de la sécurité ne savent pas quelle clé de récupération utilisée, le déchiffrement et le chiffrement du disque seront nécessaires afin de créer une nouvelle clé de récupération. 4.8 Menu système de Sophos SafeGuard Disk Encryption Le menu système fournit les informations suivantes : L'icône (sur la gauche) indique l'état du chiffrement : Figure 1 : menu système Icône verte : le disque système est chiffré. Icône rouge : le disque système n est pas chiffré. L'élément suivant du menu est disponible lorsque vous cliquez sur l'icône : Ouvrir les préférences Sophos Encryption... Ouvre la fenêtre de préférences Sophos Encryption. Remarque : retrouvez plus d'informations sur l'activation ou la désactivation du menu système à la section Onglet Utilisateur à la page Options de ligne de commande L'application Terminal vous permet de saisir les commandes et les options de ligne de commande. Les options de ligne de commande suivantes sont disponibles : 14

15 Manuel d'administration Nom de la commande sgdeadmin sgdeadmin --version sgdeadmin --status sgdeadmin --list-user-details sgdeadmin --list-policies sgdeadmin --synchronize sgdeadmin --import-recoverykey sgdeadmin --import-config "/path/to/target/file" Définition Répertorie toutes les commandes disponibles y compris les conseils d'utilisation Affiche la version et le copyright du produit installé Renvoie des informations sur l'état du système telle que la version, le serveur et le certificat. Renvoie des informations sur l'utilisateur connecté. Affiche des informations relatives à la règle. Les GUID de clé sont résolus en noms de clé si possible. Une clé personnelle sera affichée en caractères gras. Force l'établissement immédiat d'un contact avec le serveur (nécessite une connexion serveur opérationnelle). Importe la clé de récupération FileVault 2 et remplace la clé de récupération déjà existante Importe le fichier ZIP de configuration indiqué. Retrouvez plus d'informations à la section Installation manuelle (sous surveillance) à la page 5. Cette commande nécessite de disposer des droits administratifs (sudo). Paramètres additionnels/suppléments (facultatif) Supplément possible --help --all affiche les informations sur tous les utilisateurs (commande sudo requise) --xml renvoie un fichier généré au format xml. --all affiche les informations sur tous les utilisateurs (commande sudo requise) --xml renvoie un fichier généré au format xml. --force remplace la clé de récupération déjà existante sans demander de confirmation supplémentaire "recoverykey" demande à l'utilisateur de saisir la clé de récupération s'il ne l'a pas fait 15

16 Sophos SafeGuard Disk Encryption pour Mac Nom de la commande Définition Remarque : Utilisez l'opération glisser-déplacer pour déplacer, par exemple, un chemin complet du Finder à l'application Terminal. Paramètres additionnels/suppléments (facultatif) sgdeadmin --enable-server-verify sgdeadmin --disable-server-verify Active la vérification du serveur SSL pour la communication avec le serveur SafeGuard Enterprise. Suite à l'installation, la vérification du serveur SSL est activée. Cette commande nécessite de disposer des droits administratifs (sudo). Désactive la vérification du serveur SSL pour la communication avec le serveur SafeGuard Enterprise. Cette commande nécessite de disposer des droits administratifs (sudo). Remarque : Nous déconseillons l'utilisation de cette option car elle risque de créer une faille de sécurité. Les commandes suivantes sont expliquées en détails à la section Options de configuration administrées localement à la page 7 : sgdeadmin --enable-systemmenu sgdeadmin --disable-systemmenu sgdeadmin --contact-interval sgdeadmin --synchronize 16

17 Manuel d'administration 5 Récupération La récupération est un moyen d'accéder à un volume chiffré à l'aide d'une clé de récupération archivée de manière centralisée. Cette opération est particulièrement utile lorsqu'un utilisateur a oublié son mot de passe de connexion Mac OS X et qu'aucun autre code d'accès n'est disponible. 5.1 Gestion de la clé de récupération Si tous les utilisateurs FileVault d'un système particulier oublient leur mot de passe, si les codes d'accès ne sont pas disponibles et si aucune clé de récupération n'est disponible, le volume chiffré ne peut pas être déverrouillé et les données sont inaccessibles. Il se peut que les données soient définitivement perdues. Par conséquent, il est essentiel de préparer un programme de récupération correct. Une nouvelle clé de récupération est générée à chaque activation du chiffrement du disque. Si Sophos SafeGuard Disk Encryption n'est pas installé au moment de l'opération de chiffrement, elle est visible par l'utilisateur qui en est, par conséquent, responsable et doit veiller à ne pas la perdre. Si Sophos SafeGuard Disk Encryption est installé, elle est envoyée par un canal sécurisé au serveur backend de SafeGuard Enterprise et archivée de manière centralisée. Le responsable de la sécurité peut la récupérer à chaque fois qu'il en a besoin. Retrouvez plus d'informations sur le processus de récupération à la section Oubli du mot de passe de connexion à Mac OS X à la page 18. Même si SafeGuard Disk Encryption n'a pas été installé lorsque le disque a été chiffré, la clé de récupération peut être gérée de manière centralisée. Il est donc nécessaire de l'importer. L'option de ligne de commande adéquate est sgdeadmin --import-recoverykey. Retrouvez plus d'informations à la section Options de ligne de commande à la page 14. Toute entrée dans la clé de récupération sera envoyée en lettre majuscule. Remarque : Mac OS X 10.8 : la clé de récupération ne sera pas vérifiée. Il relève de la responsabilité de l'utilisateur de la saisir correctement. Un message d'erreur apparaîtra uniquement en cas de format incorrect. Mac OS X 10.9 : la clé de récupération sera vérifiée. Retrouvez plus d'informations sur la vérification qu'une clé de récupération est bien présente pour un client à la section Onglet Chiffrement du disque à la page 13. En cas de présence d'une clé de récupération institutionnelle, elle peut également être utilisée à des fins de récupération. Retrouvez plus d'informations dans l'article OS X : création et déploiement d une clé de secours pour FileVault 2 sur support.apple.com/kb/ht

18 Sophos SafeGuard Disk Encryption pour Mac 5.2 Oubli du mot de passe de connexion Mac OS X Si un utilisateur oublie son mot de passe de connexion Mac OS X et que vous n'avez pas d'autres codes d'accès à disposition, procédez de la manière suivante : 1. L'utilisateur allume le Mac. 2. L'utilisateur clique sur le symbole? dans la boîte de dialogue de connexion. L'utilisateur peut également saisir un mot de passe de connexion incorrect trois fois successivement. Le mémo de mot de passe apparaît et l'utilisateur est invité à réinitialiser son mot de passe à l'aide de la clé de récupération. 3. L'utilisateur clique sur le triangle se trouvant à côté du message afin de passer à l'étape suivante (saisie de la clé de récupération) : 4. Dans SafeGuard Management Center, ouvrez l'assistant de récupération en sélectionnant Outils > Récupération pour afficher la clé de récupération de la machine spécifique. 5. Communiquez à l'utilisateur la clé de récupération à saisir sur le Mac. Le Mac démarre et l'utilisateur est invité à saisir le nouveau mot de passe et un mémo de mot de passe. Mac OS X 10.9 uniquement : la clé de récupération est remplacée dès sa première utilisation pour démarrer le système. La nouvelle clé de récupération est générée automatiquement et envoyée au serveur backend SafeGuard Enterprise sur lequel elle va être archivée et mise à disposition pour la prochaine opération de récupération. Remarque : veuillez uniquement communiquer la clé de récupération d'un ordinateur d'extrémité à une personne de confiance! Une clé de récupération est toujours spécifique à une machine et pas à un utilisateur. Il est donc nécessaire de vérifier qu'elle n'est pas utilisée pour obtenir un accès non autorisé aux données sensibles d'un autre utilisateur sur la même machine. 18

19 Manuel d'administration 6 Désinstallation à partir du client Si vous devez désinstaller le logiciel à partir d'un ordinateur client, procédez de la manière suivante : 1. Sur le client Mac, allez dans /Library. 2. Sélectionnez le dossier /Sophos SafeGuard DE. 3. Sélectionnez et cliquez deux fois sur le fichier Sophos SafeGuard DE Uninstaller.pkg 4. Un assistant vous guide tout au long de la désinstallation. Remarque : il n'est pas nécessaire de déchiffrer le disque avant de désinstaller le logiciel. Remarque : tout utilisateur avec les droits administratifs sera en mesure de désinstaller le logiciel. (Une règle empêchant d'effectuer cette opération sur les clients Windows n'a aucun effet sur les clients Mac.) Remarque : le package du programme de désinstallation est signé. En cas de problèmes de connexion à Internet, la procédure de désinstallation peut être retardée d'au moins 20 minutes. 19

20 Sophos SafeGuard Disk Encryption pour Mac 7 Support technique Vous bénéficiez du support technique des produits Sophos de l'une des manières suivantes : Rendez-vous sur le forum de la communauté SophosTalk en anglais sur community.sophos.com et recherchez d'autres utilisateurs rencontrant le même problème que le vôtre. Rendez-vous sur la base de connaissances du support de Sophos sur Téléchargez la documentation des produits sur Envoyez un à [email protected], y compris le(s) numéro(s) de version du logiciel Sophos, le(s) système(s) d'exploitation et le(s) niveau(x) de correctif ainsi que le texte de tous les messages d'erreur. 20

21 Manuel d'administration 8 Mentions légales Copyright 2014 Sophos Limited. Tous droits réservés. Aucune partie de cette publication ne peut être reproduite, stockée dans un système de recherche documentaire ou transmise, sous quelque forme ou par quelque moyen que ce soit, électronique, mécanique, photocopie, enregistrement ou autre sauf si vous possédez une licence valide, auquel cas vous pouvez reproduire la documentation conformément aux termes de cette licence ou si vous avez le consentement préalable écrit du propriétaire du copyright. Sophos, Sophos Anti-Virus et SafeGuard sont des marques déposées de Sophos Limited, Sophos Group et de Utimaco Safeware AG, partout ou ceci est applicable. Tous les autres noms de produits et d'entreprises cités dans ce document sont des marques ou des marques déposées de leurs propriétaires respectifs. Avis de non-responsabilité et déclaration de copyright pour le logiciel tiers This product includes software developed by the OpenSSL Project for use in the OpenSSL Toolkit ( AES-NI This software uses code from the Intel_aes_lib. The following is applicable to Intel_aes_lib: /* intel_aes_lib source files come from Intel. * Modified by Patrick Fay Copyright (c) 2010, Intel Corporation All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. Neither the name of Intel Corporation nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission. THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER 21

22 Sophos SafeGuard Disk Encryption pour Mac IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE Issue Date: Aug 6, 2010 DISCLAIMER [The AES-NI library] software is provided 'as is' with no explicit or implied warranties in respect of its properties, including, but not limited to, correctness and/or fitness for purpose. Gladman AES Copyright (c) , Brian Gladman, Worcester, RU. All rights reserved. LICENSE TERMS The free distribution and use of this software is allowed (with or without changes) provided that: 1. source code distributions include the above copyright notice, this list of conditions and the following disclaimer; 2. binary distributions include the above copyright notice, this list of conditions and the following disclaimer in their documentation; 3. the name of the copyright holder is not used to endorse products built using this software without specific written permission. DISCLAIMER This software is provided 'as is' with no explicit or implied warranties in respect of its properties, including, but not limited to, correctness and/or fitness for purpose. Zlib, Part of FreeType zlib.h -- interface of the 'zlib' general purpose compression library version 1.1.4, March 11th, 2002 Copyright (C) Jean-loup Gailly and Mark Adler This software is provided 'as-is', without any express or implied warranty. In no event will the authors be held liable for any damages arising from the use of this software. Permission is granted to anyone to use this software for any purpose, including commercial applications, and to alter it and redistribute it freely, subject to the following restrictions: 1. The origin of this software must not be misrepresented; you must not claim that you wrote the original software. If you use this software in a product, an acknowledgment in the product documentation would be appreciated but is not required.2. Altered source versions must be plainly marked as such, and must not be misrepresented as being the original software. 3. This notice may not be removed or altered from any source distribution. Jean-loup Gailly [email protected] Mark Adler [email protected] 22

23 Manuel d'administration The data format used by the zlib library is described by RFCs (Request for Comments) 1950 to 1952 in the files ftp://ds.internic.net/rfc/rfc1950.txt (zlib format), rfc1951.txt (deflate format) and rfc1952.txt (gzip format). PCF, Part of FreeType Copyright (C) 2000 by Francesco Zappa Nardelli Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: THE SOFTWARE IS PROVIDED "AS IS",WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE. GptLib Copyright (c) 2002 Marcel Moolenaar All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: 1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer.2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. gsoap Rationale This license agreement for commercial use of the gsoap software standard edition in open source form shall replace the gsoap public license and GPL license for Customer's use of the Software, thereby permanently replacing the terms and conditions imposed by the gsoap public license and GPL license, as set forth in this Agreement. This license covers the entire 23

24 Sophos SafeGuard Disk Encryption pour Mac gsoap source distribution, including, but not limited to, the runtime library, compiler, WSDL importer, example applications, and documentation. THIS LICENSE AGREEMENT ("Agreement") is made and entered into as of the last date executed by the parties below (the "Effective Date") by and between GENIVIA, INC., a Florida corporation having a principal place of business at 3178 Shamrock East, Tallahassee, Florida 32309, USA, ("Genivia"), and Sophos Limited and its subsidiaries and affiliates, a company in accordance with the laws of England and Wales having a principal place of business at The Pentagon, Abingdon, OX14 3YP, United Kingdom ("Customer"). The parties agree as follows: 1. DEFINITIONS. "Original Code" means Source Code of computer software code which is described in the Source Code notice required by Exhibit A as Original Code. "Modifications" means any addition to or deletion from the substance or structure of either the Original Code or any previous Modifications. When Covered Code is released as a series of files, a Modification is: (i) any addition to or deletion from the contents of a file containing Original Code or previous Modifications; (ii) any new file that contains any part of the Original Code, or previous Modifications. "Covered Code" means the Original Code, or Modifications or the combination of the Original Code, and Modifications, in each case including portions thereof. "Software" means the Covered Code and accompanying documentation and support files referenced in section 1 of Exhibit A, including Updates (if any). "Updates" means any patches, bug fixes, upgrades, and new versions of the Software made generally available by Genivia during the term of this Agreement. "Source Code" means computer programming code in human readable form that is not suitable for machine execution without the intervening steps of interpretation or compilation, meaning the preferred form of the Covered Code for making modifications to it, including all modules it contains, plus any associated interface definition files, scripts used to control compilation and installation of an Executable Object Code, or source code differential comparisons against the Original Code. The Source Code can be in a compressed or archival form, provided the appropriate decompression or de-archiving software is widely available for no charge. GENIVIA INC. STANDARD EDITION LICENSE AGREEMENT FOR COMMERCIAL USE 2 of 8 "Executable Object Code" means the computer programming code in any other form than Source Code that is not readily perceivable by humans and suitable for machine execution without the intervening steps of interpretation or compilation. "Authorized Site" means the specific address of Customer s facility consisting of a single building or multiple buildings on a contiguous campus as specified in Exhibit A. "Project" means a concerted undertaking by an identified Customer development team to design or produce a Target Application. "Run-Time Module" means the Software in Source Code form or as Executable Object Code to be incorporated into a Target Application as inseparably embedded code or statically linked to a Target Application. 24

25 Manuel d'administration "Target Application" means an end-user item, such as a software product that is possibly replicated in identical form and offered for sale or licensed to third parties, or a device or system developed by Customer pursuant to a Project that contains a Run-Time Module, or any portion thereof, as specified in Exhibit A and any Updates made during the term of this Agreement. 2. SOURCE CODE LICENSE. Subject to Customer s compliance with the terms and conditions of this Agreement and payment of any applicable fees, Genivia hereby grants to Customer a non-transferable, nonexclusive, worldwide, perpetual, royalty-free, paid-up license: (i) to reproduce and use the Software solely at the Authorized Sites in connection with the Project; (ii) to make backup copies at the Authorized Sites for the purpose of this Agreement; (iii) to store the Software in a source code repository; (iv) to create Modifications and other derivative works of the Software, solely to the extent necessary to support the development of the Target Application; (v) to compile the Software, including any Modifications and derivative works thereof, into Run-Time Modules; (vi) to reproduce an unlimited number of Run-Time Modules for physical incorporation into the Target Application; and (vii) to market, sell, offer to sell, and distribute the Target Application. 3. RESTRICTIONS. Customer shall reproduce and include any and all copyright notices and proprietary rights legends, as such notices and legends appear in the original Software, on any copy of the Software, or portion thereof, with the exception of the gsoap public license and GPL license notices. The Software shall be handled, used and stored, solely at the Authorized Site identified in Exhibit A. The Software may be used from a single machine, a set of machines, or a network file server, but there shall be no access to the Software from any external network not located at the Authorized Sites. GENIVIA INC. STANDARD EDITION LICENSE AGREEMENT FOR COMMERCIAL USE 3 of 8 A function of the Software is to create Run-Time Modules for incorporation into Target Applications. Except as set forth in Section 2 above, no license is granted hereunder to reproduce or distribute the gsoap soapcpp2 compiler and wsdl2h importer as part of such Target Application. 4. OWNERSHIP. Genivia represents and warrants to Customer that Genivia has all rights in the Software necessary to grant the rights and license granted to Customer in this Agreement. Without limiting the foregoing, Genivia represents and warrants that Genivia has acquired an assignment of all intellectual property rights in and to all portions of the Software delivered to Customer under this Agreement. Customer shall not have any obligation to provide, assign, or disclose to Genivia or any other party any Modifications. Notwithstanding the foregoing, Genivia and its licensors shall retain exclusive ownership of all worldwide Intellectual Property Rights in and to the Software. Customer acknowledges that this Agreement does not grant to Customer any Intellectual Property Rights in or to the Software other than the limited rights with respect to the Software as set forth in Section 2. 25

26 Sophos SafeGuard Disk Encryption pour Mac 5. DELIVERY AND PAYMENT. Immediately following the Effective Date, Genivia grants Customer the right to download the Software from the Approved Software Download Site specified in Exhibit A, and install the Software at the Authorized Site and use the Software as set forth in Section 2 subject to the restrictions listed in Section 3. Notwithstanding any terms or other agreements posted on the Approved Software Download Site, this Agreement shall be the sole and exclusive agreement governing Customer's use of the Software. Customer shall pay to Genivia the Software license fee set forth in Exhibit A. License fees will be invoiced with shipment of this License Agreement. Payment of all amounts invoiced shall be due forty-five (45) days after receipt of the invoice. All payments and amounts shall be paid without deduction, set-off or counter claim, free and clear of any restrictions or conditions, and without deduction for any taxes, levies, imposts, duties, fees, deductions, withholdings or other governmental charges. If any deduction is required to be made by law, Customer shall pay in the manner and at the same time such additional amounts as will result in receipt by Genivia of such amount as would have been received by Genivia had no such amount been required to be deducted. If Customer is claiming sales or use tax exemption, a certified Tax Exempt Certificate must be attached to this Agreement or applicable purchase order submitted by Customer. 6. TERM AND TERMINATION. GENIVIA INC. STANDARD EDITION LICENSE AGREEMENT FOR COMMERCIAL USE 4 of 8 This Agreement shall commence upon the Effective Date and is granted in perpetuity, but may be terminated without notice in the following circumstances: if Customer breaches any term of this agreement, unless such breach is curable and is cured by Customer within thirty (30) days after notice of such breach is provided by Genivia; if Customer, being a firm or partnership, is dissolved; or, by Customer, if Customer destroys the Software for any reason. Upon termination, Customer shall destroy any remaining copies of the Software or otherwise return or dispose of such material. Termination pursuant to this clause shall not affect any rights or remedies, which Genivia may have otherwise under this license or at law. The following Sections shall survive any termination of this Agreement: Sections 1, 4, 6, 8, and 10. Termination of this Agreement, if any, shall not affect any licenses or other grants of any rights, titles, or interests of Customer in or to any Run-Time Modules or the Target Application. 7. LIMITED WARRANTY. Genivia warrants that the Software, installation scripts, and future Updates will be provided to Customer. Customer assumes full responsibility for: (i) the selection, download, and installation of the Software from the Approved Software Download Site specified in Exhibit A; (ii) the proper use of the Software; (iii) verifying the results obtained from the use of the Software; and (iv) taking appropriate measures to prevent loss of data. Genivia does not warrant that the operation of the Software will meet Customer s requirements or that Customer will be able to achieve any particular results from use or modification of the Software or that the Software will operate free from error. EXCEPT AS EXPRESSLY SET FORTH IN SECTIONS 7 AND 8 OF THIS AGREEMENT, GENIVIA AND ITS LICENSORS DISCLAIM ALL WARRANTIES, WHETHER EXPRESS, IMPLIED OR STATUTORY, INCLUDING, WITHOUT LIMITATION, THE IMPLIED 26

27 Manuel d'administration WARRANTIES OF MERCHANTABILITY, OF FITNESS FOR A PARTICULAR PURPOSE, NONINFRINGEMENT OF THIRD PARTY INTELLECTUAL PROPERTY RIGHTS, AND ANY WARRANTY THAT MAY ARISE BY REASON OF TRADE USAGE, CUSTOM, OR COURSE OF DEALING. WITHOUT LIMITING THE FOREGOING, CUSTOMER ACKNOWLEDGES THAT THE SOFTWARE IS PROVIDED "AS IS" AND THAT GENIVIA DOES NOT WARRANT THE SOFTWARE WILL RUN UNINTERRUPTED OR ERROR FREE. THE ENTIRE RISK AS TO RESULTS AND PERFORMANCE OF THE SOFTWARE IS ASSUMED BY CUSTOMER. UNDER NO CIRCUMSTANCES WILL GENIVIA BE LIABLE FOR ANY SPECIAL, INDIRECT, INCIDENTAL, EXEMPLARY OR CONSEQUENTIAL DAMAGES OF ANY KIND OR NATURE WHATSOEVER, WHETHER BASED ON CONTRACT, WARRANTY, TORT (INCLUDING NEGLIGENCE), STRICT LIABILITY OR OTHERWISE, ARISING OUT OF OR IN ANY WAY RELATED TO THE SOFTWARE, EVEN IF GENIVIA HAS BEEN ADVISED ON THE POSSIBILITY OF SUCH DAMAGE OR IF SUCH DAMAGE COULD HAVE BEEN REASONABLY FORESEEN, AND NOTWITHSTANDING ANY FAILURE OF ESSENTIAL PURPOSE OF ANY EXCLUSIVE REMEDY PROVIDED. SUCH LIMITATION ON DAMAGES INCLUDES, BUT IS NOT LIMITED TO, DAMAGES FOR LOSS OF GOODWILL, LOST PROFITS, LOSS OF DATA OR SOFTWARE, WORK STOPPAGE, COMPUTER FAILURE OR MALFUNCTION OR IMPAIRMENT OF OTHER GOODS. IN NO EVENT WILL GENIVIA BE LIABLE FOR THE COSTS OF PROCUREMENT OF SUBSTITUTE SOFTWARE OR GENIVIA INC. STANDARD EDITION LICENSE AGREEMENT FOR COMMERCIAL USE 5 of 8 SERVICES. CUSTOMER ACKNOWLEDGE THAT THIS SOFTWARE IS NOT DESIGNED FOR USE IN ON-LINE EQUIPMENT IN HAZARDOUS ENVIRONMENTS SUCH AS OPERATION OF NUCLEAR FACILITIES, AIRCRAFT NAVIGATION OR CONTROL, OR LIFECRITICAL APPLICATIONS. GENIVIA EXPRESSLY DISCLAIM ANY LIABILITY RESULTING FROM USE OF THE SOFTWARE IN ANY SUCH ON-LINE EQUIPMENT IN HAZARDOUS ENVIRONMENTS AND ACCEPTS NO LIABILITY IN RESPECT OF ANY ACTIONS OR CLAIMS BASED ON THE USE OF THE SOFTWARE IN ANY SUCH ON-LINE EQUIPMENT IN HAZARDOUS ENVIRONMENTS BY CUSTOMER. FOR PURPOSES OF THIS PARAGRAPH, THE TERM "LIFE-CRITICAL APPLICATION" MEANS AN APPLICATION IN WHICH THE FUNCTIONING OR MALFUNCTIONING OF THE SOFTWARE MAY RESULT DIRECTLY OR INDIRECTLY IN PHYSICAL INJURY OR LOSS OF HUMAN LIFE. THIS DISCLAIMER OF WARRANTY CONSTITUTES AN ESSENTIAL PART OF THIS LICENSE. NO USE OF ANY COVERED CODE IS AUTHORIZED HEREUNDER EXCEPT UNDER THIS DISCLAIMER. 8. INFRINGEMENT INDEMNITY. Genivia will defend at its expense any suit brought against Customer and will pay all damages finally awarded in such suit insofar as such suit is based on a claim that the Software as provided to Customer infringes a previously issued patent, trademark, trade secret or copyright, provided that Genivia is notified promptly of such claim and is given full and complete authority (including settlement authority consistent with the other terms and conditions of this Agreement), information and assistance by Customer for such defense. In the event that the Software is held in any such suit to infringe such a right and its use is enjoined, or if in the opinion of Genivia the Software is likely to become the subject of such a claim, Genivia at its own election and expense will either (i) procure for Customer the right to continue using the 27

28 Sophos SafeGuard Disk Encryption pour Mac Software or (ii) modify or replace the Software so that it becomes noninfringing while giving substantially equivalent performance. In the event that (i) or (ii) above are not, in Genivia s sole determination, obtainable using reasonable commercial efforts, then Genivia may terminate this Agreement and refund amount Customer paid Genivia under this Agreement for the Software which is the subject of such claim. The indemnification obligation shall not apply to infringement actions or claims to the extent that such actions or claims are caused solely by: (i) modifications made to the Software by a party other than Genivia; and (ii) the combination of the Software with items not supplied by Genivia or which Genivia has specifically not approved for combination with the Software. 9. GENERAL. Neither party shall be liable hereunder by reason of any failure or delay in the performance of its obligations hereunder (except for the payment of money) on account of strikes, shortages, riots, insurrection, fires, flood, storm, explosions, acts of God, war, governmental action, labor conditions, earthquakes, material shortages or any other cause which is beyond the reasonable control of such party. GENIVIA INC. STANDARD EDITION LICENSE AGREEMENT FOR COMMERCIAL USE 6 of 8 The Software is a "commercial item" as that term is defined at 48 C.F.R , consisting of "commercial computer software" and "commercial computer software documentation" as such terms are used in 48 C.F.R Consistent with 48 C.F.R and 48 C.F.R through , Customer will provide the Software to U.S. Government End Users only pursuant to the terms and conditions therein. Customer may not delegate, assign or transfer this Agreement, the license(s) granted or any of Customer s rights or duties hereunder without Genivia's express prior written consent, except by way of merger or acquisition of the business of Customer, and any attempt to do so shall be void. Genivia may assign this Agreement, and its rights and obligations hereunder, in its sole discretion. All Software and technical information delivered under this Agreement are subject to U.S. export control laws and may be subject to export or import regulations in other countries. Customer agrees to strictly comply with all such laws and regulations. The ECCN for the Software is 5D002. This Agreement is governed by New York law, excluding any principle or provision that would call for the application of the law of any jurisdiction other than New York. Any action regarding this Agreement shall be brought in a court of competent jurisdiction, federal or state, in the County of New York, New York, and Genivia consents to venue and jurisdiction in and service of process from such court. 10. DISCLOSURE OF CUSTOMER IDENTITY. Genivia, Inc., will not disclose the identity of the Customer on its Web site, advertising, press releases, or other publicly released publicity without the Customers' prior written consent. OSXFUSE OSXFUSE is a software developed by the OSXFUSE project and is covered under the following BSD-style license: 28

29 Manuel d'administration Copyright (c) Benjamin Fleischer Copyright (c) Erik Larsson All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: 1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. 2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. 3. Neither the name of OSXFUSE nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission. THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. Note that the patches to the FUSE user space library and to the SSHFS user-space program are also released under the BSD license. OSXFUSE is a fork of MacFUSE. MacFUSE has been developed by Amit Singh/Google Inc.. Additional information and the original source of MacFUSE are available on MacFUSE is covered under the following BSD-style license: Copyright (c) Google Inc. All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: 1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. 2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. 3. Neither the name of Google Inc. nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission. THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT 29

30 Sophos SafeGuard Disk Encryption pour Mac OWNER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. NOTE THAT THIS SOFTWARE ATTEMPTS TO INSTALL THE LATEST VERSION OF ITSELF BY CHECKING FOR UPDATES DURING INSTALLATION. THE INSTALLED VERSION MAY BE NEWER THAN THE VERSION EMBEDDED IN THIS PACKAGE. Note that Google's patches to the FUSE library (libfuse/*.patch in the MacFUSE source repository) and to the SSHFS user-space program (filesystems/sshfs/*.patch in the MacFUSE source repository) are also released under the BSD license. Portions of this package were derived from code developed by other authors. Please read further for specific details. kext/fuse_kernel.h is an unmodified copy of the interface header from the Linux FUSE distribution ( fuse_kernel.h can be redistributed either under the GPL or under the BSD license. It is being redistributed here under the BSD license. Unless otherwise noted, parts of MacFUSE (multiple files in kext/) contain code derived from the FreeBSD version of FUSE ( which is covered by the following BSD-style license: Copyright (C) 2005 Csaba Henk. All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: 1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. 2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. THIS SOFTWARE IS PROVIDED BY AUTHOR AND CONTRIBUTORS "AS IS'' AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL AUTHOR OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. kext/fuse_nodehash.c is a slightly modified version of HashNode.c from an Apple Developer Technical Support (DTS) sample code example. The original source, which is available on has the following disclaimer: 30

31 Manuel d'administration Disclaimer: IMPORTANT : This Apple software is supplied to you by Apple Computer, Inc. Apple") in consideration of your agreement to the following terms, and your use, installation, modification or redistribution of this Apple software constitutes acceptance of these terms. If you do not agree with these terms, please do not use, install, modify or redistribute this Apple software. In consideration of your agreement to abide by the following terms, and subject to these terms, Apple grants you a personal, non-exclusive license, under Apple's copyrights in this original Apple software (the "Apple Software"), to use, reproduce, modify and redistribute the Apple Software, with or without modifications, in source and/or binary forms; provided that if you redistribute the Apple Software in its entirety and without modifications, you must retain this notice and the following text and disclaimers in all such redistributions of the Apple Software. Neither the name, trademarks, service marks or logos of Apple Computer, Inc. may be used to endorse or promote products derived from the Apple Software without specific prior written permission from Apple. Except as expressly stated in this notice, no other rights or licenses, express or implied, are granted by Apple herein, including but not limited to any patent rights that may be infringed by your derivative works or by other works in which the Apple Software may be incorporated. The Apple Software is provided by Apple on an "AS IS" basis. APPLE MAKES NO WARRANTIES, EXPRESS OR IMPLIED, INCLUDING WITHOUT LIMITATION THE IMPLIED WARRANTIES OF NON-INFRINGEMENT, MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE, REGARDING THE APPLE SOFTWARE OR ITS USE AND OPERATION ALONE OR IN COMBINATION WITH YOUR PRODUCTS. IN NO EVENT SHALL APPLE BE LIABLE FOR ANY SPECIAL, INDIRECT, INCIDENTAL OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) ARISING IN ANY WAY OUT OF THE USE, REPRODUCTION, MODIFICATION AND/OR DISTRIBUTION OF THE APPLE SOFTWARE, HOWEVER CAUSED AND WHETHER UNDER THEORY OF CONTRACT, TORT (INCLUDING NEGLIGENCE), STRICT LIABILITY OR OTHERWISE, EVEN IF APPLE HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. Parts of the mount_osxfusefs and the load_osxfusefs command-line programs (implemented in kext/mount/ and kext/load/, respectively) come from Apple's Darwin sources and are covered under the Apple Public Source License (APSL). You can read the APSL at: Parts of the OSXFUSE kernel extension (locking mechanism for 64 bit kernel) come from Tuxera Inc.'s MacFUSE "rebel" branch. The original source of the "rebel" branch is available on These modifications are covered under the following BSD-style license: Copyright (c) 2010 Tuxera Inc. All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: 1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. 31

32 Sophos SafeGuard Disk Encryption pour Mac 2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. 3. Neither the name of Tuxera Inc. nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission. THIS SOFTWARE IS PROVIDED BY AUTHOR AND CONTRIBUTORS "AS IS'' AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL AUTHOR OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. Parts of OSXFUSE come from the Fuse4X project which itself is a MacFUSE fork. Additional information and the original source of Fuse4X are available on Fuse4X is covered under the following BSD-style license: Copyright (c) 2011 Anatol Pomozov. All rights reserved. Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: 1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. 2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. THIS SOFTWARE IS PROVIDED BY AUTHOR AND CONTRIBUTORS "AS IS'' AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL AUTHOR OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. This binary package contains the following open-source software that is available under the GNU Lesser General Public License. * FUSE user space library ( 32