IE8 セキュリティ パート II: ActiveX の機能向上 更新日: 2008 年 5 月 7 日 本記事は、Internet Explorer 開発チーム ブログ (英語) の翻訳記事です。本記事に含まれる情報は、Internet Explorer 開発チームブログ (英語) が作成された時点の内容であり、製品の仕様や動作内容を保証するものではありません。本記事に含まれる情報の利用については、使用条件をご参照ください。また、本記事掲載時点で、Internet Explorer 開発チーム ブログ (英語) の内容が変更されている場合があります。最新情報については、Internet Explorer 開発チームブログ (英語) をご参照ください。 翻訳元 : IE8 Security Part II: ActiveX Improvements (英語) こんにちは。Internet Explorer 機能拡張担当プログラム マネージャのマット・クローリーです。先月行われたInternet Explorer 8 Beta 1 のセキュリティ機能に関する RSA セキュリティ会議 (英語) に私たちチームは意欲的に出席しました。この IE8 セキュリティ ブログ シリーズのパート 2 では、 IE8 による の ActiveX の機能向上について説明し、ブラウザの前のバージョンから引き継がれる画期的な ActiveX 関連のセキュリティ機能についての概要を示します。 ユーザーごと( 管理者以外) のActiveX Windows Vista で IE8 を実行している場合、標準ユーザーは、自分自身のユーザー プロファイルに管理者権限を必要とすることなくActiveX コントロールをインストールできます。この機能向上によって、標準ユーザーにが日常のブラウジングで使用する ActiveX コントロールのインストールを可能にします。これにより、組織は、ユーザー アカウント制御の長所のすべてを容易に実現できます。 ユーザーが悪質な ActiveX コントロールをインストールした場合でも、コントロールはそのユーザーのアカウントのみにインストールされるため、システム全体は影響を受けません。インストールをユーザー プロファイルに限定できるため、危害を受けるリスクとコスト ( およびマシン上のユーザー管理総コスト ) を大幅に削減できます。 ユーザーごとの ActiveX は互換性を念頭に設計されているため、既存のActiveX コントロールのほとんどを書き換えることなくこの機能を使用できます。必要な変更は再パッケージだけです。 Web ページがコントロールをインストールしようとすると、 Internet Explorer 7 と同様に、ユーザーに対して情報バーが表示されます。 ユーザーは情報バーをクリックして、コントロールをマシン全体にインストールするか、自分のユーザー アカウントのみにインストールするかを選択できます。このメニューに表示されるオプションは、コントロールのパッケージとユーザーの権限によって異なります。 利用可能なオプションは、ActiveX のインストールに関するユーザーごとのグループ ポリシー設定と、コントロール パッケージがユーザーごとにインストール可能かどうかによって決まります。 この機能によって総保有コストを削減することが可能ですが、管理環境を実行しているIT 管理者は、グループ ポリシーによりこの機能を無効にすることもできます。ユーザーごとの ActiveX に関する詳細については、 MSDN の IE8 Beta 1 ホワイトペーパーの記事 「Non-Admin ActiveX コントロール (英語)」を参照してください。 ActiveX オプトイン バイナリ機能拡張メカニズムによって危険度？が増すという認識から、Internet Explorer 7 で ActiveX オプトインが導入されました。 ActiveX オプトインは、デフォルトで、ユーザーのマシン上のほとんどのコントロールを無効 (英語) にします。 ActiveX コントロールが無効の Web ページに遭遇すると、情報バーに " この Web サイトは "XYZ 発行者 " のアドオン "ABC コントロール " を実行しようとしています。Web サイトとアドオンを信頼し、実行を許可する場合は、ここをクリックしてください..." というメッセージが表示されます。ユーザーはこの情報バーから、 ActiveX コントロールを許可するよう選択できます。 ActiveX オプトインでは、デフォルトで以下の一部のコントロールの実行を許可できます。 ブラウザ内での少数のユーザー向け共通コントロール IE8 にアップグレードする前にユーザーのマシンでIE で使用されていたコントロール IE を介してインストールされたコントロール ActiveX オプトインの詳細については、 MSDN の記事「ActiveX のベストプラクティス (英語)」を参照してください。 サイト別 ActiveX ユーザーが ActiveX コントロールを含む Web サイトに移動すると、IE8 によって、コントロールを実行できる場所の判断を含む多数のチェックが実行されます。このチェックは、サイト別 ActiveX と呼ばれ、悪意をもってコントロールの用途が変更されないようにするための保護メカニズムです。コントロールがインストールされていても特定の Web サイトで実行が許可されていない場合は、情報バーが表示され、現在の Web サイト上でコントロールの実行を許可するかどうかの判断がユーザーに求められます。 ユーザーはこの情報バーから、特定のWeb サイトに対して、またはすべての Web サイトに対してコントロールを許可することができます。 Internet Explorer 8 を実行するコンピュータ システムを管理している IT 技術者は、許可するコントロールとそれらに関連付けられるドメインをあらかじめ設定することができます。この設定は、グループ ポリシーを使用して構成できます。 サイト別ActiveX に関する詳細については、MSDN のIE8 Beta 1 ホワイトペーパーの記事「サイト別ActiveX (英語)」を参照してください。 ATL SiteLock 技術によるサイト別の強化 ActiveX コントロールがユーザー自身のWeb サイトのみを対象としている場合、そのWeb サイトのドメインにコントロールをロックすることで、他のサイトによる悪質なコントロール目的の変更を難しくすることができます。詳細については、「サイトロック テンプレートを使用した安全な ActiveX コントロールの開発 (英語)」を参照してください。 DEP/NX 、“Killbits” およびサービスを使用した悪用リスクの軽減 プロセッサと Windows 、IE8 を使用したデータ実行防止によって脆弱なコントロールの悪用を軽減することができます。 ActiveX コントロールの DEP/NX との互換性を確保する方法、およびその他の利用可能な保護策を選択する方法の詳細については、このシリーズの前回の記事「IE8 セキュリティ パート I: DEP/NX メモリの保護」を参照してください。 脆弱なコントロールが悪用された場合でも、IE には、ブラウザ内で特定のコントロールの使用をブロックするための防止策オプション"killbit" が備えられています。自社のコントロールの脆弱性を把握しているベンダの皆さんは、Microsoft に連絡して、今後のソフトウェア更新パッケージ用に killbit を設定してください。詳細については、サポート技術情報の記事 240797 「Internet Explorer で ActiveX コントロールの実行を停止する方法」を参照してください。 標準のデスクトップ ソフトウェアと同様、セキュリティ上の脅威に発展して危害を受けるリスクを軽減するには、コントロールを最新の状態に保って新しいシステムとの互換性を確保することが重要です。ActiveX コントロール更新の詳細については、 IE ブログの記事 「ActiveX 更新の推奨 (英語)」を参照してください。 アドオンの管理を介したユーザーとの連携 ほとんどのエンド ユーザーはActiveX コントロールの内部のしくみやコントロールに関する企業のポリシー( 該当する場合) について認識していませんが、ユーザーはアドオンの管理を介すことで、Internet Explorer で使用するためにインストールされたコントロールに関する情報を確認することができます。コントロールのパフォーマンスと安全性を確保するだけでなく、コントロールに関する情報を提供することも開発者の重要な仕事です。 コントロールは、アドオンの管理インターフェイスで名前、発行者、バージョンおよびクラスID により識別されます。そのため、コントロール開発者は、開発するコントロールのリリース ビルドにこのメタデータを含めることを求められます。 ActiveX コントロールがユーザーに十分な情報を提供できるようにするための詳細については、クリストファー・ヴォーンによる記事「Internet Explorer 8 におけるアドオン管理の改善 (英語)」と MSDN 記事「ActiveX のベスト プラクティス (英語)」を参照してください。 ActiveX コントロールの安全性確保にご協力いただき、ありがとうございます。 Matthew David Crowley プログラム マネージャ Internet Explorer 機能拡張担当 2008 年 5 月 7 日水曜日発行 (ieblog (英語) 上) タグ : Developers (英語)、Security (英語)   ページのトップへ