4.5 Internet Explorer のセキュリティ機能

Internet Explorer (IE) の保護モード

Windows XP と IE (Internet Explorer) 6 までの環境では、さまざまなコードが IE から実行される可能性がありました。特に管理者権限でアクセスしている場合には、攻撃によるデータの書き込みや変更、破壊がおこなわれたり、悪性のプログラムがインストールされたりする可能性があります。

図 4-19: Windows + IE 6

アドオンなどによる標準権限の領域 (ユーザー プロファイルのドキュメント フォルダーや HKCU レジストリ ハイブ) への書き込み処理は、以下の安全な領域へリダイレクトされます。これにより、互換性を保っています。

保護モードの IE は、制限された権限で動作しています。しかし、ブローカー プロセスを使用することで、上位権限を取得することもできます。ブローカー プロセスには、以下の 2 種類があります。

図 4-20: Windows Vista/Windows 7 + 保護モードの IE 8

図 4-20 のように、ユーザー プロファイルにアクセスしたい場合には、標準権限が必要です。そのため、「ユーザー ブローカー」を使用します。また、Active X コントロールをインストールしたい場合は、管理者権限が必要です。そこで、「管理者ブローカー」を使用します。図 4-21 のように、上位にある 2 つの特権ブローカーによって、IE はユーザーの同意を得て上位処理を実行できます。

図 4-21: 保護モードの IE のアクセス制御メカニズム

ページのトップへ

• IEIsProtectedModeProcess()

  保護モードで動作しているかどうかの判定することができます。

• IEGetWriteableHKCU()

  HKCU 下の書き込み可能なレジストリを取得することができます。

以下のフォルダーやレジストリは、低 IL のまま利用することができます。

• %UserProfile%\AppData\LocalLow
• %Temp%\Low
• HKCU\Software\AppDataLow

上記以外のフォルダーに保存したい場合には、以下の手順が必要です。

1. 「%UserProfile%\AppData\LocalLow」フォルダーに、暫定版のファイルを作成します。
2. IEShowSaveFileDialog() を実行し、「名前を付けて保存」ダイアログを表示します。これにより、ユーザーはファイルの保存先を決定することができます。
3. IESaveFile() を使用して、ユーザーが指定した場所にファイルをコピーします。
4. この手順を使用した場合には、ユーザー ブローカーにより、中 IL の権限が取得されます。

ページのトップへ

デジタル証明書と HTTPS

IE 7 と IE 8では、Web サイトから以下のようなデジタル署名が提示された場合、HTTPS へのナビゲーションをブロックします。

• 現在の URL ホスト名とは異なるホスト名が設定されているデジタル証明書
• 信頼されていないルート証明機関から発行されたデジタル証明書
• 期限切れのデジタル証明書
• 無効なデジタル証明書

たとえば、信頼されていない証明機関から発行されたデジタル証明書がサイトから提示されたとき、IE 6 では、図 4-22 のようなダイアログ ボックスが表示されました。ここで、「はい」ボタンをクリックすると、HTTPS を使用してページが表示されました。

図 4-22: IE 6 でのセキュリティ警告

しかし、IE 7 と IE 8 では同じ問題が発生すると、ページがブロックされるため、表示することはできません。このような問題が発生する場合には、デジタル証明書や Web サーバーの環境を変更しなければなりません。以下に対応例を示します。

• デジタル証明書の FQDN （Fully Qualified Domain Name） と、保護されたページの FQDN を一致させます。たとえば、「secure.example.com」Web サーバー上のデジタル証明書のホスト名 (サブジェクトの CN) が「www.exemple.com」と設定されている場合は、両者が一致しないのでエラーになります。
• 信頼された証明機関から発行されたデジタル証明書を使用します。IE のインターネット オプションで、信頼された証明機関の一覧を確認したり、追加したりすることができます。