【特別企画：Internet Explorer 7 Beta 2レビュー Part2】Beta 2で見る、Internet Explorer 7はここが変わった！――セキュリティー、管理編

Internet Explorerの弱点であるセキュリティーを改善

『Internet Explorer 7 Beta 2』では、最新のインターネットテクノロジーである“AJAX”のサポートも改善されている

米マイクロソフト社(Microsoft)の次世代のウェブブラウザー『Internet Explorer 7』(IE7)の新機能/新仕様を、一般公開されて間もない“Beta 2 Preview”から紐解く特別企画の第2回では、セキュリティーや管理機能の変更についてレポートする。

セキュリティーを強化したIE7

Internet Explorer 6(IE6)ではセキュリティーに関する問題が続出した。そのためIE7では、セキュリティーに関するさまざまな機能が強化されている。

マルウェア対策
“Malware(マルウェア)”とは、日本語では“悪意のあるソフトウェア(Mailcious softWare)”と呼ばれているもので、システムに対してなんらかのトラブルを引き起こすことを目的にしたソフトウェアのことだ。IE6はセキュリティー上の問題から、マルウェアの侵入ルートとして利用されることが多かったため、IE7ではマルウェアの侵入を防げるように設計されている。

IE6ではURL中に余分な文字列を入れることで、ブラウザーに“バッファーオーバーランエラー”を引き起こし、パソコンに悪意のあるプログラムを実行させることができた。これを利用した悪意のあるウェブサイトにアクセスすると、パソコンが勝手に再起動したり、ウイルスや“トロイの木馬”に侵入されることもある。IE6ではその対策として、バッファーオーバーランエラーを起こす問題点が見つかるたびに、パッチをリリースしてていた。しかしそれでは後手後手に回ってしまうし、大量のクライアントパソコンすべてにパッチを適用する手間もかかる。

IE7ではウェブブラウザー開発の段階で、バッファーオーバーランエラーを起こさないようなソフト開発を進めている。それでも人間が開発をしている以上、エラーが起こる可能性はある。そこでIE6でも大きな問題になったURLを使ったトラブルに対しては、URLを解釈する部分を新たに開発しなおし、余計な文字列が入ってきたときはURLエラーとして処理するように変更した。これにより、URL解釈のバグを利用するシステム侵入は激減させられる。

またURL解釈部分を新開発したことで、インターネットの国際的な文字セットや、ドメイン名のグローバル化(日本語ドメイン名など)にも対応可能となった。

IE7ではURLに日本語ドメイン名を直接入力することができる。IE6のようなプラグインソフトは不要だ

さらにMicrosoftでは、独自のスパイウェア対策プログラムを提供する(日本語版は2〜3月にベータ版をリリース予定)。これとIE7を利用すれば、スパイウェアの侵入を防いだり、インストールされたスパイウェアを簡単に発見し削除するできる。

『Microsoft AntiSpyware』を使うと、スパイウェアを検索して削除できる。日本語版は2月末から3月ごろにリリース予定

クロスドメインスクリプト攻撃の抑止
クロスドメインスクリプト攻撃(クロスサイトスクリプティング)への対策も行なわれている。クロスドメインスクリプト攻撃例を挙げると、ユーザーが悪意あるウェブページにアクセスしたときに、正しいウェブサイト(例えば銀行のウェブサイト)の新規ウィンドウを開いてユーザーを騙し、IDやパスワードを入力させる。しかし実際にはハッカーのウェブサイトを経由しているため、銀行口座にアクセスするためのIDとパスワードが盗み取られてしまうというわけだ。そこでIE7では、各スクリプトの生成元となるドメイン名を把握して、スクリプトの動作を同一ドメインに限定するようにしている。つまりハッカーのウェブサイトで生成されたスクリプトでは、銀行のウェブサイトを直接利用できなくなる。これによって、悪意のあるウェブサイトが正しいウェブサイトのように振る舞い、IDやパスワードを盗み取るのを防ぐようにしている。

ちなみに次世代Windowsである『Windows Vista』では、IE7を保護(プロテクト)モードで動作させることが可能だ(Windows XPではサポートされない)。このためIE7を経由したプログラムの動作は、限定された形でしかできなくなる。これによってシステムに影響を与えるような動作を防ぐことができる。システムにアクセスするような動作は、Vistaが持っている“権限の昇格”機能を利用する必要がある。このときに権限に関して厳密にチェックすることで、セキュリティーを高めている。

権限によるアクセス制御の概念図	Vistaのプロテクトモードでは、IE7経由で実行されたプログラムの権限を制限している
WindowsVistaでは、IE7の動作モードをプロテクトモードにすることで、ブラウザーを経由したプログラムの動作エラー時に致命的なエラーにならないようにする。また認証されていない動作をしないようにできる

フィッシング(Phishing)対策
ここ近年インターネット上で大きな問題になっているのが“フィッシング詐欺”だ。いろいろなパターンはあるが、代表的な例としてはクレジットカード会社や銀行のオンラインバンキングの偽サイトを作って、ユーザーをメールなどで誘導し、IDとパスワードを盗む。盗んだIDなどを使い、被害者の口座から金を盗んだり、クレジットカードの偽造を行ない損害を負わせる。

そこでIE7では、フィッシング・フィルター(Phishing Filter)が搭載された。この機能ではURLを偽装しているサイトリストを、Microsoftが1時間に数回という頻度でアップデートする。このリストを参照することで、ユーザーが偽サイトにアクセスする前に警告を発する。これによりユーザーがフィッシング詐欺の引っかかることを防ぐ。

IE7ではフィッシング詐欺で特によく使われる、URL情報の詐称を防いでいる。フィッシング詐欺ではURLを偽装する手口が多く、メールなどで送られてきた偽装URLは、一見すると正しい銀行やクレジットカード会社のウェブサイトを示すように見える。ハッカーが偽のウェブサイトを本物のURLに見せかけるという、詐欺手法を使っているからだ。IE7ではこのようなURL詐称が行なわれないように、すべてのウインドウにアドレスバーが表示されるようになっている。ポップアップウインドウが表示されても、アドレスバーを見れば本物のサイトかどうかが、一目で分かるというわけだ。

正しいサイトであることを表示した様子。SSLの証明書をきちん表示している

フィッシングサイトとは言えないが、疑わしいサイトということを表示した状態

対象のサイトがフィッシングサイトであることを表示した状態

IE7のツールバーからも、表示しているサイトがフィッシングサイトかどうかのチェックを行なえる

いちいちチェックを指示するのではなく、自動的にチェックするように設定も可能

ASCII24をチェックした結果。当然だが怪しいサイトや報告済みフィッシングサイトではないと表示された

• Internet Explorerの弱点であるセキュリティーを改善
• OSプラットフォーム自体も改善するIE7

この記事が関連していると思われます

製品レビュー

• 【特別企画】Internet Explorer 7 Beta 2レビュー Part2 / Beta 2で見る、Internet Explorer 7はここが変わった！――セキュリティー、管理編 (2006-03-01 / ポイント: 1.5150)
• 【特別企画】Internet Explorer 7 Beta 2レビュー Part3 / Beta 2で見る、Internet Explorer 7はここが変わった！――インタビュー編 (2006-03-17 / ポイント: 0.7246)
• 【特別企画】Internet Explorer 7 Beta 2レビュー Part1 / Beta 2で見る、Internet Explorer 7はここが変わった！――UI、操作編 (2006-02-22 / ポイント: 0.6510)

ニュース

• 【特別企画：Internet Explorer 7 Beta 2レビュー Part3】Beta 2で見る、Internet Explorer 7はここが変わった！――インタビュー編 (2006-03-02 / ポイント: 0.7305)
• マイクロソフト、『Internet Explorer 7 Beta 2 日本語版』公開に合わせた説明会を開催――セキュリティーを高めながら利便性を上げる (2006-05-09 / ポイント: 0.6977)
• 【特別企画：Internet Explorer 7 Beta 2レビュー Part1】Beta 2で見る、Internet Explorer 7はここが変わった！――UI、操作編 (2006-02-08 / ポイント: 0.6550)
• シマンテック、コンシューマー向けの統合セキュリティーサービス“Norton 360”を説明 (2006-08-02 / ポイント: 0.5068)
• サイトとクライムウェアのWチェックで情報流出を防ぐ『Norton Confidential』 (2006-07-13 / ポイント: 0.4010)
• トレンドマイクロ、総合セキュリティー対策ソフトウェア『ウイルスバスター2006 インターネット セキュリティ』を発売――フィッシング/スパイウェア対策機能を強化 (2005-09-08 / ポイント: 0.3743)
• 【速報】マイクロソフト、Windows XP用『Internet Explorer 7 Beta 2 日本語版』の提供を開始！ (2006-05-09 / ポイント: 0.3735)
• 【ここが変わったWindows Vista 100連発！ Vol.21】マルウェアによる不正操作を防ぐ“ユーザーアカウント制御” (2006-12-25 / ポイント: 0.3724)
• マイクロソフト、IT管理者/開発者向けのセキュリティー技術説明会“SECURITY SUMMIT 2005 Fall”を開催 (2005-10-04 / ポイント: 0.3610)
• マカフィー、上級副社長によるサイバー犯罪の傾向についての説明会を開催 (2005-08-08 / ポイント: 0.3414)
• シマンテック、個人向けセキュリティーソフトをバージョンアップ (2006-09-21 / ポイント: 0.3246)
• シマンテック、この秋発売予定の個人ユーザー向けセキュリティー統合サービス“Genesis”を含む製品戦略を説明 / ――次世代セキュリティー構想“Security 2.0”ではユーザーIDの管理センターを実現!! (2006-02-14 / ポイント: 0.3218)
• 【今週の特集】高い? 面倒? でも安心と安全には代えられない！　“セキュリティーソフト”特集 (2006-10-21 / ポイント: 0.3051)
• ウェブセンス・ジャパン、スパイウェアや詐欺サイトなどへのセキュリティー対策が可能なソリューション『Websense Enterprise v5.5』の日本語版を発売 (2004-11-04 / ポイント: 0.3029)
• CA、個人情報の流出を防ぐ『eTrust パーソナル ファイアウォール 2006』など個人向けセキュリティー製品を発表 (2005-09-01 / ポイント: 0.2980)
• シマンテック、個人向け統合セキュリティーサービス“ノートン 360”を提供開始 (2007-03-06 / ポイント: 0.2941)
• 【今週の特集】安心して年末年始を迎えるために　最新パーソナルセキュリティー事情 (2005-10-01 / ポイント: 0.2940)
• マカフィー、企業向けセキュリティー管理ソリューション“McAfee Total Protection Solution”を7月下旬に販売開始 (2006-05-31 / ポイント: 0.2939)
• 詐欺的なセキュリティーソフトにご用心――ウェブルートのスパイウェア動向調査 (2006-08-23 / ポイント: 0.2796)
• シマンテック、スパムメールやスパイウェアに対応した“Norton 2004”シリーズ8製品を発表 (2003-09-16 / ポイント: 0.2784)
• Web 2.0で新たな脅威の可能性も――シマンテックがセキュリティー動向を発表 (2006-11-06 / ポイント: 0.2766)
• NTTコムウェア、フィッシング詐欺対策サービス“PHISHCUT”の提供を開始 (2006-03-13 / ポイント: 0.2725)
• ジャングル、多層ファイアーウォール採用のセキュリティーソフトを発売 (2006-07-06 / ポイント: 0.2707)
• マイクロソフト、セキュリティー技術担当者による、セキュリティー強化の取り組みについての説明会を開催 (2006-06-01 / ポイント: 0.2665)
• AOS、バックアップ＆リストア機能を持つセキュリティーソフトを発売 (2006-08-31 / ポイント: 0.2623)
• シマンテック、一般ユーザーのオンライン詐欺への意識調査結果を発表 (2006-11-29 / ポイント: 0.2564)

関連記事の検索には汎用連想計算エンジン(GETA)を利用しています。 「汎用連想計算エンジン(GETA)」は、情報処理振興事業協会(IPA)が実施した「独創的情報技術育成事業」の研究成果です。