第 5 部 : ブラウズのセキュリティ強化

このドキュメントは「Microsoft® Windows® XP Service Pack 2 での機能の変更点」の第 5 部です。ここでは、Windows XP Service Pack 2 に含まれる、Web ブラウズをより安全に行う技術について詳細に説明します。以前のバージョンの Internet Explorer に比べると、これらの技術は、強化されたセキュリティを提供するのに役立つ設計になっています。

このドキュメントの内容は、Windows XP Professional および Windows XP Home Edition の 32 ビット バージョン用 Microsoft Windows XP Service Pack 2 (SP2) に適用されます。このドキュメントでは、Service Pack に含まれるすべての変更点について説明しているわけではありませんが、Windows XP SP2 の使用において大きな影響を持つ変更点を中心に説明し、必要に応じて追加情報の参照先も掲載されています。

トピック

ダウンロード、添付ファイル、および Authenticode の強化
Internet Explorer のアドオン管理とクラッシュ検出
Internet Explorer のバイナリ ビヘイビアのセキュリティ設定
Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか
Internet Explorer の BindToObject 軽減
Internet Explorer 情報バー
セキュリティ ゾーン設定に機能コントロール レジストリ設定を使用する Internet Explorer
グループ ポリシーにおける Internet Explorer の機能コントロール設定
グループ ポリシーにおける Internet Explorer の UrlAction セキュリティ設定
Internet Explorer のローカル コンピュータ ゾーンのロックダウン
Internet Explorer の MIME 処理強制
Internet Explorer のオブジェクト キャッシュ
Internet Explorer ポップアップ ブロック
Internet Explorer の信頼されていない発行元の軽減
Internet Explorer ウィンドウの制限
Internet Explorer ゾーン昇格ブロック
Internet Explorer のネットワーク プロトコルのロックダウン

ダウンロード、添付ファイル、および Authenticode の強化

ダウンロード、添付ファイル、および Authenticode の機能

Windows XP Service Pack 2 では、ファイル ダウンロード、メール添付ファイル、シェル プロセス実行、およびプログラム インストールが、Windows XP Service Pack 1 に比べてより一貫して明確になるように修正されています。また、ユーザーのコンピュータに問題を起こす可能性のある署名可能なファイルの種類を開く前に、発行元情報が表示されます。ユーザーのコンピュータに問題を起こす可能性がある、一般的な署名可能なファイルの種類は、.exe、.dll、.ocx、.msi、.cab です。

この新しいユーザー インターフェイスをアプリケーション開発者が活用できるように、新しい API (アプリケーション プログラミング インターフェイス) が用意されています。API の詳細については、このドキュメントの「AES API の統合」で、Windows XP Service Pack 2 での電子メール機能の変更点を参照してください。

この機能の対象ユーザー

アプリケーション開発者は、このドキュメントで前述した「AES API の統合」で示した API を使用して、Windows アプリケーションから新しい AES (Attachment Execution Service) を呼び出すことができます。

アプリケーション開発者は、添付ファイルを開いたり危険な可能性があるファイルをダウンロードしたりするなどの特定のシナリオでは、ユーザーのコンピュータに問題を起こす可能性があるファイルの種類に対して、開く前にデジタル署名を確認することに注意してください。署名情報がユーザーに表示され、ファイルの発行元の確認に役立ちます。

Windows XP Service Pack 2 で変更された既存機能

Internet Explorer ファイル ダウンロード プロンプト

詳細説明

ユーザーが Internet Explorer を使用してファイルをダウンロードする場合のダイアログ ボックスには、次の変更があります。

• ファイル ハンドラ アイコンが追加されました。

• ダイアログ ボックスの下部に新しい情報領域が追加され、ダウンロードしたファイルの種類の危険性が高いか低いかに合わせて情報が表示されます。

ユーザーのコンピュータに問題を起こす可能性がある署名可能なファイルの種類に対しては、すべて発行元情報が確認されます。この情報は、ファイルを開く前に表示されます。

発行元情報は、ユーザーのコンピュータに問題を起こす可能性がある署名可能なファイルの種類を開く前に表示されます。この情報は Authenticode のダイアログ ボックスで表示され、ユーザーはこの情報も考慮してファイルを実行するかどうかを決定することができます。

この変更が重要な理由

この変更により、ファイルとコードをユーザーのコンピュータにダウンロードする際の操作が一貫して明確になります。発行元チェックでは、ファイル内に署名があると重要な情報が得られます。また、疑わしい発行元からのファイルによってコンピュータのセキュリティが低下しないようにする体系的な方法が用意されています。

動作の相違点

発行元がブロックされているファイルは実行を許可されません。

これらの問題の解決法

Internet Explorer の [アドオンの管理] を使用し、発行元のブロックを解除することができます。発行元のブロックを解除して特定のファイルをダウンロードできるようにするには、[信頼されない発行元] 一覧から発行元を削除します。Internet Explorer でこれを行うには、[ツール] メニューの [インターネット オプション] をクリックし、[コンテンツ] タブをクリックして [信頼されない発行元] 一覧から発行元の名前を削除します。

Outlook Express 電子メール添付ファイル プロンプト

詳細説明

Outlook Express 電子メール添付ファイル プロンプトは、ファイルのダウンロードと同じ手順を使用します。Outlook Express の電子メール添付ファイルには、ユーザーのコンピュータに問題を起こす可能性のあるファイルの種類の発行元情報が表示され、発行元がブロックされているファイルは実行を許可されません。

この変更が重要な理由

この変更により、ファイルとコードをユーザーのコンピュータにダウンロードする際の操作が一貫して明確になります。発行元チェックでは、署名があると重要な情報が得られます。また、疑わしい発行元からのファイルによってコンピュータのセキュリティが低下しないようにする体系的な方法が用意されています。

動作の相違点と依存関係の存在

発行元がブロックされているファイルは実行を許可されません。

これらの問題の解決法

Internet Explorer の [アドオンの管理] を使用し、発行元のブロックを解除することができます。発行元のブロックを解除して特定のファイルをダウンロードできるようにするには、[信頼されない発行元] 一覧から発行元を削除します。Internet Explorer でこれを行うには、[ツール] メニューの [インターネット オプション] をクリックし、[コンテンツ] タブをクリックして [信頼されない発行元] 一覧から発行元の名前を削除します。

アドオン インストール プロンプト

詳細説明

Internet Explorer のアドオン インストール プロンプトは、ファイル名とデジタル署名の発行元情報のみを表示するように簡素化されています。アドオンをインストールするかどうかの決定に役立つように、アドオンのインストールに関連する危険性の警告が表示されます。また、発行元を常にブロックして、Windows XP でその発行元が提供するものをすべて信頼しないようにする機能がプロンプトに追加されています。これにより、コンピュータ上でコードを実行できないように発行元がブロックされます。

この変更が重要な理由

この変更により、ファイルとコードをユーザーのコンピュータにダウンロードする際の操作が一貫して明確になります。また、アドオンのインストール時に、ユーザーは発行元を信頼しないように選択することができます。これにより、ユーザーによる操作性の制御が向上します。

動作の相違点と依存関係の存在

アドオンをインストールする際のユーザー インターフェイスが、より明確で簡素化されています。

これらの問題の解決法

既定では、Internet Explorer でユーザーは無効なまたは無署名の ActiveX コントロールを実行できません。情報バーに、ブロックされているコントロールをインストールするように選択する別の方法が表示されます。Internet Explorer の情報バーの詳細については、このドキュメントの後の情報を参照してください。

Windows XP Service Pack 2 で追加または変更された設定

ユーザーは、ユーザーのコンピュータ上でコードを実行できないように発行元をブロックする機能を使用することができます。

Internet Explorer のアドオン管理とクラッシュ検出

Internet Explorer のアドオン管理とクラッシュ検出の機能

これらは、Internet Explorer に用意されている 2 つの密接に関連する新機能です。

ユーザーは Internet Explorer のアドオン管理を使用して、Internet Explorer でロードできるアドオンの一覧を参照し、以前よりも細かく一覧を制御できます。以前は表示されず、検出も非常に困難であったアドオンも表示します。

Internet Explorer のアドオン クラッシュ検出では、Internet Explorer で発生した、アドオンと関係するクラッシュを検出します。アドオン情報の検出に成功した場合には、この情報をユーザーに提示します。ユーザーには、発生するクラッシュを診断し、Internet Explorer 全体の安定性を改善するために、アドオンを無効にするオプションがあります。

この機能の対象ユーザー

ユーザーは Internet Explorer が使用するアドオンを表示したり有効または無効にしたり、Internet Explorer のクラッシュに関連する可能性があるアドオンを識別したりできます。管理者は、許可されるアドオンまたは許可されないアドオンの一覧を作成し、ユーザーによるアドオンの管理機能を制限することができます。

Windows XP Service Pack 2 でこの機能に追加された新機能

Internet Explorer のアドオン管理

詳細説明

ユーザーは Internet Explorer のアドオン管理を使用して、Internet Explorer でロードできるアドオンの一覧を参照し、以前よりも細かく一覧を制御できます。以前は表示されず、検出も非常に困難であったアドオンも表示します。これらのアドオンは好ましくない機能やサービスを提供することがあり、セキュリティの問題が発生する場合もあります。

たとえば、Web ページの動作状況をすべて秘密裏に記録し、中央サーバーに報告するアドオンをユーザーの意図に反してインストールしてしまうことがあります。これまでは、このようなアドオンを識別し除去するには、専用ソフトウェアと深い技術的知識が必要でした。Internet Explorer のアドオン管理を利用すれば、このようなアドオンをより簡単に検出して無効にすることができます。

アドオンには以下のものがあります。

• ブラウザ ヘルプ オブジェクト

• ActiveX コントロール

• ツール バー拡張

• ブラウザ拡張

次のようにさまざまな場所からいくつかの方法でアドオンをインストールすることができます。

• Web ページを表示しながらダウンロードしてインストールする

• 実行可能プログラムを利用してユーザーがインストールする

• オペレーティング システムのプレインストール コンポーネントとして

• オペレーティング システムのプレインストール アドオンとして

アドオンの管理

ユーザーは個々のアドオンを有効または無効にしたり、Internet Explorer でのアドオンの使用頻度に関する情報を表示したりできます。これを行うには、次の手順で [アドオンの管理] を開きます。

1. [スタート] ボタン、[Internet Explorer] の順にクリックします。

2. [ツール]、[アドオンの管理] の順にクリックします。

また、次の手順でコントロール パネルから [アドオンの管理] を開くこともできます。

1. [スタート] ボタン、[コントロール パネル] の順にクリックします。

2. [インターネット オプション] をダブルクリックします。

3. [プログラム] タブ、[アドオンの管理] の順にクリックします。

[アドオンの管理] に用意されているオプションを利用すれば、アドオン設定を変更できます。

[表示] を使用すると、アドオンの一覧の表示方法を制御できます。これには次の 2 種類のオプションがあります。

• [現在 Internet Explorer に読み込まれているアドオン]。このオプションでは、現在の Internet Explorer プロセスでインスタンス化されている (またはメモリに読み込まれている) アドオンや、インスタンス化をブロックされているアドオンが表示されます。現在のプロセスで以前に表示した Web ページが使用していた ActiveX コントロールが含まれます。

• [Internet Explorer で使用されたアドオン]。このオプションでは、Internet Explorer で参照されたことがあり、まだインストールされているアドオンが表示されます。

アドオンの一覧では、このドキュメントで前述した種類のインストール済みアドオンがすべて表示されます。インストール済みアドオンを有効または無効にするには、一覧のアドオンをクリックして選択し、[有効] または [無効] をクリックします。

一覧の ActiveX コントロールをクリックし、[ActiveX の更新] をクリックすると、元のコントロールが検出された場所で更新があるかどうか検索されます。その場所に新しいバージョンがあれば、Internet Explorer はその更新をインストールします。

アドオンの一覧には、発行元を信頼できなかったため、インストールを行わなかった署名付きアドオンも含まれます。これらのいずれかのコントロールを選択して [許可] をクリックすると、コントロールのブロックを解除することができます。[許可] をクリックすると、信頼されない発行元の一覧からその発行元が削除されるので、この作業は注意して行ってください。

ブロックされたアドオンのステータス バー アイコン

発行元を信頼できないため無効になっているかブロックされている ActiveX コントロールを、Web ページがインスタンス化しようとすると、ブロックされたアドオン アイコンがステータス バーに表示されます。アイコンをダブルクリックすると [アドオンの管理] を開くことができます。ステータス バー アイコンを使用する場合は、最初の 5 回だけバルーン ヒントが表示されます。

アドオン通知のバルーン ヒント

無効にされているアドオンを Web ページがインスタンス化しようとしたときに、ブロックされているアドオンのステータス バー アイコンがない場合は、現在の Web ページが無効にされているアドオンを要求しているというメッセージが表示されます。このメッセージをクリックすると、ブロックされているアドオンの詳細情報が表示されます。

コントロール パネルを使うと、このメッセージを表示しない設定にすることができます。このオプションについては後で説明します。

この変更が重要な理由と軽減される脅威

Windows のエラー報告データを確認すると、Internet Explorer の安定性に関する問題の主な原因がアドオンであることがわかります。このようにアドオンは、Internet Explorer の信頼性に大きな影響を与えます。これらのアドオンには悪意ある不明なコードが含まれていることがあり、セキュリティの問題が発生する場合もあります。

たいていの人は自分のコンピュータにインストールされているアドオンに気が付いていません。Internet Explorer を起動すると読み込まれるアドオンもありますが、ユーザーがレジストリを検索しないと検出できません。クラッシュが発生する場合でも、その問題がアドオンと関係しているかどうかを簡単に診断できる方法はありません。最近インストールしたソフトウェアのために問題が発生しているのではないかと思える場合であっても、問題を切り分けることは難しく、ソフトウェアにアンインストール オプションが用意されていなければ、多くの場合に解決不可能となります。

Internet Explorer のアドオン管理は、アドオン クラッシュ検出と共に、問題のあるアドオンを識別して無効にすることで、システムのセキュリティと安定性を向上する機能を提供します。管理者には強力な管理ツールも用意されているので、組織内におけるアドオン使用を制御することができます。

動作の相違点

アドオンが無効となる場合の動作

アドオンを無効にしてもコンピュータからは削除されません。Internet Explorer で、オブジェクトのインスタンス化やコードの実行が許可されないだけです。無効にしたアドオンが二度と読み込まれない保証はありません。Internet Explorer でアドオンを無効にしても、システム内の別のコンポーネントが使用できるためです。オブジェクトの種類が異なれば、無効にした場合の振る舞いも異なります。

• ActiveX コントロールを無効にすると、コントロールに依存する Web ページは予期した動作をしません。ユーザーがコントロールをコンピュータからアンインストールし、インストールを拒んでいる状態にあるかのように振る舞います。無効になったコントロールをアップグレードするようにユーザーが促されることはありません。

• ブラウザ ヘルパー オブジェクトを無効にすると、このオブジェクトに依存している機能を使用できなくなり、コンポーネントが無効であることは一切表示されません。

• ブラウザ拡張を無効にすると、この拡張のツール バー ボタンとメニュー エントリ ポイントが表示されなくなります。Internet Explorer は、拡張がインストールされなかったかのように動作します。

• ツール バー拡張を無効にすると、Internet Explorer にツール バーが表示されなくなり、[表示] メニューの [ツール バー] が無効になります。Internet Explorer は、ツール バーがインストールされなかったかのように動作します。

既定では、無効になったアドオンの概念は、Internet Explorer (Iexplore.exe) と Windows エクスプローラ (Explorer.exe) のインスタンスにのみ適用されます。現時点では、WebBrowser コントロールなどの Internet Explorer コンポーネント ベースのプログラムでは、無効状態を参照しません。ただし、featurecontrol キーを使用して、この機能を他のアプリケーションに拡張することができます。

複数のアドオンを組み合わせることで正常に動作するソフトウェア プログラムもあり、この場合はいずれかのアドオンを無効にすると問題が発生します。アドオンを無効にするかどうかを決定する際には、注意が必要です。

アンインストール

ユーザーが非 ActiveX アドオンを無効にしてアンインストールした後に、再びこのアドオンをインストールしても、アドオンは無効のままである場合があります。これは、Internet Explorer にアプリケーションのインストールが通知されず、アプリケーションの状態の変更が検出されないためです。ただし、アドオンがインストールされていない状態で Internet Explorer を起動すると、変更が検出されて自動的に無効状態がクリアされます。

ユーザーが ActiveX コントロールを無効にしてアンインストールすると、次回 Web ページがこのコントロールを使用する際に、Internet Explorer でこのコントロールが存在しないことが検出されて自動的に無効状態がクリアされます。ただし、Web ページのダウンロードではなく実行可能ファイルを使用して ActiveX コントロールを再インストールしてから、このコントロールをインスタンス化する場合は、このコントロールは無効状態のままです。これは Internet Explorer が状態の変更を検出できないからです。

これらの問題の解決法

アドオンを無効にして機能不足になった場合は、[アドオンの管理] でアドオンを有効にすると機能を復元できます。新しい設定を有効にするには、Internet Explorer を再起動する必要がありますが、ActiveX コントロールの場合は例外で、影響があるページを再読み込みするだけで済みます。

管理者向けの Internet Explorer のアドオン管理

詳細説明

クラッシュ検出を無効にする

アドオン管理のクラッシュ検出機能を無効にするには、次の「Windows XP Service Pack 2 で追加または変更された設定」を参照してください。クラッシュ検出が無効である場合に Internet Explorer がクラッシュすると、前の動作が実行され、通常は Windows エラー報告が起動します。Windows エラー報告のすべてのポリシーは、引き続き適用されます。

アドオン管理ユーザー インターフェイスを無効にする

アドオン管理ユーザー インターフェイスを無効にするには、次の「Windows XP Service Pack 2 で追加または変更された設定」を参照してください。アドオン管理ユーザー インターフェイスを無効にすると、[アドオンの管理] の [有効] および [無効] オプションが使用できなくなります。

[アドオンの一覧で許可されたものを除き、アドオンはすべて拒否する]

管理者は、このポリシー設定を使用して、[アドオンの一覧] ポリシー設定の一覧にない Internet Explorer アドオンをすべて拒否することができます。

このポリシーを設定するには、管理者は次のいずれかの場所にある RestrictToList キーを変更します。

HKEY_CURRENT_USER¥SOFTWARE¥Microsoft
¥Windows¥CurrentVersion¥Policies¥Ext¥

HKEY_LOCAL_MACHINE¥SOFTWARE¥Microsoft
¥Windows¥CurrentVersion¥Policies¥Ext¥

名前 : RestrictToList

種類 : DWORD

値 :

• 1 (アドオンの一覧にないものは無効と判断します)

• 0 (アドオンの一覧になくても、ポリシーがない場合のように動作します)

[アドオンの一覧]

管理者は、[アドオンの一覧] ポリシーを使用して特定のアドオンの使用を制御することができます。管理者は、アドオンを有効または無効にしたり、特定のアドオンをユーザーが管理できるようにします。

このポリシーを設定するには、管理者は次のいずれかのキーのアドオンの GUID に基づいてレジストリ キーを作成し、目的の値を設定します。

HKEY_CURRENT_USER¥SOFTWARE¥Microsoft
¥Windows¥CurrentVersion¥Policies¥Ext¥CLSID

HKEY_LOCAL_MACHINE¥SOFTWARE¥Microsoft
¥Windows¥CurrentVersion¥Policies¥Ext¥CLSID

各アドオンは、このレジストリ キーで次のプロパティを設定した値です。

名前 : アドオンの GUID

種類 : REG_SZ

値 :

• 0 - アドオンが無効になり、エンド ユーザーはアドオンを管理できません。

• 1 - アドオンは許可されますが、エンド ユーザーはアドオンを管理できません。

• 2 - アドオンが許可され、エンド ユーザーはアドオンを管理できます。

既定では、アドオン (CLSID) の一覧は空です。

ポリシーが適用される場合の管理 UI の動作

アドオン マネージャのポリシーが有効で、ユーザーが管理一覧からポリシーで無効にしたアドオンを選択する場合は、[有効] と [無効] は使用できません。

この変更が重要な理由と軽減される脅威

この機能により、管理者は新機能の使用を制御することができます。

動作の相違点と依存関係の存在

アドオンを許可および拒否する新機能は、ActiveX コントロールを管理する既存のポリシーと連動します。アドオンの無効化は既存のチェックの存在を前提として適用され、既に存在している他のセキュリティ制限を置き換えることはありません。たとえば、ActiveX コントロールが ActiveX 互換性フラグによりブロックされている場合は、アドオンの管理設定に関係なく常にブロックされます。

アドオンを無効にする場合の影響については、このドキュメントの前の方で説明しています。

これらの問題の解決法

これらのポリシーを追加すると必要な機能が削除される場合は、適用したポリシーを削除して Internet Explorer を再起動します。

Internet Explorer のアドオン クラッシュ検出

詳細説明

Internet Explorer の動作が予期せず停止すると、アドオン クラッシュ検出プログラムが起動します。アドオン クラッシュ検出はエラー分析プログラムであり、Iexplore.exe (Internet Explorer) プロセスの状態を調べます。読み込まれているダイナミック リンク ライブラリ (DLL) の一覧と、クラッシュ時の命令ポインタ レジスタ (EIP) の値が収集されます。次にアドオン クラッシュ検出は、EIP を含むメモリ範囲がある DLL を探します。通常は、この DLL がクラッシュの原因となります。

検出された DLL がシステム DLL ではなく Internet Explorer アドオンの COM サーバーの場合は、[Internet Explorer アドオン クラッシュ検出] ダイアログ ボックスが表示されます。このダイアログ ボックスには、クラッシュが発生したアドオン、このアドオンに関連する会社名、およびアドオン コードを含む DLL ファイルの説明を示す情報が含まれています。特定されたアドオンを無効にするために [アドオンの管理] を表示するには、[詳細設定] をクリックします。このウィンドウとオプションの詳細については、このドキュメントで前述した「アドオンの管理」を参照してください。情報を確認して [続行] をクリックすると、標準の Windows エラー報告ウィンドウが表示されます。

この変更が重要な理由と軽減される脅威

この情報については、このドキュメントで前述した「管理者向けの Internet Explorer のアドオン管理」を参照してください。

動作の相違点と依存関係の存在

この機能は Internet Explorer が動作を停止した時のみに動作するため、通常操作に変更はありません。

Windows XP Service Pack 2 で追加または変更された設定

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

コードを修正する必要はありません。Internet Explorer のアドオン クラッシュ検出またはアドオン管理を実行するために、コードを変更する必要はありません。

Internet Explorer のバイナリ ビヘイビアのセキュリティ設定

バイナリ ビヘイビアのセキュリティ設定の機能

Internet Explorer には動的なバイナリ ビヘイビアが含まれています。これは、動作が関連付けられている HTML 要素のための特定の機能をカプセル化するコンポーネントです。このようなバイナリ ビヘイビアは、制限付きサイト ゾーンの Web ページで作業が行えるようにする Internet Explorer セキュリティ設定によって制御されません。Windows XP Service Pack 2 には、バイナリ ビヘイビア用の新しい Internet Explorer のセキュリティ設定があります。この新しい設定により、制限付きサイト ゾーンでのバイナリ ビヘイビアが既定で無効になります。この新しいバイナリ ビヘイビアのセキュリティ設定により、Internet Explorer のバイナリ ビヘイビアの脆弱性が緩和されます。

動作や実装方法など、バイナリ ビヘイビアの詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=21862) の Internet Explorer 5.5 のバイナリ ビヘイビアに関する最新情報のページを参照してください。バイナリ ビヘイビアは C++ で定義されてコンパイルされ、アタッチされるビヘイビアやエレメント ビヘイビアはスクリプトで定義される点に注意してください。

この機能の対象ユーザー

制限付きサイトやローカル コンピュータのゾーンで Internet Explorer の機能を使用するアプリケーション開発者は、この機能を確認してアプリケーションに変更を適用する計画を立てることをお勧めします。たとえば、制限付きサイト ゾーンで HTML 形式の電子メールを処理する電子メール アプリケーションは修正する必要があります。

この新しい設定では、ユーザーは HTML コンテンツを完全に処理できないアプリケーションからだけ影響を受けます。このようなアプリケーションでは、ある種のアクティブな動作の表示が妨げられたことをユーザーに警告するのが一般的です。たとえば、Outlook Express でこのような状況になると、電子メール内のアクティブなコンテンツが制限されていることをユーザーに知らせます。

Windows XP Service Pack 2 でこの機能に追加された新機能

Internet Explorer の新しいセキュリティ設定

詳細説明

新しい URLaction 設定はバイナリ ビヘイビアであり、Internet Explorer の各セキュリティ ゾーンにあります。この設定の既定値は、制限付きサイト ゾーン以外のすべてのゾーンで [有効にする] に設定されています。制限付きサイト ゾーンでは、既定値は [無効にする] です。

この変更が重要な理由と軽減される脅威

この新しい設定を使えば、バイナリ ビヘイビアが悪意をもって使用される攻撃を緩和し、ゾーンごとにユーザーがバイナリ ビヘイビアを制御できるようになります。

動作の相違点

制限付きサイト ゾーンで HTML 形式のバイナリ ビヘイビアの使用をすべてブロックします。

これらの問題の解決法

制限付きサイト ゾーンからバイナリ ビヘイビアを使用するには、アプリケーションにカスタム セキュリティ マネージャを実装する必要があります。詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=21863) にある URL セキュリティ ゾーンの概要で、カスタマイズした URL セキュリティ マネージャの作成についてのページを参照してください。

バイナリ ビヘイビアである URL アクションをカスタム セキュリティ マネージャから実行する場合、URL アクションは、アプリケーション互換性の必要性に応じてカスタム セキュリティ マネージャで有効にされる特定のバイナリ ビヘイビアの文字列表現で処理されます。この URL アクションを実行する場合は、次のプロセスが実行されます。

• Internet Explorer は、カスタム セキュリティ マネージャ (使用可能な場合) を呼び出し、URLACTION_BEHAVIOR_RUN の dwAction で、ProcessUrlAction メソッドを使用します。

• pContext パラメータは、ポリシーの照会先となるビヘイビアが格納されている LPCWSTR を指します。たとえば、#default#time です。

• 必要に応じてカスタム セキュリティ マネージャ内で、smartTag 動作として *pPolicy = URLPOLICY_ALLOW を設定します。

• このカスタム セキュリティ マネージャが存在しない場合の既定のアクションは、制限付きサイト ゾーン内でのビヘイビアの実行を許可しません。

デスクトップ管理者は、ロックダウンされたローカル コンピュータ ゾーンで許可するバイナリ ビヘイビアを指定することができます。ロックダウンされたローカル コンピュータ ゾーンでビヘイビアを有効にするには、次のように管理者が許可したビヘイビアの一覧にそのビヘイビアを追加し、名前空間とビヘイビアの変数を環境に合わせて置き換えます。

HKEY_LOCAL_MACHINE¥SOFTWARE¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥AllowedBehaviors

# % Namespace %#% Behavior %=dword:00000001 

この一覧に定義されているビヘイビアは、バイナリ ビヘイビアの制限設定が "管理者の許可済み" (65536) に構成されているその他すべてのゾーンにも使用されます。

Windows XP Service Pack 2 で変更された既存機能

ありません。これは、既存のバイナリ ビヘイビア機能を有効にするかどうかだけの設定です。

Windows XP Service Pack 2 で追加または変更された設定

バイナリ ビヘイビアは、Internet Explorer のセキュリティ ゾーンとコンテンツの規制設定の一部として、グループ ポリシーからも修正できることに注意してください。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

制限付きサイト ゾーン内でコードがバイナリ ビヘイビアを使用している場合、自分のアプリケーション用にカスタム セキュリティ マネージャを実装して、コードを変更する必要があります。詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=21863) にある URL セキュリティ ゾーンの概要で、カスタマイズした URL セキュリティ マネージャの作成についてのページを参照してください。

Internet Explorer の BindToObject 軽減

BindToObject 軽減の機能

Windows XP Service Pack 2 では、オブジェクトのインスタンス化と初期化に URL バインディングを使用するすべての場合に ActiveX セキュリティ モデルが適用されます。ActiveX セキュリティ モデルを使用すると、コントロールを "スクリプトを実行しても安全" や "初期化しても安全" として設定でき、それらの設定に基づいてセキュリティ ゾーンごとに ActiveX コントロールをブロックまたは許可する機能を使用できます。これにより、Internet Explorer のアクティブなコンテンツの柔軟性や制御が向上します。

この機能の対象ユーザー

• Web 開発者とネットワーク管理者は、Web サイトに影響しないよう変更または回避するために、これらの新しい制限を把握する必要があります。

• アプリケーション開発者は、この機能を確認し、アプリケーションに変更を適用する計画を立てることをお勧めします。

• ユーザーは、このように厳密性が増した規則に合わないサイトから影響を受ける可能性があります。

Windows XP Service Pack 2 でこの機能に追加された新機能

ありません。既存のセキュリティ機能が拡張されています。

Windows XP Service Pack 2 で変更された既存機能

URL オブジェクトの初期化に適用される ActiveX セキュリティ モデル

詳細説明

ActiveX の安全上の脆弱性を取り除く最も効果的な方法は、URL バインディングのソースである URLMON で、セキュリティ ポリシーを一貫して適用することです。<object> タグと CODEBASE 属性を使って HTML ページ内に ActiveX コントロールを宣言することは、BindToObject を使用する最も一般的な方法です。URL を解決してストリームまたはオブジェクトを取り込む任意のコンポーネントで、これと同じ機能を使用できます。この ActiveX セキュリティ モデルは、URL をソースとして使用するすべてのオブジェクトの初期化に適用されます。

この変更が重要な理由と軽減される脅威

ActiveX コントロールの場合、ActiveX セキュリティ モデルを使用すると、コントロールを "スクリプトを実行しても安全" や "初期化しても安全" として設定でき、それらの設定に基づいてゾーンごとに ActiveX コントロールをブロックまたは許可する機能を使用できます。Windows の以前のバージョンでは、このようなセキュリティ フレームワークは、URL バインディングが発生するすべての場合に適用できませんでした。その代わりに、呼び出しコード側でコントロールの保全性とセキュリティを保証する必要がありました。そのために、セキュリティの脆弱性が発生していました。現在は、Internet Explorer 全体を調べて呼び出しコード内の脆弱性を狙いこの問題を起こす、さまざまな利用例が公開されています。

動作の相違点と依存関係の存在

この ActiveX セキュリティ モデルは、URL をソースとして使用するすべてのオブジェクトの初期化に適用されます。また、"初期化しても安全" のタグがすべてのオブジェクトに適用されます。この軽減が適用されるのは、Internet Explorer が URL から IP アドレスを解決してオブジェクトに割り当てる場合のみです。

これらの問題の解決法

アプリケーションの互換性問題は最小限にすることをお勧めします。専用のセキュリティ マネージャがあるアプリケーションは、オプトアウトすることができます。このセキュリティ モデルのオプトアウトの詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=21814) の URL セキュリティ ゾーン API に関するセキュリティの考慮事項のページを参照してください。

Windows XP Service Pack 2 で追加または変更された設定

ありません。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

コードを変更しなければならない場合があります。詳細については、このセクションの「これらの問題の解決法」を参照してください。

Internet Explorer 情報バー

情報バーの機能

Windows XP Service Pack 2 では、以前のバージョンでユーザーに情報を表示していたさまざまな一般的なダイアログ ボックスの代わりに Internet Explorer 情報バーが使用されます。この情報バーは、ユーザーの操作の指針となる情報をわかりやすく表示する領域です。ダイアログ ボックスの代わりに Internet Explorer 情報バーによる通知が使用される例としては、ブロックされた ActiveX のインストール、ポップアップ、ダウンロード、およびアクティブなコンテンツが挙げられます。情報バーは Outlook 2003 の通知領域と同様に、ブロックされたコンテンツをユーザーに知らせるための情報を表示します。

この機能の対象ユーザー

この機能は以下の人々に適用されます。

• Web を参照する際に新しい動作がどのように影響するかを理解する必要があるユーザー。

• 組織内のクライアント コンピュータ上でこの機能をオンまたはオフにする方法を把握する必要があるシステム管理者。

• これまでとは異なるエクスペリエンスを提供するアドオンを使用する Web サイトの設計者。

• エクスペリエンスの違いを理解する必要がある Web ベース アプリケーションの開発者。たとえば、これは ActiveX コントロールの開発に影響します。他のコンピュータに現在インストールされているコントロールの更新となる ActiveX コントロールは、新しいコントロールの GUID が現在の GUID と一致する場合は、更新として扱われるだけです。

• Web ブラウザ コントロールをホスティングするアプリケーションの開発者。この新機能を利用するために、新しい API (アプリケーション プログラミング インターフェイス) の使用方法を把握する必要があります。

Windows XP Service Pack 2 でこの機能に追加された新機能

情報バー ユーザー インターフェイス

詳細説明

情報バーの外観と動作は、Outlook 2003 のブロックされたコンテンツ通知領域に似ています。通知する情報がある場合は、情報バーが Internet Explorer のツール バーと参照中の Web ページの間に表示されます。次のページに移ると、情報バーは消去されます。情報バー内のテキストは通知内容に応じて変わります。通知領域の幅よりも長いテキストは改行されます。ユーザーが Tab キーを使用してフォーカス (ブラウザ内のオブジェクトが入力を受け入れる部分) を制御する場合、情報バーのフォーカスは、ツール バーを移動した後、Web ページに移動する前に有効になります。

情報バーをクリックまたは右クリックすると、表示された通知に関連するメニューが表示されます。このメニューには必ず情報バーのヘルプへのリンクが含まれています。そのヘルプを参照すると、通知に関するさらに詳細な情報が得られます。通知に関連するその他のメニュー項目は、[情報バーのヘルプ] メニュー項目の上に表示されます。

表示されたときにサウンドを再生するように情報バーを構成することができます。既定では、サウンドはオンに設定されています。情報バーが表示されると、ステータス バーに [ページでエラーが発生しました] と通知される代わりに、Windows 信頼アイコンが表示されます。

場合によっては、複数のアクションがブロックされることがあります。たとえば、アドオンのインストールと同時に、ポップアップ ウィンドウがブロックされることがあります。その場合は、テキストは全般的な内容になり、メニューは結合されてトップ レベルでブロックされた各アクションが表示され、各アクションのメニューはサブメニュー化されます。

情報バー用のセキュリティ ゾーン設定をカスタマイズして、ユーザーがセキュリティ ゾーンごとに情報バーの設定を変更するようにできます。情報バーによる通知を有効にするか、Windows XP Service Pack 1 での動作に戻ってファイルおよびコードのダウンロードに関する通知を目立たなくさせるかを選択することができます。

この変更が重要な理由と軽減される脅威

Windows XP Service Pack 2 の Internet Explorer では、特定のオンライン タスクを実行するために必要なコンテンツをブロックされることがあります。Web ページの動作が信頼できる場合にそのページを再び取得する方法に関するわかりやすい通知が、情報バーに表示されます。Windows XP Service Pack 1 のように、ユーザーの操作を邪魔するようなプロンプトに煩わされることはありません。

動作の相違点

この情報については、次の「Windows XP Service Pack 2 で変更された既存機能」を参照してください。

Windows XP Service Pack 2 で変更された既存機能

アドオン インストール プロンプト

詳細説明

Windows XP Service Pack 1 では、現在コンピュータ上にない ActiveX コントロールを Web ページで参照すると、その ActiveX コントロールをダウンロードするかどうかの確認を求められます。Windows XP SP2 では、これが情報バーに表示されます。次の表は、情報バーの要素を示しています。< > 内のテキストは、状況に応じて固有の項目に置き換えられます。

信頼された発行元は Windows XP SP1 の場合と同様に機能します。それらの発行元から提供されるコントロールは追加の構成を行わずにインストールできます。

ブロックされた発行元については、ステータス バー アイコンが表示されます。それらの発行元が提供するコントロールはコンピュータにインストールされず、情報バーにも示されません。

アドオンのアップグレードは Windows XP SP1 の場合と同様に機能します。Internet Explorer は、次の条件を使用してコントロールがアップグレードであるかどうかを判断します。

• ActiveX コントロールとして登録されているファイルが、Authenticode™ 技術で署名されている。このファイルは、HKEY_CLASSES_ROOT¥CLSID¥<コントロールの CLSID>¥InProcServer32 から参照されます。<コントロールの CLSID> は、OBJECT タグが指定する CLSID です。

• 新しいコントロールのデジタル署名にある発行元の名前が、既存のコントロールのデジタル署名にある発行元の名前と一致する。

• ActiveX コントロールが CAB ファイルでパッケージ化され、この CAB ファイルが署名されている。今後のアップグレード時に情報バーを回避するために、インストールする DLL または OCX も署名されている必要があります。

この変更が重要な理由と軽減される脅威

ダイアログ ボックスではなく情報バーでアドオン インストール プロンプトを表示すると、ユーザーが誤ってコンピュータにコードをインストールする可能性を軽減することができます。

動作の相違点

現在、Web ページの中には、正しく動作するためにコードをインストールすることを求めるページがあります。ユーザーを別のページにリダイレクトして、ActiveX のインストール方法を説明しているサイトもあります。サイトが新しいページでコントロールを提供せず、自動的にこのページにリダイレクトする場合は、リダイレクト先のページで情報バーが表示され、ここでコントロールをインストールすることができます。ただし、ActiveX コントロールをインストールするためのウィンドウが閉じる場合は、コントロールをインストールできない可能性があります。

これらの問題の解決法

Web ページの作成者は、ユーザーがリダイレクト先のページでも ActiveX コントロールを使用できるようにする必要があります。これにより、ユーザーは確実にコントロールをインストールできます。

Web ページの作成者はユーザーにセキュリティの設定を下げるように勧めないでください。この場合は効果がありません。Windows XP SP2 の Web 作成者向けのその他のガイダンスについては、MSDN Web サイト (http://go.microsoft.com/fwlink/?LinkId=32775) の Windows XP Service Pack 2 での Web サイトの微調整についてのページを参照してください。

ポップアップ ブロックの通知

詳細説明

Windows XP SP2 では、ポップアップがブロックされると、その通知が情報バーに表示されます。これが、ポップアップの再実行、ポップアップ許可一覧へのサイトの追加、ポップアップ ブロック設定への移動などのポップアップ ブロックの機能を使用するための明確なエントリ ポイントになります。また、情報バーは、ユーザーがこのイベントの通知頻度が高すぎると判断したときにポップアップに関する情報バーをオフにする際のトップ レベルのエントリ ポイントにもなります。

この変更が重要な理由と軽減される脅威

ポップアップがブロックされたという通知が情報バーに表示されると、その通知がより優先されるようになります。ユーザーは、ブロックされたポップアップ ウィンドウを表示できる場所、あるいはポップアップ ブロックの設定を確認できる場所について把握できるようになります。

動作の相違点

情報バーをオフにすると、ポップアップ ブロックは以前のようにステータス バー アイコンで通知します。ポップアップに関する情報バーを無効にしても、このステータス バー アイコンから同じメニュー項目すべてにアクセスすることができます。詳細については、このドキュメントで後述する「Internet Explorer ポップアップ ブロック」を参照してください。

自動ダウンロード プロンプト

詳細説明

自動的に起動するファイル ダウンロード プロンプトは、情報バーに表示されます。

情報バーには、アクションを実行した理由を説明するテキストが表示され、通知に応答するために使用する、状況に応じたメニューも表示されます。次の表は、情報バーに表示されるテキストと、メニューからユーザーが選択できるアクションを示しています。

この変更が重要な理由と軽減される脅威

ダウンロード プロンプトを情報バーに移動すると、ユーザーが不要なコードをコンピュータにインストールすることを回避できます。これまでは、サイトから大量のファイル ダウンロード プロンプトが送信され、ユーザーが不要なソフトウェアを誤ってコンピュータにインストールすることがありました。この変更により、以前は自動的に表示されたファイル ダウンロード プロンプトがユーザーによる確認のクリックの後で表示されるようになり、誤ったアクションを減らすことができます。

動作の相違点

ページ上の要素をクリックするなどのユーザーのアクションがない場合にサイトからファイル ダウンロード プロンプトが送られてくると、そのことが情報バーに表示されます。

これらの問題の解決法

Web の作成者は Web ページに、ファイルをダウンロードするためにユーザーがクリックするリンクを設定する必要があります。リソースに移動するスクリプトを使用する場合は、目的のリンクに対する OnClick イベント ハンドラのコンテキスト内で同期的にスクリプトを実行してください。

Windows XP SP2 の Web 作成者向けのその他のガイダンスについては、MSDN Web サイト (http://go.microsoft.com/fwlink/?LinkId=32775) の Windows XP Service Pack 2 での Web サイトの微調整についてのページを参照してください。

アクティブ コンテンツのブロック

詳細説明

ローカル コンピュータのゾーン内でアクティブなコンテンツの実行がブロックされると、情報バーが表示されます。

情報バーには、アクションを実行した理由を説明するテキストが表示され、通知に応答するために使用する、状況に応じたメニューも表示されます。次の表は、情報バーに表示されるテキストと、メニューからユーザーが選択できるアクションを示しています。

この変更が重要な理由と軽減される脅威

Windows XP SP2 では、特定のタスクの完了に必要とされるアクティブなコンテンツが、Internet Explorer によってブロックされることがあります。この新しいユーザー インターフェイス要素により、信頼できる Web ページでユーザーがこれらのタスクを実行できることが通知されます。

動作の相違点

ローカル コンピュータのゾーンでの軽減機能として、新しい情報バーが使用されます。

詳細については、このドキュメントで後述する「Internet Explorer のローカル コンピュータ ゾーンのロックダウン」を参照してください。

セキュリティの設定によってブロックされる ActiveX

詳細説明

Windows XP SP2 では、セキュリティの設定によって ActiveX がブロックされたというメッセージは表示されません。Internet Explorer では、情報バーにこの通知が表示されます。

情報バーには、アクションを実行した理由を説明するテキストが表示され、通知に応答するために使用する、状況に応じたメニューも表示されます。次の表は、情報バーに表示されるテキストと、メニューからユーザーが選択できるアクションを示しています。

この変更が重要な理由と軽減される脅威

Windows XP SP1 のプロンプトでは、セキュリティ設定を強化したブラウズは困難です。このプロンプトを情報バーに表示すると、ユーザーはプロンプトを使用せずに、セキュリティ設定を強化したブラウズを簡単に実行できます。

動作の相違点

セキュリティ スライダを [高] に設定してインターネット ゾーンをブラウズする場合を除いて、アプリケーションの互換性の問題が生じることはありません。

Windows XP Service Pack 2 で追加または変更された設定

この機能に関するレジストリ キーの詳細については、このドキュメントで後述する「セキュリティ ゾーン設定に機能コントロール レジストリ設定を使用する Internet Explorer」を参照してください。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

Web ページ作成者は、ユーザーがアドオンをインストールするかどうかに基づいて、リダイレクトしたりユーザーが開いたウィンドウを閉じたりしないようにしてください。

ファイル ダウンロード プロンプトを自動的に生成する Web ページ作成者は、それらのダウンロードへのリンクをサイトに設定してください。

アドオンの発行元は、前のコントロールへのアップグレードには同じグローバル一意識別子 (GUID) を使用するようにして、アップグレードに関する情報が情報バーに表示されないようにしてください。

Windows XP SP2 の Web 作成者向けのその他のガイダンスについては、MSDN Web サイト (http://go.microsoft.com/fwlink/?LinkId=32775) の Windows XP Service Pack 2 での Web サイトの微調整についてのページを参照してください。

セキュリティ ゾーン設定に機能コントロール レジストリ設定を使用する Internet Explorer

機能コントロール レジストリ設定とセキュリティ ゾーン設定の機能

特定のプロセスを構成して個々のセキュリティ機能をオプトインすることができるように、Windows XP SP2 には機能コントロール レジストリ設定が用意されています。次の例では、ウィンドウの制限のセキュリティ機能を使用するように、Internet Explorer が構成されています。

[HKEY_LOCAL_MACHINE¥SOFTWARE¥Microsoft
¥Internet Explorer¥Main¥FeatureControl
¥FEATURE_WINDOWS_RESTRICTIONS] iexplore.exe=1

あるセキュリティ機能を使用するようにプロセスを構成すると、そのセキュリティ機能が実行されますが、その機能にセキュリティ ゾーン設定が実装されている場合はその設定も適用できます。[インターネット オプション] の [セキュリティ] タブでは、Windows XP SP2 のさまざまな新しい機能コントロールに対してこれらの設定を調整することができます。[有効にする] を選択すると、セキュリティ設定のレベルが下がって動作実行時のセキュリティが低くなったり、Windows XP Service Pack 1 と同じ動作になったりします。たとえば、イントラネット ゾーンのウィンドウの制限を [有効にする] に設定すると、ウィンドウの制限は適用されず、Windows XP SP1 と同様にスクリプトで起動するウィンドウが自由に開きます。セキュリティ ゾーン設定を [無効にする] に設定すると、Windows XP SP2 の制限を再び適用でき、プロセスに対して機能コントロールが有効になり、安全性の低い動作がブロックされます。

たとえば、ウィンドウの制限の機能をオンにすると、次のようになります。

• スクリプトで起動され、"window.open() を用いて作成された" タイトル バーが表示される Internet Explorer ウィンドウでは、ステータス バーが強制的に表示されます。

• スクリプトで起動され、タイトル バーとステータス バーが表示される Internet Explorer ウィンドウは、サイズと位置が制限され、ウィンドウのタイトル バーとステータス バーを常に確認できるようになります。

• スクリプトで起動され、タイトル バー、ステータス バー、またはその他のフレームが表示されないポップアップ ウィンドウは制限され、ウィンドウは次のようになります。

  • 親 Web オブジェクト コントロール (WebOC) ウィンドウの最上部より上または最下部より下には延長されません。

  • 親 WebOC ウィンドウより高さが小さい必要があります。

  • 親ウィンドウと上下に並べて表示されます。

  • 親ウィンドウが移動された場合、それと離れないように移動します。

  • 他のウィンドウが見えるように、親ウィンドウの上に "z" 状に配置されます。

各機能コントロールの詳細については、このドキュメントで後述します。URL アクション設定やそのセキュリティ ゾーンとの関係の詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=26001) の URL セキュリティ ゾーン テンプレートについてのページを参照してください。

機能に対してセキュリティ ゾーン設定を使用すると、Windows XP SP2 に組み込まれたセキュリティ機能をより正確に制御でき、組織のイントラネット アプリケーションに対するアプリケーション互換性の管理に役立ちます。ユーザーや管理者は、危険性に応じてさまざまな動作を選択することができます。たとえば、インターネット ゾーンの http://www.contoso.com にウィンドウの制限機能が既定で適用されているとします。この機能のある要素により、window.open メソッドで作成された Internet Explorer ウィンドウでステータス バーが強制的に表示されます。このセキュリティ機能は、ウィンドウの送信元が信頼されていないソースである場合に、ユーザーが信頼されているソースと判断しないようにするために追加されています。ただし、企業のセキュリティは通常高く危険性は低いので、既定ではイントラネットの http://contoso に対してウィンドウの制限機能がオフになっています。イントラネット アプリケーションは、Windows XP SP1 の場合と同様に引き続き動作し、セキュリティ制限が追加されたことによる互換性の問題の影響を受けません。

この機能の対象ユーザー

Web アプリケーション開発者は、Windows XP SP2 の新しいセキュリティ設定がアプリケーションを実行するゾーンに依存することを把握する必要があります。このため、情報のセキュリティを踏まえた上で、セキュリティ ゾーンを注意して割り当てる必要があります。アプリケーションの互換性を評価する場合も、使用するセキュリティ ゾーンを考慮する必要があります。

グループ ポリシーの管理者は、組織内の固有の環境に合わせて各ゾーンの既定値を調整することができます。

グループ ポリシー内のポリシーで禁止されていなければ、ユーザーはコントロール パネルの [インターネット オプション] から、各ゾーンのセキュリティ ゾーン設定や URL アクションの値を管理することができます。ローカル コンピュータ ゾーンはコントロール パネルからアクセスすることはできないので、注意してください。ゾーンのセキュリティ設定にアクセスするには、[スタート] ボタン、[コントロール パネル]、[インターネット オプション]、[セキュリティ] タブ、Web セキュリティ ゾーン、[レベルのカスタマイズ] の順にクリックします。

Windows XP Service Pack 2 でこの機能に追加された新機能

機能コントロールのレジストリ設定

詳細説明

Windows XP Service Pack 2 には、新しい機能コントロール レジストリ設定が用意されています。

これらの機能の多くでは、レジストリ設定がオンの場合に、ユーザーは URL アクション フラグとも呼ばれるセキュリティ設定を構成し、各セキュリティ ゾーンの機能コントロールを微調整することができます。

• Internet Explorer 機能コントロールに対して [有効にする] を選択して実行できるようにすると、ゾーンのセキュリティが Windows XP Service Pack 1 の場合と同じになります。このゾーンには関連するセキュリティ制御機能は適用されず、この機能が提供するセキュリティ層は追加されずにセキュリティ ゾーンが実行されます。

• セキュリティ ゾーン設定を無効にすると、問題を起こす可能性のあるアクションは実行できず、プロセスの機能コントロール設定の指定により、このゾーンでは、この Internet Explorer のセキュリティ機能がオンになります。

通常、セキュリティ設定は URL セキュリティ ゾーン テンプレートでゾーンに適用されます。Windows XP SP2 でのセキュリティ設定の既定値やゾーン テンプレートの設定については、このドキュメントで後述する「グループ ポリシーにおける Internet Explorer の UrlAction セキュリティ設定」の一覧を参照してください。

この変更が重要な理由と軽減される脅威

当初想定したように、すべてのセキュリティ ゾーンに関して、各機能コントロール設定はオンまたはオフのどちらかです。ユーザーのフィードバックにより、一部の機能に対して設定をより細かく行う必要があることがわかりました。たとえば、内部ワークフローがイントラネット アプリケーションに依存する組織があります。インターネット ゾーンにおいてはユーザーを保護できる機能コントロールが、イントラネット アプリケーションの動作を停止させることがあります。そのため、Microsoft はさまざまなセキュリティ設定をゾーンごとに制御できるようにしました。

動作の相違点

ゾーンごとにセキュリティを設定することにより、新しいセキュリティ機能をより柔軟に適用できます。この柔軟性によって、特にイントラネット シナリオで、この新しいセキュリティ機能の実装が管理しやすくなります。

これらの問題の解決法

機能コントロール設定がアプリケーションの問題の原因であると考えられる場合、アプリケーションを実行しているゾーンの機能コントロール設定を [有効にする] に変更すると、管理者またはユーザーは他のセキュリティ ゾーンで高いセキュリティを維持しながら、そのセキュリティ ゾーンでは Windows XP SP1 の動作に戻すことができます。一部のセキュリティ設定では、[有効にする] や [無効にする] のほかに、[ダイアログを表示する] や [管理者の許可済み] などの追加の構成オプションを使用できます。

Windows XP Service Pack 2で追加または変更された設定

次の表は、Windows XP Service Pack 2 の Internet Explorer 6.0 での 3 つの新しい URLaction セキュリティ設定例を示しています。設定の詳細については、このドキュメントで後述します。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

コードで既定の URLmon セキュリティ マネージャを使用する場合、開発者は CoInternetIsFeatureEnabledForURL を呼び出して、特定のゾーンのセキュリティ設定をチェックする必要があります。

グループ ポリシーにおける Internet Explorer の機能コントロール設定

グループ ポリシーにおける Internet Explorer の機能コントロール設定の機能

Windows XP Service Pack 2 には、機能コントロールと呼ばれる Internet Explorer のセキュリティ機能に使用する新しいレジストリ キーとレジストリ値が用意されています。このセクションでは、各セキュリティ機能について、新しい機能コントロールに関するレジストリ設定の具体的な動作を説明します。

修正された Inetres.adm ファイルには、新しい機能コントロール設定がポリシーとして含まれています。管理者はグループ ポリシー オブジェクト (GPO) を使用して、新しい機能コントロール ポリシーを管理することができます。Internet Explorer をインストールする際に、これらの機能コントロールに関する既定の設定がコンピュータの HKEY_LOCAL_MACHINE に登録されます。グループ ポリシーでは、管理者はそれらを HKEY_LOCAL_MACHINE (コンピュータの構成) または HKEY_CURRENT_USER (ユーザーの構成) で設定することができます。

この機能の対象ユーザー

グループ ポリシー管理者は、管理するコンピュータおよびユーザーに対する新しい Internet Explorer の機能コントロール設定の構成を統一することができます。

Windows XP Service Pack 2 で変更された既存機能

グループ ポリシーに関する Internet Explorer の設定

詳細説明

新しい機能コントロール ポリシーには以下のものがあります。

• バイナリ ビヘイビア セキュリティ制限

• MK プロトコル セキュリティ制限

• ローカル コンピュータ ゾーンのロックダウン セキュリティ

• 一貫性のある MIME 処理

• MIME スニッフィング安全機能

• オブジェクト キャッシュの保護

• スクリプト化された Windows セキュリティ制限

• ゾーン昇格からの保護

• 情報バー

• ActiveX のインストール制限

• FileDownload の制限

• アドオン管理

• ネットワーク プロトコルのロックダウン

グループ ポリシー管理コンソールでは、機能コントロールに対するローカル コンピュータ ポリシーは ¥コンピュータの構成¥管理用テンプレート
¥Windows コンポーネント¥Internet Explorer¥セキュリティの機能にあります。

機能コントロールに対する現在のユーザー ポリシーは、¥ユーザーの構成¥管理用テンプレート
¥Windows コンポーネント¥Internet Explorer¥セキュリティの機能にあります。

この機能に関するポリシーは、ゾーンの固有のセキュリティ設定ポリシーや設定が適用される前に、たとえば IExplore.exe などのプロセスに対して有効にしておく必要があります。機能コントロール キーの動作やプロセスに対するキーの設定の詳細については、このドキュメントで後述する各機能のセクションや「セキュリティ ゾーン設定に機能コントロール レジストリ設定を使用する Internet Explorer」を参照してください。ゾーンに固有のセキュリティ設定の詳細については、このドキュメントで後述する「グループ ポリシーにおける Internet Explorer の UrlAction セキュリティ設定」を参照してください。

グループ ポリシー管理者は、グループ ポリシー管理コンソールの拡張機能である管理テンプレートを使用して、これらの新しいポリシーを管理することができます。これらのポリシーを構成する場合、管理者はエクスプローラ プロセス (Internet Explorer および Windows エクスプローラ)、自分が定義した実行可能プロセス、または WebOC をホスティングするすべてのプロセスに対して、セキュリティ機能を有効または無効にすることができます。

ユーザーは、Internet Explorer のユーザー インターフェイスを使用して、ローカル コンピュータ ゾーンのロックダウン セキュリティ以外の機能コントロール ポリシーや設定を表示することはできません。機能コントロール ポリシーは、グループ ポリシー管理コンソールでのみ設定することができます。また、機能コントロール設定はプログラムを実行するか、レジストリを編集することによってのみ変更することができます。

ポリシーと設定の構成

企業のネットワーク上のクライアント コンピュータの Internet Explorer を管理する場合、グループ ポリシーを使用することをお勧めします。Internet Explorer では、Windows XP Service Pack 2 の IE の新しい機能コントロールすべてや、セキュリティ ページ設定または urlAction に対するグループ ポリシーの管理がサポートされています。グループ ポリシー管理者は、グループ ポリシー管理コンソールの拡張機能である管理テンプレートを使用して、これらの新しいポリシー設定を管理することができます。

ポリシー設定を実装する場合は、あるグループ ポリシー オブジェクト (GPO) のテンプレート ポリシー設定を構成し、別の GPO の関連する各ポリシー設定を構成することをお勧めします。次に、優先順位、継承、強制などのグループ ポリシーの管理機能を使用して、特定のクライアント コンピュータに固有の設定を適用します。

ユーザーはポリシーを参照できますが、グループ ポリシー管理または管理者のみがポリシーを変更することができます。設定は、プログラムを実行するか、レジストリを編集するか、urlAction の場合は Internet Explorer を使用して変更することができます。ポリシーに関連付けられている設定は、Internet Explorer の設定により指定された設定よりも優先されます。

IEAK/IEM

Windows XP SP2 以前のオペレーティング システムと以前のバージョンの Internet Explorer でも、エンド ユーザー向けに Internet Explorer をカスタマイズするソリューション プロバイダやアプリケーション開発者は、Internet Explorer Administration Kit (IEAK) 6 Service Pack 1 を使用することをお勧めします。IEAK サポートや IEAK/IEM プロセスは、Windows XP Service Pack 2 以前のバージョンの Internet Explorer でも変わりません。また、Windows XP Service Pack 2 を含め、IEAK/IEM を使用してユーザー設定を行うプロセスも変わりません。XPSP2 の IE6 の設定も同様です。ただし、この機能が提供する真のポリシー設定を管理できるのは、グループ ポリシーのみです。IEAK の詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=26002) の Microsoft Internet Explorer 6 Administration Kit Service Pack 1 についてのページを参照してください。

Windows XP SP 2 での IEAK/IEM に対する主な変更は、次の 2 つです。

• IE へのアップグレードは、Windows の Service Pack や Windows の正式リリースでのみ使用できます。

• Windows XP SP2 では、IE バイナリを IEAK パッケージで再配布することはできません。IEAK 6 SP1 から生成されるカスタマイズされたパッケージにより、Windows XP SP2 上で実行されている Internet Explorer に設定が透過的に適用されます。ただし、バイナリがインストールされることはありません。

つまり、IEAK は Windows XP Service Pack 2 以前のすべてのバージョンの Internet Explorer と同じように使用することができ、Windows XP Service Pack 2 でもブランド化に使用することができます。IEM/IEAK は、Windows XP Service Pack 2 でもユーザー設定に使用でき、GPMC を使用して真のポリシーを設定できます。

IEAK の既存のユーザー用のよく寄せられる質問

現在、会社のライセンスで IEAK を使用してデスクトップ コンピュータの Internet Explorer を構成していますが、組織内に Active Directory がありません。 XP SP2 で IEAK が動作しない場合は、どのように Internet Explorer を構成できますか。

Active Directory を使用できない場合でも、グループ ポリシーを使用して設定を構成することができます。グループ ポリシーを使用して、お使いの設定でローカルのグループ ポリシー オブジェクト (GPO) を作成して展開することができます。Internet Explorer 用に GPO を構成したら、通常の展開方法で GPO を展開することができます。たとえば、起動またはログオン スクリプトや Systems Management Server のスクリプトを使用したり、リンクを電子メールでユーザーに送信したりできます。

現在、会社のライセンスで IEAK を使用してデスクトップの Internet Explorer を構成していますが、組織内に Active Directory がありません。 このまま Windows XP SP2 で IEAK 6 SP1 パッケージを実行すると問題がありますか。

Windows XP SP2 コンピュータに IEAK 6 SP1 をインストールすると、IE 6 SP1 の設定が更新されますが、IEAK 6 SP1 では Windows XP SP2 の新しい設定を展開するように設計されていないので、Windows XP SP2 の新しいセキュリティ設定は構成できません。

現在、ISP のライセンスで IEAK を使用して Internet Explorer をブランド化し、ISP ユーザーの接続をセットアップしています。 Windows XP SP2 で、IEAK 6 SP1 パッケージの設定を適用できますか。

ISP のライセンスによる IEAK 6 SP1 パッケージでのブランド化設定は正しく適用してください。

この変更が重要な理由と軽減される脅威

新しい Internet Explorer 機能コントロール ポリシーをグループ ポリシーに追加すると、管理者は、真のポリシーが構成するすべてのコンピュータに対して標準のセキュリティ設定を確立するためのこれらのポリシーを管理することができます。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

Windows XP Service Pack 2 では、グループ ポリシーに新しいポリシーが追加されますが、ポリシーの管理方法は変わりません。機能コントロールのそれぞれの設定によりアプリケーションのセキュリティ関連の動作がどのような影響を受けるかを、開発者は認識している必要があります。アプリケーション開発に対する新しい動作の影響は、このドキュメントの各機能のセクションで個々に説明します。

グループ ポリシーにおける Internet Explorer の UrlAction セキュリティ設定

グループ ポリシーにおける Internet Explorer の UrlAction 設定の機能

Windows XP Service Pack 2 では、Internet Explorer の [セキュリティ] タブの設定で構成できるアクション用の真のポリシーが用意されています。このようなアクションは、セキュリティ ゾーン内ではセキュリティの低い動作を許可するように設定できます。Windows XP Service Pack 1 では、Internet Explorer のユーザー インターフェイスを使用して、このようなアクションを変更することができ、設定ハイブでレジストリ設定を書き込んでいました。管理者は、このようなアクションに対する標準設定を IEM/IEAK スナップインを使用してグループ ポリシーに配布できました。このリリースでは、このようなセキュリティ設定はグループ ポリシー管理コンソールで管理され、グループ ポリシー オブジェクト (GPO) または管理者のみが変更できます (そのように設定されている場合)。

更新された Inetres.adm ファイルには、Internet Explorer ユーザー インターフェイスで設定として検出されるポリシーと同じ urlAction 設定の一覧が含まれています。管理者はグループ ポリシー オブジェクト (GPO) を使用して、新しい機能コントロール ポリシーを管理することができます。Internet Explorer をインストールする際には、以前のバージョンと同様に、これらの urlAction に関する既定の HKEY_CURRENT_USER 設定がコンピュータに登録されます。管理者は、グループ ポリシー管理コンソール (GPMC) スナップインを使用して urlAction をポリシーとして追加する必要があります。

この機能の対象ユーザー

グループ ポリシー管理者は、自分が管理するコンピュータおよびユーザーに対する新しい Internet Explorer の urlAction ポリシー設定の構成を統一することができます。管理者がグループ ポリシーの設定対象をすべての urlAction ではなく特定の urlAction にしている場合は、このアクションをユーザー設定で変更できないので、どのアクションがポリシーで制御されるのかをエンド ユーザーに通知することが重要です。

注   コントロール パネルの [インターネット オプション] を開くとポリシー設定が表示されるので、ユーザーはユーザー インターフェイスを使用してこれらの設定を変更できるように見えます。ただし、実際にはこれらの設定はグループ ポリシー設定を上書きせず、ユーザーの操作性が予期したとおりにならない場合があります。管理者は [セキュリティ] ページのユーザー インターフェイスを無効にするポリシーを設定して、ユーザーがこれらの設定を変更できないことを明示することもできます。

Windows XP Service Pack 2 で変更された既存機能

グループ ポリシーに関する Internet Explorer のセキュリティ設定

詳細説明

次の定義は、Windows XP Service Pack 2 の Internet Explorer 設定に適用されます。

• セキュリティ ゾーン : インターネット、イントラネット、およびローカル コンピュータです。ロックダウンされたローカル コンピュータ ゾーン、信頼済みサイト、制限付きサイトなど、特別なゾーン設定もあります。

• テンプレート : セキュリティ ゾーン内のすべての urlAction に対する標準設定です。テンプレートはどのゾーンにも適用でき、ゾーンのセキュリティ設定には [低]、[中低]、[中]、および [高] を指定できます。

• urlAction : レジストリ内のセキュリティ設定であり、URL が存在するセキュリティ ゾーン内の機能に対して行うアクションを識別します。urlAction の設定には、[有効にする]、[無効にする]、[ダイアログを表示する] などがあります。

• urlAction ポリシー : urlAction ポリシーは、目的の urlAction ポリシーを有効にし、ポリシー レジストリ キー値の設定を選択することで、個別に追加することができます。ゾーン テンプレートでも設定可能です。

Internet Explorer は、次の順序でポリシーを探します。

• HKEY_LOCAL_MACHINE ポリシー ハイブ

• HKEY_CURRENT_USER ポリシー ハイブ

• HKEY_CURRENT_USER 設定ハイブ

• HKEY_LOCAL_MACHINE 設定ハイブ

Internet Explorer は、HKEY_LOCAL_MACHINE 内にポリシーを見つけると、検索を停止し、この設定を使用します。HKEY_LOCAL_MACHINE 内にポリシーがない場合には、HKEY_CURRENT_USER ポリシー内を探し、さらに検索を続行します。管理者は、1 つ以上のゾーンで 1 つ以上の urlAction にポリシーを設定でき、ポリシー レベルのセキュリティ管理を必要としない urlAction の設定をエンド ユーザーに許可することができます。

urlAction 用のポリシー設定値

新しい urlAction ポリシーの設定値は、関連する設定キーと同じ数値になります。これらの urlAction の参照情報を次の表に示します。

URLaction フラグの使用の詳細については、MSDN Web サイト (http://go.microsoft.com/fwlink/?LinkId=32776) の URL アクション フラグについてのページを参照してください。

各 urlAction に使用できる設定オプションの参照情報を次の表に示します。

URL ポリシー設定の数値変換

各 URL ポリシー設定については、MSDN Web サイト (http://go.microsoft.com/fwlink/?LinkId=32777) の URL アクション フラグについてのページを参照してください。

ゾーンとテンプレートにおける各 urlAction の既定の設定

各 urlAction には各ゾーンで設定される既定と、特定のテンプレートが適用された場合に設定される既定とがあります。各ゾーンの既定の設定を次の表に示します。

すべてのセキュリティ テンプレート (低、中低、中、および高) において、LMZL でのテンプレートの設定は、前の表に示した設定を除き、LMZ の設定と一致します。

グループ ポリシー設定パス

• グループ ポリシー管理コンソール :

  • urlAction 用セキュリティ ゾーンにおける HKEY_LOCAL_MACHINE ポリシー :

    ¥コンピュータの構成¥管理用テンプレート¥Windows コンポーネント
    ¥Internet Explorer¥インターネット コントロール パネル¥セキュリティ ページ

  • urlAction 用セキュリティ ゾーンにおける HKEY_CURRENT_USER ポリシー :

    ¥ユーザーの構成¥管理用テンプレート¥Windows コンポーネント
    ¥Internet Explorer¥インターネット コントロール パネル¥セキュリティ ページ

• (HKEY_LOCAL_MACHINE または HKEY_CURRENT_USER のどちらかの) レジストリ :

  • ローカル コンピュータ ゾーン ポリシー値の場所 :

    Software¥Policies¥Microsoft¥Windows
    ¥CurrentVersion¥Internet Settings¥Zones¥0

  • ローカル コンピュータ ゾーン ロックダウン ポリシー値の場所 :

    Software¥Policies¥Microsoft¥Windows
    ¥CurrentVersion¥Internet Settings¥Lockdown-Zones¥0

  • イントラネット ゾーン ポリシー値の場所 :

    Software¥Policies¥Microsoft¥Windows
    ¥CurrentVersion¥Internet Settings¥Zones¥1

  • 信頼済みサイト ポリシーの場所 :

    Software¥Policies¥Microsoft¥Windows
    ¥CurrentVersion¥Internet Settings¥Zones¥2

  • インターネット ゾーン ポリシー値の場所 :

    Software¥Policies¥Microsoft¥Windows
    ¥CurrentVersion¥Internet Settings¥Zones¥3

  • 制限付きサイト ポリシー値の場所 :

    Software¥Policies¥Microsoft¥Windows
    ¥CurrentVersion¥Internet Settings¥Zones¥4

ポリシーと設定の構成

企業のネットワーク上のクライアント コンピュータの Internet Explorer を管理する場合、グループ ポリシーを使用することをお勧めします。Internet Explorer では、Windows XP Service Pack 2 の Internet Explorer の新しい機能コントロールすべてや、セキュリティ ページ設定または urlAction に対するグループ ポリシーの管理がサポートされています。グループ ポリシー管理者は、グループ ポリシー管理コンソールの拡張機能である管理テンプレートを使用して、これらの新しいポリシー設定を管理することができます。

ポリシー設定を実装する場合は、あるグループ ポリシー オブジェクト (GPO) のテンプレート ポリシー設定を構成し、別の GPO の関連する各ポリシー設定を構成することをお勧めします。次に、優先順位、継承、強制などのグループ ポリシーの管理機能を使用して、特定のクライアント コンピュータに固有の設定を適用します。

ユーザーはポリシーを参照できますが、グループ ポリシー管理または管理者のみがポリシーを変更することができます。設定は、プログラムを実行するか、レジストリを編集するか、urlAction の場合は Internet Explorer を使用して変更することができます。グループ ポリシーによる設定は、ユーザー設定よりも優先されます。

IEAK/IEM

Windows XP SP2 以前のオペレーティング システムと以前のバージョンの Internet Explorer でも、エンド ユーザー向けに Internet Explorer をカスタマイズするソリューション プロバイダやアプリケーション開発者は、Internet Explorer Administration Kit (IEAK) 6 Service Pack 1 を使用することをお勧めします。IEAK サポートと IEAK/IEM プロセスは、Windows XP Service Pack 2 以前のバージョンの Internet Explorer でも変わりません。また、Windows XP Service Pack 2 を含め、IEAK/IEM を使用してユーザー設定を行うプロセスも変わりません。XPSP2 の IE6 の設定も同様です。ただし、この機能が提供する真のポリシー設定を管理できるのは、グループ ポリシーのみです。詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=26002) の Microsoft Internet Explorer 6 Administration Kit Service Pack 1 についてのページを参照してください。

Windows XP SP 2 での IEAK/IEM に対する主な変更は、次の 2 つです。

• IE へのアップグレードは、Windows の Service Pack や Windows の正式リリースでのみ使用できます。

• Windows XP SP2 では、IE バイナリを IEAK パッケージで再配布することはできません。IEAK 6 SP1 から生成されるカスタマイズされたパッケージにより、Windows XP SP2 上で実行されている Internet Explorer に設定が透過的に適用されます。ただし、バイナリがインストールされることはありません。

つまり、IEAK は Windows XP Service Pack 2 以前のすべてのバージョンの Internet Explorer と同じように使用することができ、Windows XP Service Pack 2 でもブランド化に使用することができます。IEM/IEAK は、Windows XP Service Pack 2 でもユーザー設定に使用でき、GPMC を使用して真のポリシーを設定できます。

この変更が重要な理由と軽減される脅威

新しい Internet Explorer の urlAction セキュリティ設定ポリシーをグループ ポリシーに追加すると、構成するすべてのコンピュータに関する標準的なセキュリティの設定を確立するために、管理者はそれらの真のポリシーを管理することができます。これらの設定は管理者が制御しているため、設定変更はグループ ポリシーを通じて行うか、または管理者権限を持つユーザーからしか行うことができず、urlAction 設定がエンド ユーザーによって設定されたり、機能コントロール ポリシーまたは設定がエンド ユーザーによって上書きされることはありません。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

Windows XP Service Pack 2 では、グループ ポリシーに新しいポリシーが追加されますが、ポリシーの管理方法は変わりません。開発者は、各機能コントロールと urlAction 設定または設定の組み合わせが、各セキュリティ ゾーン内のアプリケーションのセキュリティ関連動作にどのような影響を与えるのかを認識する必要があります。

セキュリティを強化するために、管理者はすべてのゾーンに対してポリシーを有効にすることをお勧めします。これにより、ポリシーによって設定されていない HKEY_LOCAL_MACHINE または HKEY_CURRENT_USER の設定から読み取られた不明な設定はなくなり、ポリシーにより設定された既知の設定だけが存在することになります。管理者がすべてのゾーンにポリシーを設定する場合は、[セキュリティ] ページを無効にするポリシーを有効にし、Internet Explorer 内のユーザー インターフェイスを使用できなくすることをお勧めします。

機能コントロール ポリシー

管理者は機能コントロール ポリシー設定についても理解する必要があります。urlAction 設定の中には、対応する機能コントロール ポリシーが有効でないと、有効にならないものがあります。Internet Explorer は、この機能が有効かどうかを調べ、有効である場合は URL のセキュリティ ゾーンに基づいたアクションの設定を検索します。

ゾーン マップ ポリシー

ポリシーにゾーン マップキーを追加する方法は、現時点で次のようになっています。

• Internet Explorer のユーザー インターフェイスを使用して、レジストリに信頼済みサイトと制限付きサイトを追加します。

• ハイブ HKEY_CURRENT_USER¥Software¥Microsoft
  ¥Windows
  ¥CurrentVersion¥Internet Settings¥ZoneMap を .reg ファイルにエクスポートします。

• このファイルを編集し、パス名に「Policies」を挿入します。

• 管理者権限を使用して、.reg ファイルを読み込みます。

たとえば、エクスポート ファイルが作成されると、パス名は次のようになります。

HKEY_Local_Machine¥Software¥Microsoft
¥Windows¥
CurrentVersion¥Internet Settings¥ZoneMap

.reg キーを policies ハイブに読み込むためには、次のようにパスに「policies」を追加し、管理者がレジストリに読み込みます。

HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap

エクスポートされた .reg ファイルの例を次に示します。policies ハイブに読み込まれる構造になっています。

Windows Registry Editor Version 5.00
 
[HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap] 
@="" 
"ProxyByPass"=dword:00000001
"IntranetName"=dword:00000001
"UNCAsIntranet"=dword:00000001
 
[HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap¥Domains] 
@="" 
 
[HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap¥Domains¥microsoft.com] 
 
[HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap¥Domains¥microsoft.com¥msdn] 
"http"=dword:00000002
 
[HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap¥ProtocolDefaults] 
@="" 
"http"=dword:00000003
"https"=dword:00000003
"ftp"=dword:00000003
"file"=dword:00000003
"@ivt"=dword:00000001
 
[HKEY_CURRENT_USER¥Software¥Policies¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥ZoneMap¥Ranges] 
@=""

注   グループ ポリシーの詳細については、Microsoft の Web サイト (http://go.microsoft.com/fwlink/?LinkId=28188) のレジストリベースのグループ ポリシーの実装についてのページを参照してください。

Internet Explorer のセキュリティ ゾーンとプライバシー設定の詳細については、Microsoft サポート技術情報の Web サイト (http://go.microsoft.com/fwlink/?LinkId=28195) の Internet Explorer のセキュリティ ゾーンのレジストリ エントリについてのページを参照してください。

Internet Explorer のローカル コンピュータ ゾーンのロックダウン

ローカル コンピュータ ゾーンのロックダウンの機能

Internet Explorer で Web ページを開く場合は、ページの Internet Explorer セキュリティ ゾーンに基づいて、ページ内の機能に制限が課されます。複数のセキュリティ ゾーンがあり、それぞれの制限は異なります。ページのセキュリティ ゾーンは、ページの場所によって決まります。たとえば、通常は、インターネット上のページは制限の厳しいインターネット セキュリティ ゾーンに入れられます。それらは、ローカル ハード ドライブへのアクセスなど、一部の操作を実行できません。企業のネットワーク上のページは、通常はイントラネット セキュリティ ゾーンに入れられます。この場合の制限は緩くなります。[ツール] メニューの [インターネット オプション] では、これらのさまざまなゾーンに関連付けられる制限を細かく構成することができます。

Windows XP Service Pack 2 以前では、Internet Explorer によってキャッシュされたものを除き、ローカル ファイル システム上のコンテンツは安全であると見なされ、ローカル コンピュータ セキュリティ ゾーンに入れられていました。このセキュリティ ゾーンでは、Internet Explorer でコンテンツを実行する際の制限が比較的少なくなります。ただし、攻撃者がローカル コンピュータ ゾーンを利用してシステム特権を取得し、コンピュータを危険にさらす可能性が高くなります。

Windows XP SP2 での Internet Explorer に対するその他の変更により、ローカル コンピュータ ゾーンに対するさまざまな悪用が軽減されます。ただし、攻撃者は引き続きローカル コンピュータ ゾーンを悪用する方法を発見する可能性があります。Windows XP SP2 では、Internet Explorer においてローカル コンピュータ ゾーンを既定でロックダウンすることにより、ユーザーの保護がさらに強化されます。その他のアプリケーションでホスティングされるローカル HTML は、そのアプリケーションでローカル コンピュータ ゾーンのロックダウンが適用されなければ、より制限の少ない以前の既定のローカル コンピュータ ゾーンの設定で実行されます。

管理者は、グループ ポリシーを使用してローカル コンピュータ ゾーンのロックダウンを管理して、コンピュータのグループにローカル コンピュータ ゾーンのロックダウンを容易に適用することができます。

この機能の対象ユーザー

すべてのアプリケーション開発者は、この機能について確認してください。Internet Explorer でローカル HTML ファイルをホスティングするアプリケーションは、影響を受けやすくなります。Internet Explorer をホスティングするスタンドアロン アプリケーションの開発者は、ローカル コンピュータ ゾーンのロックダウンを使用するようにアプリケーションを修正できます。

既定では、ローカル コンピュータ ゾーンのロックダウンは Internet Explorer に対してのみ有効です。変更を利用するには、開発者はアプリケーションを登録する必要があります。この軽減機能を適用していないアプリケーションでは、ローカル コンピュータ ゾーンの攻撃先となる可能性があるかどうかを個別に確認してください。

Internet Explorer をホスティングするアプリケーションのソフトウェア開発者は、このドキュメントで後述するように、レジストリにプロセス名を追加して、この機能を使用する必要があります。今後、Microsoft は "オプトイン ポリシー" ではなく "オプトアウト ポリシー" を使用してこの機能を実装する予定です。Internet Explorer をホスティングするアプリケーションに対しては、ローカル コンピュータ ゾーンのロックダウンを有効にしてもプロセスが正しく動作するかどうかをテストしてください。

ネットワーク管理者が作成したローカル スクリプトがこれらの制限の影響を受けることがあります。管理者は、ユーザーのクライアント コンピュータのセキュリティを低下させずにローカル スクリプトを有効にするソリューションを確認してください。

インターネット ゾーンまたはローカル イントラネット ゾーンでホスティングされる Web サイトの開発者は、ローカル コンピュータ ゾーンに加えられた変更により影響を受けないようにしてください。

ユーザーは、このように厳しさが増した制限に合わないアプリケーションから影響を受ける可能性があります。

Windows XP Service Pack 2 で変更された既存機能

ローカル コンピュータ ゾーンのセキュリティ設定の変更

詳細説明

Windows XP Service Pack 2 では、ローカル コンピュータ ゾーンのロックダウンに対する制限はインターネット ゾーンよりも厳しくなります。コンテンツがそれらのいずれかのアクションを実行しようとすると、Internet Explorer の情報バーに次のテキストが表示されます。

[セキュリティ保護のため、コンピュータにアクセスできるアクティブ コンテンツは表示されないよう、Web ブラウザで制限されています。オプションを表示するには、ここをクリックしてください]

ユーザーは情報バーをクリックして、制限されているコンテンツのロックダウンを解除することができます。

ローカル コンピュータ ゾーンで実行しているコンテンツに付与される特権を制御するセキュリティ設定を、URL アクションと呼びます。あるプロセスにローカル コンピュータ ゾーンのロックダウンが適用されると、URL アクションの動作は、以前のローカル コンピュータ ゾーンの設定である [許可する] から [許可しない] に変更されます。したがって、スクリプトおよび ActiveX コントロールは実行できなくなります。変更された既定の URL アクションは、次のとおりです。

• URLACTION_RUN_SCRIPT

• URLACTION_DOWNLOAD_UNSIGNED_ACTIVEX

• URLACTION_ACTIVEX_RUN

• URLACTION_ACTIVEX_OVERRIDE_OBJECT_SAFETY

• URLACTION_CLIENT_CERT_PROMPT

• URLACTION_BEHAVIOR_RUN

• URLACTION_JAVA_PERMISSIONS

ローカル コンピュータ ゾーンのロックダウンでは、次のようにこれらの設定は別のレジストリ キーに格納されています。

HKEY_CURRENT_USER¥Software¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥Lockdown_Zones¥0

ローカル コンピュータ ゾーンの既定の URL アクションの設定は、次の場所にあります。

HKEY_CURRENT_USER¥Software¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥Zones¥0

この変更が重要な理由と軽減される脅威

この変更は、ユーザーのコンピュータでコンテンツにシステム特権が設定されないようにするために役立ちます。このようなシステム特権を持つコードは、ActiveX コントロールを介して任意のコードを実行したり、スクリプトによって情報を読み取ったりできます。

動作の相違点と依存関係の存在

前に述べたように、Web ページにおいて制限されている種類のコンテンツが使用されると、Internet Explorer に情報バーが表示されます。

ローカル コンピュータで res: プロトコルでホスティングされる HTML ファイルは、自動的にインターネット ゾーンのセキュリティ設定で実行されます。これらのテンプレートで許可される内容の詳細については、MSDN Web サイト (http://go.microsoft.com/fwlink/?LinkId=26003) の URL セキュリティ ゾーンの概要についてのページを参照してください。

これらの問題の解決法

次のメッセージが表示されたときに [はい] をクリックすると、CD から起動される Web ページを常に実行するように ActiveX とスクリプトを許可することができます。

[アクティブ コンテンツは、コンピュータに問題を引き起こしたり、個人情報を公開したりすることがあります。コンピュータで CD がアクティブ コンテンツを実行することを許可しますか?]

Web ページで ActiveX またはスクリプトを実行する必要がある場合は、HTML コードに Web コメントのマークを付けることができます。この Internet Explorer の機能を使用すると、ローカル コンピュータ ゾーン以外のゾーンに HTML ファイルを強制的に配置することができ、コメントで指定された URL に適用されるセキュリティ テンプレートに基づいて、それらのファイルでスクリプトまたは ActiveX コードを実行できるようになります。たとえば、指定された URL が www.contoso.com である場合は、この URL が信頼済みサイトの一覧に表示され、そのページでは信頼済みサイト ゾーン用のセキュリティ テンプレートが使用されます。この設定は Internet Explorer 4 以降で機能します。HTML ファイルに Web コメントのマークを挿入するには、次のいずれかのコメントを使用します。

<!-- url=(0022)http://www.<ユーザーの URL>.com から保存 -->

このコメントを使用するのは、http://www.<ユーザーの URL>.com を、ページをホスティングするインターネットまたはイントラネットのドメインの URL で置き換えて識別されるドメインに属するページに、Web のマークを挿入する場合です。URL の前には、Web のマークに使用する URL の長さをかっこで囲んで指定します。たとえば、(0022) のように指定します。

Web ページを常にインターネット ゾーンの一部として処理する場合は、次の Web のマークを使用することができます。

<!-- url=(0013)about:internet から保存 -->

このコメントを使用するのは、Web のマークを一般的に挿入する場合です。about:internet は、インターネット ゾーンのページで置き換えられます。

Windows XP SP2 における Internet Explorer の変更の一環として、マルチパート HTML と呼ばれる .mht ファイルまたは .xml ファイルでも、この HTML コメントを使用することができます。以前のバージョンの Internet Explorer は、.mht ファイルまたは .xml ファイルの Web のマークをサポートしません。

別のオプションとして、Internet Explorer Web Object Control (WebOC) で HTML コンテンツをホスティングする別のアプリケーションを作成することができます。この HTML は、Internet Explorer で実行されるコンテンツに適用される規則に影響されません。HTML コンテンツが他のプロセスで動作する場合は、開発者が定義したすべての権限またはそのプロセス用のゾーン ポリシーを使用することができます。

これを行う簡単な方法は、コンテンツを .hta (HTML アプリケーション) ファイルとして保存して、そのファイルをローカル コンピュータ ゾーンで再び実行することです。.hta ファイルは別のプロセスでホスティングされるので、この軽減機能の影響を受けません。ただし、.hta ファイルはすべての特権が指定されて実行されます。したがって、このように実行してもよいと信頼できないコードに対しては許可しないでください。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

開発者は開発したアプリケーションのテストを行い、セキュリティ レベルを高めるためにロックダウンを有効にする必要があります。スタンドアロン アプリケーションの開発者は、Internet Explorer をホスティングするアプリケーションでこれらの変更を適用する計画を立ててください。

以前にローカル コンピュータ ゾーンでシステム特権を許可した ActiveX コントロールの開発者は、別のゾーンでシステム特権を許可するようにそのコントロールを変更しないでください。その代わり、これらのコントロールを HTML アプリケーション (.hta ファイル)、またはローカル コンピュータ ゾーンのロックダウン外で実行されるスタンドアロン アプリケーションからしか実行できないように変換してください。

既定では、ローカル コンピュータ ゾーンのロックダウンは、Internet Explorer 以外のプロセスでは有効になっていません。変更を利用するには、開発者はアプリケーションを明示的に登録する必要があります。この軽減機能を使用しないアプリケーション開発者は、アプリケーションがローカル コンピュータ ゾーンの攻撃先となる可能性があるかどうかを個別に確認してください。アプリケーションでローカル コンピュータ ゾーンのロックダウンを有効にするには、次のレジストリ キーに移動します。

HKEY_LOCAL_MACHINE¥SOFTWARE¥Microsoft
¥Internet Explorer¥Main¥FeatureControl
¥FEATURE_LocalMachine_Lockdown

自分のアプリケーション (たとえば、MyApplication.exe) 用に名前を付けたこのキーに REG_DWORD の値を追加し、値を 1 に設定します。これに別の値を設定すると、アプリケーションのローカル コンピュータ ゾーンのロックダウンは無効になります。

Internet Explorer の MIME 処理強制

MIME 処理強制の機能

Internet Explorer では、Multipurpose Internet Mail Extensions (MIME) の種類の情報を使用して、Web サーバーが送信したファイルの処理方法が決定されます。たとえば、.jpg ファイルの HTTP (ハイパーテキスト転送プロトコル) 要求がある場合は、そのファイルの受信時に、通常は Internet Explorer ウィンドウにそのファイルが表示されます。Internet Explorer では、実行可能ファイルを受信すると、通常はこのファイルの処理方法の決定を求めるメッセージが表示されます。

Windows XP Service Pack 2 の Internet Explorer では、ユーザーが MIME やファイル名拡張子を誤認して問題のあるファイルを誤ってダウンロードしたり実行したりしないように、制限の厳しい規則が適用されます。

この機能の対象ユーザー

Web 開発者は、これらの新しい制限を把握し、Web サイトへの影響に対して変更や回避を計画してください。

アプリケーション開発者は、この機能を確認し、アプリケーションに変更を適用する計画を立てることをお勧めします。この機能は、Internet Explorer 以外のプロセスでは既定で有効にならないので、これらの変更を有効にするには、開発者がアプリケーションを登録する必要があります。

エンド ユーザーは、これらのより制限の厳しい規則に従わないサイトやアプリケーションの影響を受けます。

Windows XP Service Pack 2 でこの機能に追加された新機能

MIME 処理ファイルの種類の一致強制

詳細説明

ファイルがクライアントに提供されると、Internet Explorer は次の情報を利用して、ファイルの処理方法を決定します。

• ファイル名拡張子と、そのファイル名拡張子の登録ハンドラ用の対応する ProgID および CLSID

• HTTP ヘッダー (MIME の種類) からの Content-Type データと、そのコンテンツまたは MIME の種類の登録ハンドラ用の対応する ProgID および CLSID

• HTTP ヘッダーからの Content-Disposition データ

• MIME スニッフィングの結果

Windows XP Service Pack 2 の Internet Explorer では、問題を起こす可能性のあるダウンロード済みのファイルを実行する場合の制限が厳しくなっています。

Internet Explorer は、ブラウザにおけるファイルの処理方法と、Windows シェルにおけるファイルの処理方法の間の整合性を実現します。ファイルがキャッシュにダウンロードされると、Internet Explorer はキャッシュ ファイルの MIME の種類をその拡張子と比較します。MIME の種類とファイル名拡張子が一致しない場合、Internet Explorer はキャッシュ内のファイルの名前を変更して不一致を解消しようとします。

ファイルが MIME ハンドラに読み込まれたり、拡張子ハンドラで実行されたりする前に、Internet Explorer は MIME ハンドラと拡張子ハンドラの CLSID を比較します。この 2 つのハンドラに不一致がある場合は、Internet Explorer で、MIME ハンドラにファイルを読み込むことを確認するメッセージが強制的に表示されます。MIME ハンドラが不一致が生じたファイルを拒否する場合は、Internet Explorer でダウンロード エラーのダイアログ ボックスが表示され、Windows シェル拡張子ハンドラでファイルは自動的に実行されません。

シェル拡張子ハンドラ内で破損した可能性のあるファイルを実行しないようにするための、関連するが独立した変更があります。Internet Explorer では、エラー コード E_Cannot_Load_Data で MIME ハンドラに拒否されるファイルに対してダウンロード エラーのダイアログ ボックスが表示され、MIME の種類やファイル名拡張子に関係なく、そのファイルはシェル拡張子ハンドラで実行されません。

"content-disposition=attachment" HTTP ヘッダーがファイルに使用されている場合は、これらの変更は関係ありません。この場合は、サーバーが提示するファイル名または拡張子は最終と見なされ、ユーザーがファイルのダウンロードを許可すると、MIME と拡張子の不一致に関係なくファイルが実行されます。

この変更が重要な理由と軽減される脅威

ファイルの種類の情報がサーバーから誤って報告され、その情報がコンピュータに保存された場合は、後で問題を起こすファイルが誤って実行されてしまう可能性があります。たとえば、Internet Explorer で、テキスト ファイルのようなファイルをダウンロードしたとします。ファイルが MIME ハンドラに読み込まれず、ファイル名拡張子が .doc である場合は、その .doc ファイルが、ユーザーの許可なしに Microsoft Word などのアプリケーションで実行される可能性があります。そのファイルは、Microsoft Word でマクロなどのアクティブ コンテンツを使用して、ユーザーのコンピュータにウイルスなどのプログラムを実行する可能性があります。

動作の相違点と依存関係の存在

Internet Explorer は、Internet Explorer キャッシュ内にダウンロードしたファイルの名前を変更して、ユーザーが種類を誤認しないように、コンテンツの種類と拡張子を一致させようとします。

Internet Explorer では、ファイルのダウンロードをユーザーに促し、登録した MIME ハンドラが拒否した、MIME と拡張子が一致しないファイルを実行しません。

また Internet Explorer では、MIME ハンドラが E_Cannot_Load_Data エラー コードを報告した場合、ファイルはシェル ハンドラ内では実行されません。

Web 開発者は、このドキュメントで後述する、設定についてのセクションのとおりに設定を行い、機能を無効にして、この動作による非稼働アプリケーションを切り分けることができます。

これらの問題の解決法

Web 開発者は、一貫した content-type ヘッダーとファイル名拡張子を使用し、ファイルをホスティングする Web サーバーを変更する必要があります。これを実行できない場合、Web 開発者は "Content-disposition=attachment:" HTTP ヘッダーを使用して、ファイルを MIME ハンドラではなく拡張子ハンドラに直接送信することができます。"Content-disposition=attachment" ヘッダーを使用したファイルのダウンロードでは、ファイルを開いたり保存したりする確認を求められないことに注意してください。

MIME ハンドラを開発し、そのハンドラが拒否したファイルを Internet Explorer で実行するように設定している場合は、この変更に合わせて MIME ハンドラを変更する必要があります。ファイルを拒否するのではなく MIME ハンドラでファイルを直接ネイティブに処理すると、セキュリティが最も強力な変更になります。

ダウンロードしたファイルをネイティブに処理するように MIME ハンドラの動作を変更できない場合があります。この場合は、次のようなオプションがあります。

• 同じ CLSID の MIME ハンドラとファイル名拡張子ハンドラを開発するよう選択できます。Internet Explorer は CLSID の一致を受け入れ、ユーザーにファイルのダウンロードの確認を求めたり、拡張子ハンドラでのファイル実行をブロックしたりしません。

• MIME ハンドラを読み込む必要がなく、MIME と拡張子が一致しないためにエラーが発生する場合、開発者は MIME ハンドラにマークを付け、MIME と拡張子が一致しない場合は Internet Explorer で無視されるようにすることができます。たとえば、特定のメディアの MIME の種類用の MIME ハンドラで拡張子が一致せず、正常に再生するにはその MIME ハンドラを直接実行する必要がある場合、開発者はその MIME ハンドラの ProgID にマークを付け、メディアのファイル名拡張子が異なる ProgID に属するために不一致が発生する場合はその MIME ハンドラが無視されるように設定することができます。これを行うには、開発者は無視する MIME ハンドラのレジストリに次の値を設定します。

  HKEY_CLASSES_ROOT¥PROG_ID_OF_MIMEHANDLER_TO_IGNORE¥
  
  "PreferExecuteOnMismatch"=DWORD:00000001

  どちらのソリューションも実行できない場合は、開発者は互換性がないことと、不一致が発生したファイルをファイル システムに保存して手動で起動する方法をユーザーに通知する必要があります。

  MIME と拡張子の不一致を解決できないために不要なファイルのダウンロード プロンプトが煩わしい場合は、MIME ハンドラの ProgID を登録して、新しく不一致が発生した場合を含めてすべてのダウンロード プロンプトを回避することができます。

  これを行う前に、MIME ハンドラで、そのハンドラに指定されたファイルを問題なく処理できることを確認する必要があります。たとえば、ハンドラが送信元ファイルのゾーンが許可するよりも高い特権を攻撃者に付与しないことを確認してください。これを行うには、脅威モデリング、安全な障害モード用のコードの確認、およびバッファ オーバーランを実行してください。MIME ハンドラが指定されたファイルを問題なく処理できることを確認したら、次のいずれかのレジストリ設定に新しいキーを追加して、ダウンロード プロンプトを軽減するようにハンドラを登録できます。

  HKEY_LOCAL_MACHINE¥Software¥Microsoft
  ¥Windows¥
  CurrentVersion¥InternetSettings¥Secure_Mime_Handlers

  HKEY_CURRENT_USER¥Software¥Microsoft
  ¥Windows¥
  CurrentVersion¥InternetSettings¥Secure_Mime_Handlers

  キー名は MIME ハンドラの ProgID にし、キーに DWORD=00000001 を設定してください。

MIME スニッフィングのファイルの種類の昇格

詳細説明

ファイルの種類を決定するバックアップ条件の 1 つは、MIME スニッフィングの結果です。ファイルを調べる (スニッフィングする) ことで、Internet Explorer は特定の種類のファイルのビット署名を認識します。Windows XP Service Pack 2 では、制限付きサイト ゾーンで、Internet Explorer の MIME スニッフィングによって、text¥plain の種類のファイルが問題を起こすファイルの種類に変更されることはありません。たとえば、プレーン テキストとして受信したファイルに HTML コードが含まれている場合は、アクティブ コンテンツが含まれる可能性があるので、HTML の種類には変更されません。

この変更が重要な理由と軽減される脅威

この変更により、よく使用する Web サーバーで content-type=text¥plain のファイルが提供されて攻撃者が HTML をロードしてアクティブ コンテンツをそのファイルに組み込んだ場合に、そのサーバーから送信された悪意のあるコンテンツに対する保護が強化されます。

動作の相違点と依存関係の存在

ファイルに正しい Content-Type ヘッダーがなく、HTML ページに非標準のファイル名拡張子を使用する Web サーバーでは、ページが HTML ではなくプレーン テキストとして表示される場合があります。

これらの問題の解決法

正しい Content-Type ヘッダーを使用するように Web サーバーを構成し、ファイルを処理するアプリケーションに対応する適切なファイル名拡張子をファイル名に指定します。

Windows XP Service Pack 2 で追加または変更された設定

ゾーンごとの MIME スニッフィングの動作

MIME スニッフィングの新しい制限は、[拡張子ではなく、内容によってファイルを開くこと] のセキュリティ設定で制御します。この設定は、各セキュリティ ゾーンで有効または無効にすることができます。次の表は、各セキュリティ ゾーンの既定の設定の参照情報を示しています。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

適切な Content-Type ヘッダーを使用するように Web サーバーを構成する必要があります。また、ファイル処理アプリケーション用に、適切なファイル名拡張子を持つファイル名を付けることもできます。

Internet Explorer のオブジェクト キャッシュ

オブジェクト キャッシュの機能

以前のバージョンの Windows の Internet Explorer では、一部の Web ページで、別の Web サイトからキャッシュしたオブジェクトにアクセスすることができました。Windows XP Service Pack 2 では、ユーザーが新しいドメインに移動すると、オブジェクトへの参照にはアクセスできなくなります。

この機能の対象ユーザー

Web 開発者は、この機能を確認し、Web サイトの変更を行う計画を立ててください。

アプリケーション開発者は、この機能を確認し、アプリケーションの変更を行う計画を立ててください。

Windows XP Service Pack 2 でこの機能に追加された新機能

ありません。既存の機能が拡張されています。

Windows XP Service Pack 2 で変更された既存機能

異なるドメインへの移動によって無効になるセキュリティ コンテキスト

詳細説明

Windows XP Service Pack 2 では、スクリプト可能なオブジェクトすべてに新しいセキュリティ コンテキストがあり、ActiveX コントロールを除くキャッシュされたオブジェクトへのアクセスがブロックされます。ドメイン間での移動の際にアクセスをブロックするだけでなく、同一ドメイン内で移動する場合にもアクセスをブロックします。このコンテキストでは、ドメインは完全修飾ドメイン名 (FQDN) として定義されます。移動によってコンテキストが変更されると、あるオブジェクトへの参照は、アクセス不可能となります。

この変更が重要な理由と軽減される脅威

Internet Explorer 5.5 以前では、サブフレームを含む HTML ページ上を移動すると、Microsoft の HTML 解析および表示エンジンである MSHTML のインスタンスが削除されました。Internet Explorer 5.5 のネイティブ フレーム アーキテクチャを使用すると、移動時に MSHTML のインスタンスは削除されません。これにより、移動してもオブジェクトがキャッシュできるようになり、新しいクラスの脆弱性が見られるようになりました。オブジェクトがキャッシュ可能で、別のドメインから Web ページのコンテンツへのアクセスをオブジェクトが提供する場合は、ドメインを越えたセキュリティ ホールが生まれます。

内部ドキュメントのプロパティを取得できる場合は、ページのドメインの外にあるスクリプトから内部ページのコンテンツにアクセスできます。これは Internet Explorer のドメインを越えたセキュリティ モデルに反します。

たとえば、この方法を使用して、別のフレームで入力したクレジット カード番号や重要なデータなど、別のフレームのイベントやコンテンツをリッスンするスクリプトを作成することができます。

動作の相違点と依存関係の存在

まだ対処していなかった一部のクラスに対して、キャッシュされたマークアップ用に 4 バイトが追加されます。速度への影響はほとんどないと思われます。

これらの問題の解決法

Internet Explorer 5 の場合には、このようなクラスの脆弱性に対してクラッシュを引き起こすため、問題の修正によりアプリケーション互換性リスクが発生する可能性は少ないものと思われます。その他のアプリケーションでは、それぞれの状況に応じて解決してください。

Windows XP Service Pack 2 で追加または変更された設定

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

アプリケーションでアクセス拒否エラーが発生した場合、オブジェクトを再度キャッシュしてから、スクリプトを使用してオブジェクトにアクセスする必要があります。次の例では、ドキュメント オブジェクトに designMode プロパティが設定されると、セキュリティ コンテキストは無効になります。

破損したスクリプトの例

var d = myFrame.document; 
    d.designMode = "On"; 
    d.open();  <-------------------------アクセス許可拒否エラーが発生

修正したスクリプトの例

var d = myFrame.document; 
    d.designMode = "On"; 
    d = myFrame.document;   // ドキュメント オブジェクトへのポインタを再確立 
    d.open();

Internet Explorer ポップアップ ブロック

ポップアップ ブロックの機能

ポップアップ ブロックは、ほとんどの不要なポップアップ ウィンドウをブロックします。エンド ユーザーがリンクをクリックしたときに表示されるポップアップ ウィンドウは、ブロックされません。

エンド ユーザーと IT 管理者は、特定のドメインに対してプログラムによるポップアップ ウィンドウを表示させることができます。開発者は、Internet Explorer をホスティングするアプリケーションに合わせて、Internet Explorer のポップアップ機能を使用したり拡張したりできます。

この機能の対象ユーザー

多くのエンド ユーザーにとっては、不要なポップアップ ウィンドウが自動的に表示されなくなるので、Web のブラウズの煩わしさが軽減されます。

Web 開発者にとっては、ポップアップ ブロックは、Web サイトで開くウィンドウの動作、たとえば、window.open() や showHelp() メソッドを使用した動作に影響を及ぼします。

アプリケーション開発者には、INewWindowManager という新しいユーザー インターフェイスが用意されています。

Internet Explorer の表示エンジンを使用して HTML を表示しているアプリケーションでは、ポップアップ ブロック機能を使用したり拡張したりできます。

Windows XP Service Pack 2 でこの機能に追加された新機能

ポップアップ ブロックは Internet Explorer の新機能で、次の 3 つのセクションに分けることができます。

• ユーザー エクスペリエンスの変更、既定の設定、および詳細オプション

• window.open や showHelp などの現在の API (アプリケーション プログラミング インターフェイス) の動作の変更

• アプリケーションで Internet Explorer のポップアップ技術を使用できる、新しい INewWindowManager インターフェイス

ポップアップ ブロック機能

詳細説明

既定の設定

ポップアップ ブロックは、既定で有効になっています。ポップアップ ブロックの設定に関係なく、ポップアップ ウィンドウのサイズと位置には制限があります。ポップアップ ウィンドウは、表示可能なデスクトップ領域よりも大きくすることができません。詳細については、このドキュメントの「Internet Explorer ウィンドウの制限」を参照してください。

この機能を有効にすると、ポップアップ ウィンドウが自動的にバックグラウンドで表示されないようにブロックされますが、ユーザーがクリックして開くウィンドウは通常どおり表示されます。信頼済みサイトやイントラネット ゾーンのサイトでは、安全と考えられるため、ポップアップ ウィンドウがブロックされることはありません。この機能は、[インターネット オプション] の [セキュリティ] タブで設定できます。

ポップアップ ブロックを有効にする

ポップアップ ブロックは、既定で有効になっています。[ツール] メニューの [ポップアップ ブロック] またはポップアップがブロックされたときに表示される情報バーで、この設定を変更することができます。

ポップアップ ウィンドウのブロック処理

サイトでポップアップ ウィンドウを開くときに Internet Explorer でブロックされる場合は、情報バーに通知が表示され、サウンドが再生されます。情報バーまたはステータス バーの通知をクリックすると、次のオプションのメニューが表示されます。

• [ポップアップを一時的に許可]。ページを再度読み込み、ポップアップ ウィンドウを許可します。

• [このサイトのポップアップを常に許可]。現在のサイトを許可の一覧に追加します。

• [設定]。ポップアップ ブロックの設定のメニュー項目を表示し、[ポップアップ ブロックの設定] ウィンドウにアクセスすることができます。

詳細オプション

Internet Explorer では、ポップアップ ブロック設定の詳細設定を提供します。

• [許可する Web サイトのアドレス]

  許可の一覧にサイトを追加することができます。許可の一覧にあるサイトでは、ポップアップ ウィンドウを開くことができます。

• [すべてのポップアップをブロックする]

  ポップアップ ブロックは、ユーザーがリンクをクリックした時にポップアップ ウィンドウを開くことを許可します。この設定では、リンクから開くウィンドウをブロックすることによって、動作を変更します。この機能を有効にした場合、ポップアップの起動時に Ctrl キーを押すと、ポップアップ ウィンドウを開くことができます。

• 上書きキー

  ポップアップが開くときに Ctrl キーを押すと、ポップアップ ウィンドウを許可することができます。

• サウンド設定

  [インターネット オプション] の [詳細設定] で、ポップアップがブロックされたときにポップアップ ブロックでサウンドを再生するかどうかを切り替えることができます。再生されるサウンドを変更することもできます。これを行うには、[スタート] ボタン、[コントロール パネル] の順にクリックし、[サウンドとオーディオ デバイス] アイコンをダブルクリックして、[ポップアップ ウィンドウのブロック] システム サウンドを指定します。

• ゾーン

  ユーザーはポップアップ ブロックのスコープを拡張し、[インターネット オプション] の [セキュリティ] タブにあるローカル イントラネット ゾーンまたは信頼済みサイト ゾーンを含めることができます。

ポップアップ ブロック有効時にポップアップ ウィンドウが表示される場合

次の場合にポップアップ ウィンドウが表示されます。

• ユーザーがクリックしたリンクによってポップアップが開かれた場合

• コンピュータ上で実行されているソフトウェアによってポップアップが開かれた場合

• インスタンス化される ActiveX コントロールによって、Web サイトからポップアップが開かれた場合

• 信頼済みサイトまたはイントラネット ゾーンからポップアップが開かれた場合

この変更が重要な理由と軽減される脅威

ポップアップは間違って使われることがよくあります。ポップアップをブロックすることで、ユーザーはブラウズのエクスペリエンスをさらに制御することができます。

INewWindowManager

詳細説明

既定では、ポップアップ ブロック機能は、WebBrowser コントロールまたは MSHTML をホスティングするアプリケーションに適用されません。このようなアプリケーションには、ポップアップ ブロックを使用または拡張する機能があるので、独自のポップアップ ブロックを使用するか、またはアプリケーションに対するポップアップ管理を INewWindowManager インターフェイスを通じて無効にします。

Windows XP Service Pack 2 で変更された既存機能

メソッド : window.open()、window.external.navigateAndFind()、showHelp()

詳細説明

インターネット ゾーンでは、ポップアップ ブロックは、ユーザーがリンクをクリックしなくても自動的に開かれるウィンドウをブロックします。リンクをクリックすることにより開かれるウィンドウは、ユーザーがより制限の強いブロック設定を有効にした場合にブロックされます。

通常はウィンドウ オブジェクトを返す関数は、ウィンドウがブロックされると null を返します。Web 開発者は null をチェックして、開こうとしたウィンドウがブロックされたかどうかを確認することができます。

開いた時に表示可能領域外にあるウィンドウは、表示可能領域に移されます。

表示可能な画面よりも大きいウィンドウを開くと、サイズがその表示可能領域に変更されます。

詳細については、このドキュメントの「Internet Explorer ウィンドウの制限」を参照してください。

これらの問題の解決法

window.open() で開くウィンドウは、すべてユーザーの操作で開くものであり、コードで自動的に開くものではないことを確認してください。

Windows XP Service Pack 2 で追加または変更された設定

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

Web ページの作成者は、開くウィンドウに対する NULL の戻り値をチェックしてください。これはポップアップ ウィンドウが正常に開いたかどうかを示し、これにより開くまたは開かない場合のいずれにも対処することができます。

ソフトウェアでウィンドウを自動的に開いている場合は、ブロックされます。同じ動作に関する別の方法については、このドキュメントの前の方で説明します。ウィンドウを開く最良の方法は、リンクまたはグラフィック要素をクリックすることです。

Internet Explorer の信頼されていない発行元の軽減

信頼されていない発行元の軽減の機能

この機能を使用すると、Authenticode のダイアログ ボックスを表示せずに、特定の発行元からの署名済みのコンテンツをすべてブロックすることができます。これにより、ブロックした発行元からコードがインストールされなくなります。この機能を使えば、署名が正しくないコードのインストールもブロックできます。

この機能の対象ユーザー

この機能は署名付きアプリケーションのインストールと実行を処理するため、すべてのユーザーに適用されます。

Windows XP Service Pack 2 でこの機能に追加された新機能

発行元のブロック

詳細説明

ユーザーは、Authenticode を使用して特定の発行元のコンテンツのインストールや実行をブロックすることができます。これを行うには、Authenticode のダイアログ ボックスにある [PublisherName のコンテンツを決して信用しない] チェック ボックスをオンにします。このチェック ボックスをオンにすると、発行元のデジタル署名で指定されるコードがシステムにインストールされる際に、プロンプトが表示されません。Authenticode のダイアログ ボックスは表示されず、自動的にブロックされます。

この変更が重要な理由と軽減される脅威

この機能は、ActiveX やその他の署名済みのファイル形式が Web で繰り返し表示されないようにブロックするために設計されています。これまでは、発行元からの不要なコンテンツの確認を何度も行わないようにするための方法はありませんでした。このような機能がないので、ユーザーはプロンプトが繰り返し表示されないようにするためのアプリケーションやコンテンツをインストールしていました。

動作の相違点

これまでは、Authenticode のダイアログ ボックスでは [<発行元> からの内容を常に信頼する] チェック ボックスをオンにすることしかできませんでした。これにより、プロンプトを表示せずに、特定の発行元からのコードを自動的にインストールすることができました。現在では、ユーザーは正反対のアクションを実行でき、信頼されていない発行元を指定できます。信頼されているコードに対しては、アプリケーションの互換性問題が起きることはありません。

Windows XP Service Pack 2 で変更された既存機能

無効な署名のブロック

詳細説明

既定では、無効なデジタル署名がある場合は、署名済みコードのインストールがブロックされます。

この変更が重要な理由と軽減される脅威

コードに無効な署名がある場合は、通常、署名後にコードが変更されたことを意味します。このような場合、コードが改ざんされた可能性があるので、Internet Explorer ではコードは未署名と見なされます。既定では、Internet Explorer は、インターネット ゾーンにある未署名の ActiveX アプリケーションをブロックします。これにより、この機能は拡張され、無効な署名が付けられたすべてのコードに適用されます。

動作の相違点

既定では、無効な署名が付けられたコードをインストールすることはできません。

これらの問題の解決法

以前の機能に戻して未署名のコードの実行を許可するには、次の「Windows XP Service Pack 2 で追加または変更された設定」の RunInvalidSignatures 設定を参照してください。

1 ページで 1 コントロールごとに 1 回のプロンプト

詳細説明

Internet Explorer では、ActiveX コントロールのプロンプトは 1 ページで 1 回しか表示されません。

この変更が重要な理由と軽減される脅威

これにより、同じコントロールに対して何度もプロンプトを表示するというソーシャル エンジニアリング トリックを防ぎます。ユーザーは何度拒否してもループを脱出できないため、最終的にはインストールを受け入れてしまうことがあります。

動作の相違点

1 ページで 1 コントロールごとにプロンプトは 1 回しか表示されません。

アプリケーションの説明と発行元名のテキストに付けられる省略記号

詳細説明

アプリケーションの説明、ファイル名、または発行元名のテキストがダイアログ ボックスの幅よりも長くなる場合は、Internet Explorer でテキストに省略記号が表示されます。これにより、表示されていないテキストがまだあることをユーザーに示します。

この変更が重要な理由と軽減される脅威

これにより、コントロールの作成者がダイアログ ボックスに広告用のテキストや EULA を挿入したり、その他のソーシャル エンジニアリング トリックを利用し、ユーザーの意に反してコントロールをインストールさせたりする機能を抑えることができます。

動作の相違点

アプリケーションの説明、ファイル名、または発行元名のテキストがダイアログ ボックスの幅よりも長い場合は、省略記号が表示されます。アプリケーションや Web ページを修正する必要はありません。

Windows XP Service Pack 2 で追加または変更された設定

Internet Explorer ウィンドウの制限

ウィンドウの制限の機能

Internet Explorer では、スクリプトでプログラムから各種ウィンドウを新しく開いたり、既存のウィンドウのサイズや位置を変更したりできます。以前は UI スプーフィング緩和と呼ばれていた、ウィンドウの制限のセキュリティ機能では、悪意のある第三者がユーザーを欺くために使用していたスクリプトで起動される 2 種類のウィンドウが制限されます。これらは、アドレス バー、タイトル バー、ステータス バー、ツール バーなどのコンポーネントがないポップアップ ウィンドウと、タイトル バーとステータス バーがあるウィンドウです。

この機能の対象ユーザー

Web 開発者は、これらの新しい制限を把握し、Web サイトへの影響がないように変更や回避策を検討してください。

アプリケーション開発者は、この機能を確認し、アプリケーションに変更を適用する計画を立てることをお勧めします。既定では、この機能は Internet Explorer プロセスに対してのみ有効となります。Internet Explorer 以外のアプリケーションでこの変更を利用するには、開発者はこのアプリケーションを登録する必要があります。

Windows XP Service Pack 2 で変更された既存機能

スクリプトによる Internet Explorer ウィンドウの位置変更

詳細説明

タイトル バーとステータス バーがあるウィンドウがスクリプトで起動される場合は、操作完了後もこれらの重要な情報のバーが表示されるように、スクリプトによる移動が制限されています。

• スクリプトでは、ウィンドウのタイトル バーやアドレス バーを画面の上端より上に移動することはできません。

• スクリプトでは、ウィンドウのステータス バーを画面の下端より下に移動することはできません。

この変更が重要な理由と軽減される脅威

この変更がなければ、window.open() メソッドで作成したウィンドウがスクリプトから呼び出され、次の 3 つのいずれかの方法により、ユーザー インターフェイスやデスクトップのスプーフィングが行われたり悪意のある情報や動作が隠されている可能性があります。

• タイトル バー、ステータス バー、またはアドレス バーが画面外に移動するようにウィンドウの位置を変更する。

• ユーザー インターフェイスの重要な要素が隠れるようにウィンドウの位置を変更する。

• ウィンドウ全体を画面外に移動する。

Internet Explorer のウィンドウの表示セキュリティ機能では、Web ページのソースや、ページを使用する通信のセキュリティを確認するために役立つ情報が提供されます。これらの要素が隠れていると、ユーザーは信頼できるページと誤認したり、実際は悪意のあるホストと通信するシステム プロセスを実行したりする可能性があります。ウィンドウの位置変更の悪用により、間違った情報が表示されたり重要な情報が不明確になったりし、また、安全ではないアクションを実行したり機密情報を引き出したりする目的で、ユーザー インターフェイスの重要な要素がスプーフィングされる可能性があります。

動作の相違点と依存関係の存在

この変更により、タイトル バーとステータス バーがあるウィンドウがスクリプトで起動されても、タイトル バーとステータス バーが常に表示されるようになります。ウィンドウを手動で画面外に移動することはできますが、スクリプトでは画面外に移動できません。Internet Explorer で画面外にウィンドウを作成するスクリプトを使用する場合は、コードを変更する必要があります。

これらの問題の解決法

スクリプトで画面外にウィンドウを作成したり移動したりする場合は、この要件を確認して、別の方法で実行してください。

スクリプトによる Internet Explorer ウィンドウのサイズ変更

詳細説明

タイトル バーとステータス バーがあるウィンドウがスクリプトで起動されても、操作完了後にタイトル バーとステータス バーが常に表示されるように、スクリプトによるサイズ変更が制限されます。

• スクリプトでは、タイトル バー、アドレス バー、またはステータス バーが隠れるようにウィンドウのサイズを変更することはできません。

• ウィンドウを作成する場合、fullscreen=yes の仕様の定義が、タイトル バー、アドレス バーおよびステータス バーを表示する "ウィンドウを最大化して表示" を意味するよう変更されました。

この変更が重要な理由と軽減される脅威

この変更がなければ、window.open() メソッドで作成したウィンドウがスクリプトから呼び出され、ユーザー インターフェイスやデスクトップのスプーフィングが行われたり悪意のある情報や動作状況が隠れたりする可能性があります。

Internet Explorer のウィンドウの表示セキュリティ機能では、Web ページのソースや、ページを使用する通信のセキュリティを確認するために役立つ情報が提供されます。これらの要素が隠れていると、ユーザーは信頼できるページと誤認したり、実際は悪意のあるホストと通信するシステム プロセスを実行したりする可能性があります。ウィンドウのサイズ変更の悪用により、重要なセキュリティ関連情報が不明確になったりし、また、安全ではないアクションを実行したり機密情報を引き出したりする目的で、ユーザー インターフェイスの重要な要素がスプーフィングされる可能性があります。

動作の相違点と依存関係の存在

この変更により、スクリプトによって起動されるウィンドウのサイズ変更において、タイトル バーとステータス バーが常に表示されるようになります。つまり、スクリプトでは、重要なセキュリティ情報を表示するタイトル バー、アドレス バー、およびステータス バーがない "キオスク モード" でウィンドウを開くことができません。

ユーザーはウィンドウをキオスク モードで表示するように選択できます。これは現在でも有効な選択肢です。

これらの問題の解決法

ウィンドウをスクリプトで起動すると、Internet Explorer のタイトル バーとステータス バーを含めて全体が表示されます。ユーザーまたはサイト管理者は、この状態を手動で変更することができます。

Internet Explorer ステータス バーのスクリプト管理

詳細説明

Internet Explorer では、ウィンドウのステータス バーが無効にならないように変更されています。ステータス バーは、すべての Internet Explorer ウィンドウで常に表示されます。

この変更が重要な理由と軽減される脅威

この変更がなければ、window.open() メソッドで作成したウィンドウがスクリプトから呼び出され、ユーザー インターフェイスの重要な要素を隠すことでユーザー インターフェイスやデスクトップのスプーフィングが行われたり悪意のある情報や動作状況が隠れたりする可能性があります。

ステータス バーは Internet Explorer ウィンドウのセキュリティ機能であり、ユーザーに Internet Explorer のセキュリティ ゾーン情報を提供します。このゾーンをスプーフィングすることはできず、表示されたコンテンツがどのセキュリティ ゾーンにあるのかが正確にわかります。ステータス バーが隠れていると、実際は悪意のあるホストと通信しているにもかかわらず信頼できるページと判断する可能性があります。

動作の相違点と依存関係の存在

既定では、スクリプトから起動されたウィンドウは、セキュリティ ゾーンが見えるように、ステータス バーが常に表示されています。アプリケーションへの変更はありません。

Internet Explorer のポップアップ ウィンドウ配置

詳細説明

スクリプトによって起動されたポップアップ ウィンドウは、次のように制限されています。

• 親 Internet Explorer Web オブジェクト コントロール (WebOC) ウィンドウの最上部より上または最下部より下には延長されません。

• 親 WebOC ウィンドウより高さが小さい必要があります。

• 親ウィンドウと上下に並べて表示されます。

• 親ウィンドウが移動された場合、それと離れないように移動します。

• 他のウィンドウ (ダイアログ ボックスなど) が隠れないよう、親ウィンドウの上に表示されます。

この変更が重要な理由と軽減される脅威

ポップアップ ウィンドウは、window.createPopup() メソッドにより作成され、アドレス バー、タイトル バー、ステータス バー、ツール バーなどの "クロム (chrome)" コンポーネントを境界に持たないので、"クロムレス ウィンドウ" とも呼ばれます。このようなウィンドウには次のような特徴があります。

• ダイアログ ボックスの上に重ねて開くことができ、重要な要素を目立たなくしたり、置き換えたりできます。

• アドレス バーの上に別のアドレスを重ねる際に使用できます。

• パスワード ダイアログ ボックスが表示された Windows デスクトップの全画面表示をシミュレーションすることができます。

制限のないクロムレス ウィンドウには、ユーザーを欺くさまざまな方法があります。

• ダイアログ ボックスの上に重ねて開くことができるクロムレス ポップアップ ウィンドウは、警告テキストや選択またはアクション コントロールなどの重要な要素を目立たなくしたり、置き換えたりします。これらには、チェック ボックス、オプション ボタンなどが該当します。このように説明すると、このウィンドウは不適切または有害という印象をユーザーに与えてしまう可能性があります。

• クロムレス ポップアップ ウィンドウでは、ページの実際のアドレスとは異なるアドレスをアドレス バーの上に重ねることができ、ユーザーがセキュリティ状態を誤認することがあります。同様に、ステータス通知領域の上にも重ねることができるので、Internet Explorer がセキュリティの高い Web ページ (https:// で始まる URL を表示するページ) を表示していると見せることもできます。このため、ユーザーはそのようなセキュリティが存在しないページでセキュリティが有効であると判断する可能性があります。

• クロムレス ポップアップは画面全体を使用できます。悪意のあるユーザーは、この方法を使用して、ユーザーの個人的な認証情報をキャプチャする悪意のあるスクリプトを実行し、パスワード ダイアログ ボックスが表示された Windows デスクトップの全画面表示をシミュレーションする可能性があります。

動作の相違点と依存関係の存在

ポップアップ ウィンドウには、水平方向、垂直方向、および他のウィンドウの上に配置する順序において制限があります。

• ポップアップ ウィンドウは、親ウィンドウのクロムの上端と下端の間に表示され、Internet Explorer のアドレス バー、タイトル バー、ステータス バー、またはツール バーと重なりません。

• 水平方向では、ポップアップ ウィンドウは常に親ウィンドウの一部と重なります。

• ポップアップ ウィンドウは親ウィンドウの真上に表示され、他のウィンドウの上に重なりません。

ポップアップ ウィンドウが親ウィンドウよりも大きいか別のウィンドウに表示されるように設計されている場合は、これらの制限が、ポップアップ ウィンドウの表示に影響を及ぼす可能性があります。ポップアップ ウィンドウが切り詰められて、そのウィンドウに表示されている情報の一部が不明確になる可能性があります。

これらの問題の解決法

この軽減の制限に合わせて、ポップアップ ウィンドウを再設計してください。

Windows XP Service Pack 2 で追加または変更された設定

この機能に使用できる設定は 1 つだけです。この設定は、ウィンドウの制限を有効にする (1) または有効にしない (0) のどちらかです。アプリケーションの互換性を考慮して、この機能は既定では Internet Explorer 以外のプロセスで有効となりません。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

このスクリプトは、クロムのある Internet Explorer ウィンドウ (window.open() メソッドを使用) または Internet Explorer クロムレス ポップアップ ウィンドウ (window.createPopup() メソッドを使用) を作成する場合と同じメソッドを呼び出します。ただし、ポップアップ ウィンドウが正常に表示され、ステータス バーに正しい情報が表示されるように設計を確認する必要がある場合もあります。

Internet Explorer ゾーン昇格ブロック

ゾーン昇格ブロックの機能

Internet Explorer で Web ページを開くと、インターネット、ローカル イントラネット サーバー、信頼済みサイトなど、Web ページの送信元に基づいてページの機能に制限が課されます。たとえば、インターネット上のページでは、ユーザーのローカル イントラネット上のページに比べて、セキュリティ制限が厳しくなります。ユーザーのコンピュータ上の Web ページは、ローカル コンピュータ セキュリティ ゾーンにあり、セキュリティ制限が最も緩くなります。このため、ローカル コンピュータ セキュリティ ゾーンは、悪意のあるユーザーの主な標的になります。ゾーン昇格ブロックの導入により、このゾーンでコードを実行させるのは、より困難となります。また、ローカル コンピュータ ゾーンのロックダウンでは、セキュリティ設定を変更することで、悪意のあるユーザーに対するゾーンの脆弱性が軽減されます。

この機能の対象ユーザー

Web 開発者は、Web サイトへの影響を考慮して、変更または回避を計画してください。

アプリケーション開発者は、この機能を確認して、ローカル コンピュータ セキュリティ ゾーンで実行するアプリケーションに変更を適用する計画を立ててください。既定では、この機能は Internet Explorer 以外のプロセスでは有効になっていないので、開発者が変更を使用するにはアプリケーションを登録する必要があります。

エンド ユーザーは、これらの制限の厳しい規則や設定に対応しないサイトの影響を受ける場合があります。

Windows XP Service Pack 2 でこの機能に追加された新機能

ゾーン昇格ブロック

詳細説明

Internet Explorer では、ページ上のリンクに対するセキュリティ コンテキスト全体が、ルート URL のセキュリティ コンテキストよりも高くなりません。つまり、たとえば、インターネット ゾーンのページからローカル イントラネット ゾーンのページには移動できません。たとえば、スクリプトによってこの移動を実行することはできません。この軽減機能に合わせて、ゾーンのセキュリティ コンテキストのランクは、制限付きサイト ゾーン、インターネット ゾーン、ローカル イントラネット ゾーン、信頼済みサイト ゾーン、ローカル コンピュータ ゾーンの順に、高いものから低いものへと定義されています。

さらにゾーン昇格により、セキュリティ コンテキストがない場合は JavaScript による移動も無効になります。

ユーザーが Web サイトからより高いゾーンへ移動するリンクをクリックすると、ローカル コンピュータへの移動がブロックされるか、Internet Explorer のダイアログ ボックスに次のいずれかのメッセージが表示されます。< > で囲まれた部分は、状況に応じて変わります。

• 現在の <インターネット> サイトは、お使いのコンピュータのファイルを開こうとしています。

  この <インターネット> サイトが信頼でき、コンピュータへのアクセスを許可する場合は、[OK] をクリックして続行してください。

• 現在のサイトは制限付きサイトの一覧にありますが、イントラネット上のファイルを開こうとしています。これは許可しないことをお勧めします。

どちらの場合でも、既定のアクションではゾーン昇格が許可されません。ユーザーはゾーン昇格要求を明示的に許可する必要があります。

この変更が重要な理由と軽減される脅威

特権の昇格は、Internet Explorer で最も狙われる脆弱性の 1 つで、最終的にローカル コンピュータ ゾーンで悪意のあるコードを実行されることもあります。ゾーン昇格ブロックを使えば、多くの特権昇格攻撃を軽減するのに役立ちます。

動作の相違点

あるゾーンからより高いゾーンへの移動はブロックされます。つまり、より高い特権の Web ページを自動的に呼び出す Web ページは失敗します。

これらの問題の解決法

信頼できる Web アプリケーションを使用できない場合は、アプリケーションが引き続き動作するように Internet Explorer のセキュリティ ゾーン設定を変更します。各セキュリティ ゾーンのゾーン昇格設定を変更するには、レジストリ キー 2101 を "無効にする" から "ダイアログを表示する" または "有効にする" に設定します。たとえば、ローカル コンピュータ ゾーンのロックダウン設定を変更するには、キーを次のように変更します。

HKEY_CURRENT_USER¥Software¥Microsoft
¥Windows¥CurrentVersion¥Internet Settings¥Lockdown_Zones¥0

"2101"=dword:00000001 を "ダイアログを表示する" に

"2101"=dword:00000000 を "有効にする" に

Internet Explorer のネットワーク プロトコルのロックダウン

ネットワーク プロトコルのロックダウンの機能

XP SP2 の RTM リリースでは、ローカル コンピュータ ゾーン以外のゾーンでも特定のネットワーク プロトコルからの HTML コンテンツをロックダウンするように Internet Explorer を構成することができます。管理者は、この機能を使用して、このドキュメントで前述したローカル コンピュータ ゾーンのロックダウンと同じ制限を拡張して、任意のセキュリティ ゾーンのコンテンツや専用のプロトコルに適用することができます。たとえば、管理者は、インターネット ゾーン内の、Shell: プロトコルでホスティングされる HTML コンテンツをロックダウンするように Internet Explorer を構成することができます。Shell: プロトコルの最も一般的な使用方法は、ローカル コンテンツではなくインターネット コンテンツ向けであり、この軽減機能により、HTTP よりも汎用性の低いプロトコルの脆弱性に対して、ブラウザの攻撃面を小さくすることができます。

この機能の対象ユーザー

既定では、すべてのアプリケーションに対してネットワーク プロトコルのロックダウンは有効ではありません。

すべてのアプリケーション開発者は、この機能について確認してください。管理者によって制限が追加された組織では、Internet Explorer において、HTTP 以外のプロトコルで HTML ファイルをホスティングするアプリケーションが影響を受ける可能性があります。Internet Explorer をホスティングするスタンドアロン アプリケーションの開発者は、ネットワーク プロトコルのロックダウンを使用するようにアプリケーションを修正することができます。

オプトインすることを選択した開発者は、この変更を使用するためにアプリケーションを登録する必要があります。この軽減機能を使用しないアプリケーションに対しては、専用のプロトコルをサポートすることを個別に確認してください。

Internet Explorer をホスティングするアプリケーションのソフトウェア開発者は、このドキュメントで後述するように、レジストリにプロセス名を追加して、この機能を使用することができます。今後、この機能は、汎用性の低い特定のプロトコルには制限が課され、アプリケーション用の現在の "オプトイン" ポリシーの代わりに "オプトアウト" ポリシーが指定されて、既定で実装される予定です。Internet Explorer をホスティングするアプリケーションに対しては、ネットワーク プロトコルのロックダウンを有効にしてもプロセスが正しく動作するかどうかをテストしてください。

ネットワーク管理者は、管理するデスクトップ コンピュータで、使用しないプロトコルを制限されたプロトコルの一覧に追加することを考慮してください。ネットワーク管理者がこの制限を有効にすると、HTML ファイルが影響を受ける場合があります。

HTTP プロトコルでホスティングされる Web サイトの開発者は、他のプロトコルに対する制限の影響を受けません。

ネットワーク管理者がデスクトップに対して特定のプロトコルを制限すると、ユーザーがこれらの制限の影響を最も受けやすくなります。

Windows XP Service Pack 2 で変更された既存機能

制限されたプロトコル用のセキュリティ設定の変更

詳細説明

Windows XP Service Pack 2 では、制限されたプロトコルから提供されるオプトインされたアプリケーションの HTML コンテンツは、より高いセキュリティ レベルでの実行が制限されます。制限されたプロトコルのコンテンツが ActiveX コントロールなどの制限された機能を使用すると、Internet Explorer の情報バーに次のテキストが表示されます。

"Web ページから、セキュリティの設定で許可していないプロトコルを使用して通信するように要求されています。詳細オプションを参照するには、ここをクリックしてください。"

ユーザーは情報バーをクリックして、制限されているコンテンツのロックダウンを解除することができます。

制限されたプロトコルのコンテンツをロックダウンするセキュリティ設定は、このドキュメントで前述したローカル コンピュータ ゾーンのロックダウンで強制される設定と同じです。該当するセクションで、制限されたプロトコルのコンテンツに対して強制されるセキュリティ設定を確認してください。

Internet Explorer とすべてのアプリケーションで、制限されたプロトコル機能が既定でオフ

詳細説明

ネットワーク プロトコルのロックダウンの動作は、Internet Explorer の新しい機能コントロール設定により、プロセスごとに制御されます。この機能は、ネットワーク管理者向けに多層防御に使用できる層を追加するように設計されているので、既定の Internet Explorer プロセスである IExplore.exe と Explorer.exe は、既定ではオプトインされません。ネットワーク プロトコルのロックダウンに対してオプトインするには、ネットワーク管理者または開発者は、次のいずれかの場所で DWORD を追加する必要があります。名前にはプロセス名を使用します。軽減機能を適用するには値を 1 に設定し、強制的にオプトアウトするには値を 0 に設定します。

HKEY_LOCAL_MACHINE¥Software
¥(Policies)¥Microsoft
¥Internet Explorer¥Main¥FeatureControl
¥FEATURE_PROTOCOL_LOCKDOWN

HKEY_CURRENT_USER¥Software
¥(Policies)¥Microsoft
¥Internet Explorer¥Main¥FeatureControl
¥FEATURE_PROTOCOL_LOCKDOWN

ワイルドカードを使用してこの軽減機能にオプトアウト モードを強制すると、アプリケーションでオプトアウトが優先されてこの軽減機能がアプリケーションに適用されないようにすることができます。

アプリケーションをオプトインする場合の各ゾーンの動作

オプトインしたプロセスでは、ネットワーク プロトコルのロックダウンの動作も、Internet Explorer の新しいセキュリティ設定や URLAction によって各ゾーンで制御されます。この URLAction には次の値が設定されます。

各ゾーンのプロトコル ブロックリスト

制限されたプロトコルの一覧は各ゾーンで定義され、あるゾーンではロックダウンされるプロトコルを別のゾーンでは制限なく実行することができます。特定のゾーンでプロトコルを制限するには、特定のセキュリティ ゾーン用の制限の一覧にプロトコル名を入力します。

ブロックリストに追加するかどうかを考慮すべきプロトコル

制限されたプロトコルの一覧は、既定では空です。ネットワーク管理者が、組織内の特定のサイトでは不要であるためにロックダウンするプロトコルを追加します。ネットワーク管理者は、管理するデスクトップ コンピュータで、次の既定の Windows プロトコルやその他のプロトコルのうち、組織内でアクティブ コンテンツを使用する HTML を表示する際に不要なプロトコルを制限することを考慮してください。

• local://

• file://

• shell://

• hcp://

• ftp:// 

この変更が重要な理由と軽減される脅威

この変更により、使用頻度の低いプロトコルの脆弱性に対して、一般的な多層防御が提供されます。たとえば、Local:// プロトコルで実行される ActiveX コントロールが、ローカル コンピュータ ゾーンに読み込まれ、ホスト ページにシステム特権を付与する場合があります。

動作の相違点と依存関係の存在

前に説明したように、特定のゾーンで制限されたプロトコルで提供される Web ページで ActiveX などの制限されたコンテンツが使用されると、Internet Explorer の情報バーが表示されます。

これらの問題の解決法

Web ページにおいて、イントラネットでは制限されるプロトコルで ActiveX やスクリプトを実行する場合は、管理するデスクトップ コンピュータで、HTML のドメインを信頼済みサイト ゾーンに移動すると、その HTML を正しく表示することができます。長期的なソリューションとしては、制限されたプロトコルではコンテンツを無効にするか、それができない場合は、Active Server Page などのサーバー側スクリプトを使用してサーバーで必要な処理を実行し、制限されたプロトコルのページからアクティブ コンテンツを完全に削除します。

Windows XP Service Pack 2 に対応するためにコードの変更が必要かどうか

既定ではこの機能は無効になっているので、組織のネットワーク管理者が制限したプロトコルで実行しない限り、HTML コンテンツを変更する必要はありません。