내보내기(0) 인쇄
모두 확장

Internet Explorer BindToObject 방지

적용 대상: Windows Server 2003 with SP1

note참고
Microsoft Windows Server 2003 Internet Explorer 보안 강화 구성의 구성 요소(Microsoft Internet Explorer 강화라고도 함)를 사용하면 보다 제한적인 Internet Explorer 보안 설정이 적용되어 스크립트, ActiveX 구성 요소 및 인터넷 보안 영역의 리소스 파일 다운로드 등을 사용할 수 없게 되므로 웹 콘텐츠를 이용한 공격에 대한 서버의 보안 취약성이 줄어듭니다. 따라서 Internet Explorer의 최신 릴리스에 포함되어 있는 대부분의 보안 강화 기능은 Windows Server 2003 서비스 팩 1에서는 크게 차이가 없습니다. 예를 들어 해당 사이트가 스크립트를 허용하는 보안 설정 영역에 포함되는 경우에만 새 Internet Explorer 알림 표시줄 및 팝업 차단 기능이 사용됩니다. 서버에서 보안 강화 구성을 사용하고 있지 않으면 이러한 기능은 Windows XP 서비스 팩 2에서와 같이 작동합니다.

BindToObject 방지의 기능은 무엇입니까?

Windows Server 2003 서비스 팩 1에서는 URL 바인딩을 사용하여 개체의 인스턴스를 생성하고 개체를 초기화하는 모든 경우에 ActiveX 보안 모델이 적용됩니다. ActiveX 보안 모델에서는 컨트롤을 “스크립트 사용에 안전”하고 “초기화에 안전”한 것으로 표시할 수 있으며 해당 설정에 따라 보안 영역별로 ActiveX 컨트롤을 차단하거나 허용할 수 있는 기능을 사용자에게 제공합니다. 따라서 융통성이 더욱 커지며 Internet Explorer에서 액티브 콘텐츠를 제어할 수 있습니다.

이 기능의 적용 대상은 누구입니까?

  • 웹 개발자와 네트워크 관리자는 이러한 새로운 제한 사항을 이해하여 웹 사이트에 미치는 영향을 변경하거나 해결할 수 있어야 합니다.

  • 응용 프로그램 개발자는 이 기능을 검토하여 응용 프로그램에 변경 내용을 적용할 수 있도록 해야 합니다.

  • 사용자는 이러한 엄격한 규칙과 호환되지 않는 사이트의 영향을 받을 수 있습니다.

Windows Server 2003 서비스 팩 1에서 이 기능에 추가된 새로운 기능은 무엇입니까?

없습니다. 기존 보안 기능이 확장된 것입니다.

기존 기능 중 Windows Server 2003 서비스 팩 1에서 변경된 기능은 무엇입니까?

URL 개체 초기화에 적용된 ActiveX 보안 모델

자세한 설명

ActiveX 보안 문제점을 제거하는 가장 효과적인 방법은 URL 바인딩의 원본인 URLMON에서 보안 정책을 일관되게 적용하는 것입니다. <object> 태그와 CODEBASE 특성을 사용하여 HTML 페이지에서 ActiveX 컨트롤을 선언하는 것이 BindToObject 사용 예로 많이 알려져 있습니다. URL을 확인하고 스트림이나 개체를 다시 받으려는 구성 요소에서도 같은 기능을 사용합니다. ActiveX 보안 모델은 URL을 원본으로 사용하는 모든 개체 초기화에 적용됩니다.

이 변경 사항이 중요한 이유는 무엇입니까?

ActiveX 컨트롤의 경우 ActiveX 보안 모델에서는 컨트롤을 “스크립트 사용에 안전”하거나 “초기화에 안전”한 것으로 표시할 수 있으며 해당 설정에 따라 보안 영역별로 ActiveX 컨트롤을 차단하거나 허용할 수 있는 기능을 사용자에게 제공합니다. 이전 버전의 Windows에서는 URL 바인딩이 발생하는 모든 경우에 이 보안 프레임워크가 적용되지 않았습니다. 대신에 호출 코드로 컨트롤의 무결성과 보안을 보장했기 때문에 보안 문제가 발생할 수 있는 경우가 많았습니다. 이제는 Internet Explorer를 통해 호출 코드의 취약점을 이용하여 이러한 문제점을 여실히 나타내는 공개적인 변형 문제가 많이 발생하고 있습니다.

작동 방식의 차이는 무엇입니까?

ActiveX 보안 모델은 URL을 원본으로 사용하는 모든 개체 초기화에 적용되며 “초기화에 안전한” 태그가 모든 개체에 적용됩니다. 이러한 방지 기능은 Internet Explorer에서 URL을 확인하여 개체를 인스턴스화하고 해당 URL에서 검색된 데이터가 있는 개체를 초기화하는 경우에만 적용됩니다.

이러한 문제를 해결하는 방법은 무엇입니까?

응용 프로그램 호환성 문제를 최소화해야 합니다. 응용 프로그램에 자체 보안 관리자가 있을 경우 옵트인할 수 있습니다. 이 보안 모델의 해제에 대한 자세한 내용은 Microsoft 웹 사이트(http://go.microsoft.com/fwlink/?LinkId=21814)에서 "Security Considerations: URL Security Zones API"를 참조하십시오.

또한 보안 영역 설정과 함께 기능 조절 레지스트리 설정을 사용하는 Internet Explorer 항목에 설명된 대로 응용 프로그램은 기능 조절 키 FEATURE_SAFE_BINDTOOBJECT를 사용하여 이러한 방지 기능을 옵트인 또는 옵트아웃할 수 있습니다.

Windows Server 2003 서비스 팩 1에서 변경되거나 추가된 설정은 무엇입니까?

Internet Explorer 개체 캐싱

설정 이름 위치 이전 기본값 기본값 가능한 값

IExplore.exe

Explorer.exe

WMPlayer.exe

HKEY_LOCAL_MACHINE(또는 Current User)\Software \Microsoft \Internet Explorer\Main \FeatureControl \FEATURE_SAFE_BINDTOOBJECT

없음

1

0 - 해제

1 - 설정

이 정보가 도움이 되었습니까?
(1500자 남음)
의견을 주셔서 감사합니다.

커뮤니티 추가 항목

표시:
© 2014 Microsoft