セキュリティ管理

動的なセキュリティ保護: IE7 のセキュリティ強化の検証

Matt Heller 著
Security Evangelist, Text'd LLC

そのほかの セキュリティ管理コラム もご覧ください。

Web ブラウザは瞬く間にユーザーのコンピュータで最も一般的に使用されているアプリケーションになりました。また、大切な業務や個人の生産性向上ツールとして独自の位置を占めるようになりました。また、常に未知の個人やグループによって作成された悪質なコンテンツにさらされる可能性があります。Web の変化と共に、ブラウザの拡張性は開発者に対してより多くの機能を備えたアプリケーションを構築し、ユーザーのために力強い方向性を提供するためのツールを提供してきました。これらのオンライン エクスペリエンスは電子商取引の成長を促し、オンラインの電子金融取引を一般的なものにしてきました。しかし、大きな商業的成功が悪質なオンライン活動の流れと、悪者がユーザーを罠にかけ、その情報の盗難の増加が生じることとなりました。今月は、過去 Microsoft Internet Explorer に行なわれた改善と、現在の悪質な活動の状況およびユーザーの保護に役立つ次の Internet Explorer のバージョンで提供される強化点についてお話します。

現在の背景
nternet Explorer 6 (IE6) が初めてお目見えしたのは、2001 年後半/2002 年初頭で、オンライン ユーザーの数はまだ少なく、ユーザーにとってスパムが主要な脅威でした。そしてブロードバンドがもうすぐ始まりそうな時期でした。IE6 は前のバージョンに対する多くの改善を施し、新たなコード技術へのサポートを提供しました。それは瞬時に市場で人気を獲得し、その成功により IE6 はすぐに悪質な攻撃の標的となり、悪質な攻撃をそそることとなりました。初期の攻撃は基本的な財政的利益を得ようとしたもので、ユーザーがリンクをクリックした際に、紹介料を稼ぐためにポップ・アップ ウィンドウでユーザーを攻撃するものでした。その戦略はすぐに、多くのウィンドウが現れるのでユーザー (および彼らのシステム) が追いつけないサービス拒否の攻撃として使用されるようになりました。

ハッカーに選ばれて IE6 が標的とされた別のセキュリティの問題もありました。一般的に使用されたアプローチは偽の URL を置き、ユーザーを罠にかけるためにアドレス バーに金色の南京錠のアイコンを表示してだますことにより個人情報を漏えいさせようとするものでした。ブラウザのハイジャック攻撃は広告費用で財政的な利益を得るためにホーム ページをリセットするので、ユーザーはたびたびリセットまたは削除ができなくなりました。スパイウェアがシステムにポップ アップし始めました。主に抱き合わせのダウンロード (この場合、ソフトウェアはほかのものと組み合わされて、ユーザーへのインフォームド コンセントなしにインストールされます) そして今日知られている脅威が出現し始めたのです。

より優れた改善
これら多くの問題への対処に役立てるために、マイクロソフトはオペレーティング システムおよびブラウザの両方の更新を開発しました。Windows XP Service Pack 2 のリリースにより、ユーザーはより信用して Web をブラウズでき、金融機関の口座にログオンする際に信頼することができます。Windows XP Service Pack 2 の強化点には以下のようなものがあります。

Windows XP Service Pack 2 およびその多くのセキュリティの改善点については、このホワトペーパーをダウンロード (英語情報) してご覧ください。Windows XP Service Pack 2 の IE6 はユーザー セキュリティを非常に強化しましたが、攻撃者の攻撃は依然として続いています。自動更新および搭載されたパーソナル ファイア ウォールは多くの攻撃を防ぐ手助けとなりました。しかし、大きな問題はユーザー自身にあるようです -– 悪質な攻撃者はユーザーを罠にはめ、混乱させるために何でもします。ソーシャル エンジニアリング攻撃は今日の攻撃手段であり、最終的に自分のシステムをさらし、個人情報を差し出して指示に従うことにより、ユーザーは無意識に攻撃者のパートナーとなり自分のセキュリティを侵害してしまっているのです。

問題を解決する
ユーザー セキュリティの改善方法を見てみると、利便性の事項 (ユーザーへの教育および通知) と技術的な問題の両方に関して改善が必要なようです。ユーザーの安全性とセキュリティは Internet Explorer 7 の主要な開発目標だったために、この新たなバージョンは、前のバージョンに対してすべての点で改善を施し、潜在的な攻撃ベクタを緩和するために新しい機能が加わりました。また、IE7 は セキュリティ開発ライフサイクル (SDL) の方法を使用してすべてが開発された最初のブラウザ バージョンで、リリースされているソフトウェア問題の数および深刻性が劇的に減少されたことを示す製品です。要するに、SDL は開発、セキュリティそしてビジネスの目標を満たすものではありますが、コードが完成してから検証するというよりはむしろ、設計と作成の過程で詳細なセキュリティが確認されたソフトウェアの提供を行なう製品チームが組み合わされた一連の開発プロセスなのです。

プロセスの最終結果として開発されたのが、ユーザーが自覚できる豊富なセキュリティ機能および攻撃を大幅に減少させるための内部コードの大きな変更を提供する IE7 です。これは、多くの Web の開発およびユーザー志向の機能 (例: タブ ブラウズ) が含まれていますが、このコラムではセキュリティの機能に焦点を当てることにします。IE7 に関して、全般的な情報およびわくわくする新機能についてより完全に確認するためには、IE7 Web サイト (英語情報) をご覧ください。

IE7:フィッシングにだまされない
IE7 のセキュリティ機能を現実的に体験するためには、実際のユーザーのケースについて考えてみるのが良いと思います。あまりに一般的なフィッシング攻撃の例について考えてみましょう。銀行やその他の金融機関は顧客に対するフィッシングに関する教育をますます強化していますが、単に攻撃者がより賢くなっているのです (つまり、単にずる賢くなっているということでしょうか)。最近の事件では、米国中西部で悪質なグループがまさに実在の銀行の偽の Web サイトを立ち上げました。まったく同じ画像、リンク、コンテンツおよび限りなく本物に近い偽のドメイン名を持っていたのです。本物と偽物のサイトで唯一認識できる違いは証明を発行する証明機関 (CA) でした。このグループは CA に対して正真正銘のすべての主要なブラウザで前もって構成されたルートの資格情報のある SSL 証明を発行させることを納得させることができました。

この実際の事件では、IE7 のユーザーはソーシャル エンジニアリング - コードの脆弱性を悪用しようとする攻撃やユーザーのコンピュータを侵害するような攻撃ではない - 攻撃からさまざまなレベルで守られます。IE7 のユーザーは追加された “Phishing Filter (フィッシング フィルタ)” と呼ばれる機能を持つことになります。これはマイクロソフトが無料で提供するオプトイン サービスです。このサービスはクライアント側とサーバー側の経験則を組み合わせたもので、毎日規則的に更新したリストを許可/ブロックします。この機能は URL を解析することにより動作し (変数や個人が特定可能な情報ではありません)、スコアを確立するためのページのコンテンツを基にした要素を評価するものです。このスコアがある特定の値の場合、非同期的にオンライン サービスに情報が送信され、サイトが既知のフィッシング サイトであるかどうかについてサービスが回答します。

既知のフィッシング サイトは、アドレス バーが赤に変更されることで示されます。ユーザーはページから離れるように誘導され、フィッシング攻撃の可能性に関する警告メッセージが表示されます。疑わしい Web サイト - 特定の疑わしい特徴およびサイトが含まれるページは許可リストに表示されません – は、黄色でアドレス バーに表示されます。良好なサイトは標準のアドレス バーを表示します。サービスへのコール数が削減されることにより機能を向上するために、既知の信頼できる多くのサイトが含まれているローカルで保存された許可リストがあります。

Phishing Filter (フィッシング フィルタ) は幅広く集められたソースおよびユーザーが提出したサイトのデータからのデータを組み合わせて実行されます。このサービスは脅威が発見されると継続的に更新されるので、ユーザーは深刻な影響を受ける前に避けることが可能です。

しかし、まだあります。マイクロソフトは当局に認定された新しい、強化された検証プロセスを定義するための業界の努力に深く関わっています。この高信頼性証明書 (High Assurance certificates) の目的はお客様の信頼を構築することです。現在、その基準を作成中ですが、High Assurance SSL の証明書を受け取る前に、証明機関による、より詳細なビジネスのチェックおよび検証が最終段階で必要になります。マイクロソフトは IE7 で、これらの新たな証明に関するサポートを行なっており、アドレス バーは High Assurance の証明のために、視覚的に緑に点灯されます。上のような場合、銀行の Web サイトのユーザーには緑の点灯が示されるはずで、そうでない場合には警告されているということです。

追加の機能
ユーザーは明らかにフィッシングのフィルタ サービスおよび High Assurance のサポートにより恩恵を受けられます。しかし、IE7 には以下のようなその他のセキュリティの機能も搭載されています。

残り物には福がある
最後まで目を通していただいた読者にはいつもご褒美があります。ここまで読んでくださったみなさんには、IE7 の一番の目玉であるプロテクト モードおよび ActiveX オプトインを紹介します。Windows Vista でご利用いただけるプロテクト モードは非常に低い権限で IE のプロセスが実行されますが、これはレジストリおよびインターネット一時ファイルのディレクトリの特定の部分に書き込むには十分な権限のみということです。ユーザー対話 (IE は onClick または同等のイベントが必要で、スクリプトは禁止されています) およびユーザーによるプロンプトのダウンロードを許可しているユーザーを示さないと、ユーザー ハイブおよびほかのすべてのリソースは利用できません。アプリケーションがより高い権限を必要とする場合 (例えばファイルを保存するような場合)、要求を処理するためにブローカ プロセスが呼び出されます。このブローカ プロセスは対話を行なっているユーザーのみが呼び出し可能であり、高い権限のタスクが完了したらブローカは破棄されます。

IE7 はアプリケーションのセキュリティの適切なバランスを保っている間、影響力の高い機能拡張を確保するために ActiveX のオプトインの保護を提供します。ActiveX Opt-In は既定でほとんどの ActiveX コントロールへのアクセスを切断することによりコンピュータへの攻撃対象領域を縮小します。ほかのアプリケーションにより使用され、インストールされている多くのコントロールはインターネットへさらされることは決して意図されていないので、適切な監視または悪質な脅威を処理するセキュリティのレベルで設計されていない場合があります。さらに、これらの多くのコントロールはインターネットにさらされる理にかなった必要性や条件がありません。ActiveX Opt-In はユーザーの同意のない悪用からこれらの脅威を削除します。コントロールがアクセスされる前に、ユーザーが許可する必要があります。ActiveX Opt-In は悪質な Web サイトに対してではなく、ユーザーにコントロール (コントロールのためのコントロールです!) を与えます。正しく使用された場合、この機能はいいかげんなダウンロードおよびユーザーのコンピュータ上での意図しない動作を防ぎます。

しかし、最善の意図を持ったユーザーでさえも信頼できない判断を下すように誘導される場合があります。私はこれらの悪質なサイトを見てきましたが、とても抵抗しきれない場合があるのです。だれでも 1 ドルで 100 枚の写真が欲しいに決まっています。まさにこれが、IE7 が Windows Defender により提供された多層防御と連携している点です。現在、ベータ版 2 の、Windows Defender はユーザーに、追加されたセキュリティ レベルおよびオンラインでの動作のセキュリティを提供しています。Windows Defender は継続的にファイル システムの重要な部分をスキャンして、ユーザーを侵害するものが何もシステムにないことを確実にする手助けをします。レジストリ、スタートアップ フォルダ、ブラウザの構成など多くは通常 Windows Defender により許可されていない変更から守られます。今日どのブラウザを使用していたとしても、Windows Defender のようなスパイウェア対策製品なしには実行すべきでありません。

思い切って実行してみる
さあ、どうぞ。IE7 の ベータ 2 プレビュー をダウンロードしてください。ずいぶん前にインストールすべきであった Windows XP Service Pack 2 を実行する必要があります。評価のために新たなブラウザを入手してください。そしてご意見を聞かせてください。ベータ 2 プレビューの目的はみなさんにその機能を試していただいて、何が上手くいくか、あまり上手くいかないかを知らせていただくことです。みなさんのフィードバックをもとにして手を加えていく予定ですので、お気軽にお知らせください。

変更を加える前に詳細をお知りになりたい場合には、IE Team blog (英語情報) をご覧ください。このブログでは、すべての機能のより多くの詳細が掲載されており、特別なイベント、議論など多くが告知されています。

この記事は、マイクロソフト セキュリティ ニュースレターで配信しました。

ページのトップへ