［米国］
マイクロソフト、Internet Explorer 7でのセキュリティ上の変更点を概説

（2005年10月26日）

　米国マイクロソフトは、現在開発中の「Internet Explorer（IE）7」と「Windows Vista」で予定されているセキュリティ上の変更点の一部を明らかにした。そうした変更は、一部のWebサイトに支障を生じさせるおそれがある。

　IE 7に加えられる重要な変更点の1つは、SSLv2を使えなくすることである。SSLv2は、安全なWebトランザクションを実現するために使用されているプロトコル「SSL (Secure Socket Layer)」の古いバージョン。その代わりに、SSLv3は引き続きサポートし、新しいプロトコル「Transport Layer Security (TLS) v1」に対応するという。

　SSLv2の使用を現在要求しているWebサイトは、SSLv3またはTLSv1に対応する必要がある、とマイクロソフトはMicrosoft Developer Network（MSDN）サイトのInterent Explorerブログで説明しているが、この変更による影響は少ないはずだとしている。

　「これは、目立たないがセキュリティの改善になる。当社の調査では、インターネット上には現在、SSLv2を要求するサイトは一握りしか残っていない。また、WebサイトにSSLv3やTLSv1のサポートを追加するのは、一般的に、単純なコンフィギュレーション変更で済むことだ」と、IEプログラム・マネジャーのエリック・ローレンス氏はIEブログで述べている。

　SSLv2はSSLの初公開版だったが、例えば、ハンドシェイク中の介入者攻撃（man-in-the-middle attack）に対する防衛機能がないことや、メッセージ認証と暗号化に同じ暗号鍵が使われることなど、いくつかの弱点が知られている。現在主流になっているSSLv3ではそうした問題は解消されているが、大多数のWebブラウザでまだSSLv2がサポートされているので、一部だがSSLv2を使い続けているシステムが存在している。

　IE 7では、ユーザー・エクスペリエンスに対するいくつかの変更も加えられる。例えば、セキュリティ証明書に問題のあるサイトへのナビゲーションを阻止する機能などである。問題のある証明書には、現在のURLホスト名とは異なるホスト名（例えば、www.example.comではなくsecure.example.com）に対して発行された証明書、信頼できないルートCA（認証機関）が発行した証明書、有効期限が切れた証明書や、無効にされた（取り消された）証明書が含まれる。

　現行バージョンのIEでは、これらの問題を解決するための方法をユーザーに尋ねるダイアログ・ボックスが表示されるようになっているが、IE 7では、問題点を説明するエラー・ページを表示する。ただし、ユーザーがそうしたサイトを閲覧することは、証明書が無効にされた（取り消された）場合をのぞいて可能であり、問題のあるサイトに入った場合には、アドレス・バーが赤くなってそのことを示す。

　「自社の安全なページで使われているホスト名と、デジタル証明のホスト名が正確に一致していることを確認すべきだ」とローレンス氏はアドバイスしている。

　一方、1つのページのなかに安全なアイテムと安全でないアイテムが含まれる場合には、IE 7では、安全でないアイテムを表示するという選択肢が最初に示されず、表示されるのは安全なアイテムだけになる。安全でないアイテムを表示させたい場合には、手作業でリクエストを出す必要がある。

　これによって今後登場すると思われる攻撃を阻止することができる、とローレンス氏は説明している。「HTTPSページ内でHTTPを使って作成されたコンテンツを表示することにより生じるセキュリティ上のリスクを完全に理解しているユーザー（あるいはWeb開発者）は非常に少ない」

　その他の変更点には、Windows VistaでAES（Advanced Encryption Standard）をサポートすることや、無効にされた（取り消された）証明書をチェックする機能をWindows Vistaのデフォルト設定（標準設定）設定で有効にすることなどが含まれる。

　また、Windows VistaでのTLSインプリメンテーション変更も、一部のサイトで問題を発生させる可能性がある。ローレンス氏によると、TLSはExtensionsをサポートするようにアップデートされるが、標準に準拠していないTLSサーバの一部が接続を拒否するようになるおそれがあるという。

　「TLSをサポートするサイトを運用している人は、拡張機能があっても問題が生じない、標準に準拠したTLSのインプリメンテーションを使用していることを確認してほしい」と同氏は述べている。