信頼済みサイトゾーンを使わせない……?
2005年8月2日(火曜日)
信頼済みサイトゾーンを使わせない……?
高木さんのところに「Google、読売新聞社、Mapion、Yahoo! JAPAN、ソフトバンク!BB、早稲田大学図書館、三洋電機、NEC、Oracle、マイクロソフトらがスパイウェア感染を招き金融被害をもたらしている可能性 (takagi-hiromitsu.jp)」というお話が出ています。Windows Server 2003 (www.amazon.co.jp)
確かに、Windows Server 2003 ではデフォルトで「セキュリティ強化の構成」が有効になっていますので、デフォルト状態では ActiveX コントロールは無効であり、Google ツールバーなどはインストールできません。
では ActiveX を有効にしたい場合にはどうすれば良いかというと、Windows Server 2003 のドキュメントではこのように指示されています。
Internet Explorer セキュリティ強化の構成をサーバー上で有効にすると、すべてのインターネット サイトに対するセキュリティ設定が [高] に設定されます。信頼する Web サイトの機能を利用できるようにするには、そのページを Internet Explorer で信頼済みサイト ゾーンに追加します。
- 追加するサイトに移動します。
- 追加するサイトを既に表示している場合は、手順 2 に進みます。
- 追加するサイトの URL がわかっている場合は、Internet Explorer を開き、アドレス バーにサイトの URL を入力し、サイトが表示されるまで待ちます。
- [ファイル] メニューで、[このサイトを追加]、[信頼済みサイト ゾーン] の順にクリックします。
- [信頼済みサイト] ダイアログ ボックスで、[追加] をクリックしてサイトを一覧に移動します。次に [閉じる] をクリックします。
- ページを更新して、その新しいゾーンからサイトを表示します。
- ブラウザのステータス バーを見て、そのサイトが信頼済みサイト ゾーンのサイトであることを確認します。
Google ツールバーをインストールするときもこのやり方で十分なはずです。Google 側は上記に加えて信頼すべきドメイン (おそらくは toolbar.google.com) を指示する必要があるでしょうが、それだけです。指示は決して難しくありません。また、その指示によってユーザが他のサイトで被害を受けるということも起きません。それで何も問題はないと思いますが、担当者があえて信頼済みサイトゾーンを使わせず、インターネットゾーンのセキュリティレベルを下げさせようとしているのは何故なのかはよく分かりません。単に Windows Server 2003 のドキュメントを読んでいないだけなのかもしれませんが、何か他に積極的な理由があるのでしょうか?
Windows Server 2003 以外の OS で IE を ActiveX 無効にしているケースというのも、たいていは「信頼済みサイトゾーンのレベルを中にしておき、ActiveX を使いたいときは信頼済みに登録する」という運用をしているのではないかと思います (私もそうです)。その場合は、セキュリティレベルを下げる指示をされても単に無視するだけになります。セキュリティレベルを下げる指示は「指示が必要な人には無視されて、指示が不要な人に危険な設定をさせる可能性がある」というものになっていて、百害あって一利無しなのではないかと思いますが……。
※なお、Windows Server 2003 以外の OS では、信頼済みサイトゾーンのデフォルトのセキュリティレベルが低すぎるという問題がありますので注意が必要です。そのため、「信頼済みサイト」ゾーンを使う前に一度「中」レベルでリセットしてやる必要があります。
※余談ですが、Windows Server 2003 では *.update.microsoft.com をはじめとするいくつかの Microsoft のサイトが最初から信頼済みに登録されています。ずるいような気もしますが、そうしないと Windows Update が動作しないからでしょう。
- 「信頼済みサイトゾーンを使わせない……?」へのコメント (3件)
関連する話題: セキュリティ / Windows Server 2003
