私の世界・知らない世界―インターネット・エクスプローラの脆弱性！？

パソコンを使っている人は、ほとんど誰でも使っている（利用シェア60％の閲覧ソフト）インターネット・エクスプローラが危機に直面という話ですが、『マイクロソフト社は4月28日、「Internet Explorer の脆弱性により、リモートでコードが実行される」というセキュリティ警告を発表』というものです。

これは先ごろ話題の”ＸＰのセキュリティ問題”のことではありません。「IE（インターネット・エクスプローラ）のバージョン6以降、最新版のバージョン11まで、すなわち現在稼働している、ほぼ全てのIEで確認されている」ということです。

恐れていたことの始まり？　かも、知れません。インターネットやパソコンなど、人は“便利さ”を求めると、必ず便利な道具に復讐されるものです。

自分の仕事、飯の種であったコンピュータや業界を悪くいいたくないのですが、ウィンドウズというか？　マイクロソフトを始め、ＯＳメーカーはＯＳの開発にあたり、いわば最低のコンセプトを持ちます。売るために“便利”や“人にやさしい”、“見てくれ”を目標として設定、いわば“媚を”売ることに徹してしまいます。それが基本的に間違いで、「シンプル　イズ　ベスト」を目標にすべきだったのです。

そして、怪しいことにインターネットの応用技術は、個人情報の秘匿を許しません。自分の寝室や寝床に、知らぬ間に他人・企業、そしてＸ？？　が侵入して、何かを工作しても人々は平気？　で、ほとんど知らないのです。

今回のIE問題は、「“世界的震撼”の始まり！！」と後世の人が考えそうなのが一番心配なことです。つまり、始まったばかりです。

『マイクロソフト｢IE｣の脆弱性に世界震撼（東洋経済ＯＮＬＩＮＥより）

"インターネットへの入り口"が大きく揺れている。米マイクロソフト社製ウェブブラウザInternet Explorer（IE）に発覚したセキュリティホール（安全性に関する脆弱性の問題）が波紋を拡げているのだ。

同社は4月28日、「Internet Explorer の脆弱性により、リモートでコードが実行される」というセキュリティ警告を発表。このセキュリティホールを利用すると、第三者がIEでアクセスしたコンピュータ上でプログラムコードを動かしたり、意図しないウェブコンテンツへと誘導することが可能になる。IEのバージョン6以降、最新版のバージョン11まで、すなわち現在稼働している、ほぼ全てのIEで確認されている。

米国土安全保障省（DFS）のコンピュータ緊急対応チームは、今回の問題がコンピュータ内の使用済みメモリ領域を自由に使えてしまうなどの問題、IE6～11への攻撃などを確認した上で、「代替策として有効な対応策がマイクロソフトから発表されるまでは、IE以外の代替ブラウザを使用することを推奨する」と発表した（詳細はここをクリック）。

DFSのアドバイスにあるように、もっとも有効かつ確実な対応策は、IE以外のブラウザを使用すること。グーグルのChrome、モジラファウンデーションのFirefox、オペラソフトウェアのOperaなどが代表的な例だ。しかし、一部のブラウザソフトは独自のユーザーインターフェイスを提供するだけで、実際のブラウザアクセスにはIEを用いている場合もあるので、注意が必要だ。アプリケーション内から自動的にIEを呼び出している例もあるので、チェックしなければならない。

最善の方法は、IEを使わないこと。しかし、現実問題としてIEでしか正常に動作しないアプリケーションを抱えている企業も多いはずだ。そこで、代替ブラウザが活用できる範囲、かつイントラネットではなく外部へ接続を行う場合には、可能な限り代替のブラウザを使う、というのが現実解だ。IEを使用する場合には、問題に対応したIEを出荷するまでに有効な緊急対応策を、マイクロソフト自身が発表している。

IEを使い続けるためには

ではIEを使い続けるためには、どうすればいいか。

もっとも推奨したいのは、EMET(Enhanced Mitigation Experience Toolkit)4.1のインストールである。EMETは未知の脆弱性を含め、インターネットアクセスに伴う危険性を緩和するためのツールだ。EMETは現時点で英語版しか用意されていないが、日本語環境でも問題なく使用できる。EMETの日本語関連情報、ダウンロード方法などはここにまとめられている。

EMETはIEを通じた攻撃を直接防ぐのではなく、攻撃によって生じる”任意のプログラムコードの実行”を妨げる緩和ツールだ。したがって、EMETをインストールすることで動かなくなるアプリケーションが出てくる可能性もあるが、一般的なアプリケーションの動作範囲ではほとんどは問題にならない。

もしEMETで必要なアプリケーションが動作しない場合は、次にマイクロソフトが推奨しているセキュリティ設定の変更で対応することもできる。なお、EMETのインストールは推奨設定のままで今回の脆弱性を防ぐことは可能で、他の作業は必要ない。上記のDFSコンピュータ緊急対応チームでも、このツールのインストールを推奨している。

ただし、注意点がある。Windows XPに対しては今回の問題に対するセキュリティ対策が提供されない。この際、サポート期限が切れたXPを卒業し、新しいOSへ移行することを真剣に検討するべきだろう。

このほか、IEのセキュリティ設定を「高」にすることで、ActiveXコントロールおよびJavaScriptの動作を抑制することでも対応が可能だ。[インターネットオプション] －[セキュリティ] タブで設定できる 。

しかし、この方法ではこれまで使っていたアプリケーションが動作しなくなる場合も多い。代替ブラウザではなくIEを使用する目的が「IEでしか動作しない社内アプリケーション」などであるなら、セキュリティ設定を「高」に設定した上、「信頼済みサイト」へ必要アプリケーションのURLを登録することで利用できる。

さらに、今回の問題に関連していると考えられる「VGX.DLL」というシステム用ファイルの登録を解除する方法もマイクロソフトは提示している。が、VGX.DLLは一部のアプリケーションが正常に動作をするために必要なファイルでもあるため、将来的に元に戻さなければならないので、手を加えるとのちのち面倒が起きるかもしれない。設定のハードルもやや上がるため、上記二つの対策のうちいずれかを施した後、IEを必ずしも必要としないサイトには代替ブラウザを用いるのが良い。 

なお、今回のようなセキュリティ対策が拡がる前に攻撃が行われることを「ゼロデイアタック」という。今回は攻撃対象がひじょうに多くのバージョンに渡っており、実際に米金融機関への攻撃も確認されるなど波紋が拡がった。IEでしか動作しないアプリケーション、サービスが数多く存在することも、波紋の大きさを拡大する要因になっている。

マイクロソフトへの影響

それであれば、「今後はIEを使わなければいい」という解決策がありえるのだろうか。実は、そうではない。

未知の問題を使ったゼロデイアタックは、IE以外を通しても行われており、IEだけが特別に脆弱性が多いわけではない。言うまでもないことだが、今回紹介したEMETを活用するなどの対策を行い、セキュリティ情報に耳を傾け、自分の使っているブラウザの種類とバージョン名を常に意識することが必要だ。社内での情報共有をしっかり行うことも求められる。

インターネットへアクセスしているブラウザソフトを分析すると、マイクロソフトのIEは60％近いシェアを誇る。2位、3位はFirefoxとChromeが17％前後で横並びとなっており、圧倒的なトップシェアだ。それだけ狙われやすいポジションにあるわけだが、スピーディに脆弱性をふさぐパッチをリリースできれば、マイクロソフトの経営に与える影響は、限定的だ。

マイクロソフトでは2月にサティア・ナデラCEOが就任。新しい経営体制が動き出したばかり。その出ばなをくじくような被害が発生しないことを祈っていることだろう。』