高木浩光＠自宅の日記

■ IE 7のセキュリティ改善を台無しにするIE 7 Beta2日本語版

「セキュリティで保護された」というと何を思い浮かべるだろうか。Windows用語のような気がするが、普通は、SSLによる接続（ https:// ページへのアクセス）のことを連想するだろう。（「セキュリティ（暗号化処理）で保護された接続」など。）

それはともかく、Internet Explorer 7 がさまざまなセキュリティ上の改良を施していることは既に報道等で伝えられているところだ*1が、報道されていないところとして、「インターネットゾーン」のセキュリティ設定の画面の改善がある。

凶悪設定3兄弟の改善

図1の「Download signed ActiveX controls」の部分は、日本語版で言うところの「署名済み ActiveX コントロールのダウンロード」という、悪名高い設定項目で、アホな業者がしばしばこれを「『有効にする』にせよ」と誤った設定を指示して人々を危険にさらしてきたものだ。

• 警察庁の指示がスパイウェア感染を招き金融被害をもたらしている可能性, 2005年7月22日の日記

  だが、警察庁の指示通りに「署名済みActiveXコントロール」の設定を「有効にする」に設定している人は、いくらWindows Updateをしていても、「サイトを閲覧するだけでスパイウェアをインストールされる」ことになる。当然、ウイルス対策ソフトも効かない。

  昨年7月24日の日記にも書いていたように、警察庁と同じ方法で大穴を開けさせているところは、昔からたびたび見つかっている。

• やってはいけないセキュリティ設定指示 Top 15 （Windows XP SP2編）, 2005年9月9日の日記

  	設定の指示	罪深さ	希少性	必然性
  1	「署名済みActiveXコントロールのダウンロード」を有効にしてください	凶悪	けっこうある	皆無
  2	「スクリプトを実行しても安全だとマークされていないActiveXコントロールの初期化とスクリプトの実行」を有効にしてください	凶悪	しばしばある	皆無
  3	「未署名のActiveXコントロールのダウンロード」を有効にしてください	凶悪	稀にある	皆無

これら凶悪設定トップ3は、そもそもそんな設定は不必要なのだから設定不可能なようにしてしまうべきだが、IE 7では一応の改善があった。図1のように、「Enable」（有効にする）の項目には「(not secure)」（安全でない）と補足が書かれており、「Prompt」（ダイアログを表示）の項目に「(recommended)」（推奨）と書かれている。

図1: IE 7 Beta 2のインターネットゾーンのセキュリティ設定画面（英語版）

そして、同図右のように、「(not secure)」な項目を選択すると、その設定項目部分の背景色が赤っぽくなり、項目タイトルの「Download signed ActiveX controls」の右の部分に、「(not secure)」と表示され、この項目が「安全でない」設定になっていることを警告するようになった。

今後ユーザは、ここが「赤くなるような設定で使ってはいけない」ということになる。

そして、IE 7 Beta 2の日本語版が先日リリースされた。この画面がどうなっているかを確認したところ、図2のようになっていた。

図2: 図1の日本語版での翻訳

なんだこの「（セキュリティで保護されていない）」というのは。SSLが使われていないとでも言いたいのか？

マイクロソフトの日本語化係の人は、「安全でない (not secure)」という言葉をどうしても使いたくないのだろうか。*2

クリップボード盗聴機能の改善

次に、IE 7では、クリップボード盗聴の問題がやや改善された。

IEはデフォルト設定（「スクリプトによる貼り付け処理の許可」を「有効にする」の設定）のまま使うと、悪意あるサイトを訪れたときに、クリップボードの内容（コピーペーストして入力したパスワードや、会社の機密文書の編集内容など）を盗まれてしまう問題があった。これは1999年から指摘されていたのに一向に改善される様子がなかった。

• Internet Explorerの「スクリプトによる貼り付け処理」機能の能力を検証する

それが、IE 7 Beta2では、この「スクリプトによる貼り付け処理の許可」のデフォルト設定が、図3のように「ダイアログを表示する」に変更された。

図3: クリップボードアクセス機能の設定（日本語版）

この設定で、クリップボードにアクセスするJavaScriptを含むページを表示すると、図4の確認ダイアログが出る。

図4: クリップボードにアクセスする際の確認ダイアログ（IE 7 Beta2の場合）

IE 6での確認ダイアログのメッセージ（図5）と違って、意味がわかるようになった。

図5: クリップボードにアクセスする際の確認ダイアログ（IE 6の場合）

ただし、IE 6 のインストールされた Windowsに IE 7 を上書きインストールした場合、IE 6の設定が引き継がれるようなので、何も知らない人は（IE 7をインストールしても）この設定は「有効にする」のままとなるおそれがある。「IE 7をインストールしたらインターネットゾーンのセキュリティ設定をリセットしよう」と推奨するのがよいかもしれない。リセットは図6のように「既定のレベル」ボタンを押せばよい。

図6: 「既定のレベル」ボタンを押してインターネットゾーンのセキュリティ設定をリセットする

ところで、その「スクリプトによる貼り付け処理の許可」という設定項目は、いかにも意味不明なタイトルだった。「貼り付け」とうのがコピーペーストのペーストのことであることがまずわからないうえ、「スクリプトによるペースト」と言われてもなんのことだかわかるわけがない。

それが、英語版のIE 7 Beta2 では改善された。図7のように、「Allow Programmatic clipboard access」というタイトルに変更されたのだ。日本語訳すれば、「プログラムによるクリップボードへのアクセスの許可」といったところか。

図7: クリップボードアクセス機能の設定（英語版）

この改善がなぜか、同じバージョンの日本語版ではスキップされている。