Internet Explorerは長らく、セキュリティが最も低いブラウザとして非難されてきました。IEが廃止され、Windows 10ではEdgeブラウザに重点が置かれることになり、Microsoftは現状を一変させ、Internet Explorerを最も安全なブラウザの一つにしようと計画しています。
策略からの防御
パスポート
悪意のあるハッカーがデータを盗む最も一般的な方法の 1 つは、フィッシング、つまりユーザーが訪問しようとしていたサイトに似ている偽の Web サイトにログインとパスワードを入力するようにユーザーを騙すその他の方法です。
これらの攻撃を軽減する方法はいくつかあります。例えば、ウェブサイトにアドレスバーに企業名を表示する認証を取得させることなどです。これにより、ユーザーはアクセスしたアドレスが本当に探していたアドレスであることを信頼できるようになります。しかし、Microsoftによると、ハッカーはこれを回避できる場合もあるとのことです。
Microsoftは先日、Web向けのパスワードレス認証「Passport」を発表しました。Passportを使用すると、ユーザーはPIN番号（PCまたはモバイルデバイスに内蔵されたチップでのみ使用可能）または指紋や顔認証（Microsoftのローカル認証プロトコル「Hello」経由）のいずれかを使用してWebサイトにログインできます。
スマートスクリーン
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
MicrosoftはInternet Explorer 8の導入以来、Smartscreenマルウェア対策ウェブフィルターを提供しています。そして今、EdgeブラウザとWindows 10シェルの両方にこの機能を追加しました。Smartscreenは、Microsoftが感染していると認識しているウェブサイトをフィルタリングします。これはChromeとFirefoxにも以前から搭載されている機能です。万能薬とまでは言えませんが、ウェブ上で必要な保護層を追加します。
証明書の評判
「証明書レピュテーション」は、Microsoftが昨年IE11向けに発表した機能であり、サーバー証明書の信頼性を検証するSmartscreenの拡張機能です。ユーザーが「証明書レピュテーション」をサポートし、Smartscreenフィルターを有効にしたブラウザでWebを閲覧すると、Microsoftにサイトの証明書に関するデータが提供されます。特定のWebサイトに対して別の証明機関から新しい証明書が発行された場合、Microsoftは自動的にその証明書にフラグを付けることができます。
これは良いアイデアのように思えます。ユーザーは偽造証明書から身を守るために何もする必要がなく、また非常に拡張性が高いからです（Google Chromeの証明書ピン留めは、少数のウェブサイトでしか機能しません）。唯一の問題は、Microsoftが誤った証明書をブロックしてしまう場合があることです。Microsoftは、フラグが付けられた証明書についてサイトの所有者に通知するため、この問題は大幅に軽減されるはずです。
願わくば、MicrosoftもGoogleやMozillaに続き、証明書の透明性（CT）システムに参加することを期待しています。CTは、デフォルトでよりクリーンな証明書システムを構築するだけでなく、Microsoft独自の証明書評価システムの有効性を向上させる可能性さえあります。なぜなら、CTによって「悪質な」証明書の発見がはるかに容易になるからです。したがって、CTは競合する技術ではなく、補完的な技術であるべきです。
現代の基準
Microsoftは、Internet Explorerの不要な機能をすべて廃止し、最新のWeb標準を強力にサポートする新たなスタートを切ることに尽力しています。これにより、コードが簡素化され、セキュリティホールが存在する可能性のある箇所が減少するため、Edgeのデフォルトのセキュリティも向上するはずです。
マイクロソフトは、Web向けの2つの最新セキュリティ標準、コンテンツセキュリティポリシー（CSP）とHTTP Strict Transport Security（HSTS）の導入も計画しています。CSPにより、Web開発者は特定の種類のコンテンツをWebブラウザが特定のページで読み込むことができるホワイトリストを作成できるようになり、非常に一般的なクロスサイトスクリプティング（XSS）攻撃の防止に役立ちます。
ブラウザハッキングの防御
ツールバー、VBスクリプト、ActiveXは不要
ActiveXはInternet Explorer（IE）の開発者に多大な苦痛を与えてきました。おそらくIE史上最も悪用された技術の一つでしょう。新しいEdgeブラウザでは、セキュリティ上の脆弱な独自技術をすべて廃止します。代わりに、Microsoftはブラウザ拡張機能にHTML5/JSモデルを採用します（同社はWindows 10の市場投入後にこれを開始する予定です）。
エッジはサンドボックス内に存在する
Edge ブラウザは実際にはストアの「アプリ」であり、Internet Explorer のような Win32「プログラム」ではないため、アプリのサンドボックス化や暗号署名 (ダウンロードするアプリが改ざんされていないことを確認する) など、Windows ストア アプリのすべてのセキュリティ機能を利用できます。
Microsoftはブラウザ全体をサンドボックスで保護するだけでなく、すべてのウェブページを専用の「アプリコンテナ」で開くようにします。これにより、EdgeのサンドボックスはChromeよりもさらに強力になる可能性があります。Chromeは現在、ページや拡張機能をアプリコンテナほど安全ではない別プロセスで処理しているためです。
もちろん、これはWindowsにこれまでアプリコンテナが存在しなかったためであり、Googleもこれを採用できる可能性があります。しかし、GoogleはWindows 10向けに、以前のバージョンのWindowsとは「異なる」Chromeを開発する必要があるでしょう。Microsoftはすべてのユーザーをできるだけ早くWindows 10に移行させたいと考えているため、Googleがこのモデルの採用を待つ理由はありません。Mozillaも同様で、独自のマルチプロセスサンドボックスモデルをまだ導入していません。
64ビットセキュリティ
Microsoftは、Windows 10において、64ビット対応マシン（過去10年ほどに発売されたすべての新型PC）に64ビット版のEdgeのみをインストールすることで、機密メモリを悪用したEdgeブラウザへの攻撃を大幅に困難にします。アプリが64ビットの場合、アドレス空間がはるかに広くなるため、ASLR（アドレス空間レイアウトのランダム化）保護は飛躍的に強化されます。
メモリ破損の防御
メモリGC
先日、MicrosoftがWindows 10にEMETのセキュリティ機能をデフォルトで実装すべき理由について記事を書きました。不注意に記述されたC/C++コードによって発生するメモリ破損の脆弱性は、現状のままでは到底容認できるものではありません。多くの攻撃者は、これらの脆弱性を悪用してゼロデイ攻撃を仕掛け、Windowsの他の保護機能を回避しています。EMETは、この種の脆弱性に対する保護に大きく貢献します。
MicrosoftはWindows 10にEMETをデフォルトで追加するわけではありませんが、C++プログラムにガベージコレクターを追加するような仕組みを導入するようです。ガベージコレクターは、Javaなどの一部の言語で、多くのメモリ破損バグから保護するために使用されています。しかし、通常はパフォーマンスの低下を伴うため、多くの開発者は依然としてC++コードで記述することを好んでいます。
MicrosoftのMemGCガベージコレクターがパフォーマンスに大きな影響を与えるかどうかは興味深いところです。もしそうでなかったとしても、多くのWindowsアプリやプログラムのセキュリティに大きなメリットをもたらす可能性があります。
制御フローガード
コントロールフローガードは、攻撃者がメモリ破損バグを悪用することをより困難にするVisual Studioのテクノロジーです。このテクノロジーはすでに1年前から利用可能になっていますが、Edgeブラウザではそのすべての安全機能がデフォルトで動作します。
バグバウンティプログラム
マイクロソフトは、ユーザーに Windows 10 と Edge ブラウザを出荷する前に、セキュリティ研究者にバグの発見と報告を促す「Windows 10 Technical Preview ブラウザ バグ バウンティ」プログラムを提供する予定だ。
マイクロソフトは今回のブラウザで「正しいものを作る」ことにかなり力を入れているようです。競合他社に遅れをとることなく、むしろいくつかの分野ではリードしています。その一つがセキュリティであることは喜ばしいことです。
@tomshardware 、 Facebook 、 Google+でフォローしてください 。
