IEと同じ運命をたどるのか

新ブラウザ「Microsoft Edge」は、IEの“危険イメージ”を払拭できるか

次期OS「Windows 10」には、「Internet Explorer」の後継となる新ブラウザ「Microsoft Edge」が搭載される。これにより、同社ブラウザが抱えるセキュリティ問題を解消し、ユーザーに対するイメージを払拭することができるのだろうか。

公開 2015年05月26日 08時03分

著者

Sharon Shea

[TechTarget]

印刷する

Microsoft Edgeの画面《クリックで拡大》

　米Microsoftは、次期OS「Windows 10」で「Internet Explorer」（以下、IE）に代わる後継ブラウザを搭載することを明らかにしている。それに対し、一部では同社の対応が不十分であるとか、遅すぎたのではないかという声もある。

　企業システムとの互換性を維持する目的として、今後もIEを利用できる見込みだ。だが、基本的には一から設計された新ブラウザがWindows 10の全エディションで標準となるだろう。

　“反応が良くて最新式”の「Microsoft Edge」（以下、Edge）は、同社のブラウザが長年にわたって直面してきたセキュリティ問題を解消することができるのだろうか、それともIEと同じ運命をたどるのだろうか。

Microsoft Edgeのマークアップ機能《クリックで拡大》

　Microsoftでは、こうした不安を取り除くための取り組みとして、「ますます複雑で巧妙化する攻撃」からユーザーを保護する技術を解説したブログを投稿している。

　Edge（以前は「Project Spartan」と呼ばれていた）には、フィッシング攻撃やブラウザのハッキングを阻止するための機能が数多く備わっている。だが、同社ブラウザのセキュリティに対してユーザーが抱くイメージを払拭するのに十分なのだろうか。

フィッシング攻撃から身を守る

　フィッシング攻撃やソーシャルエンジニアリング攻撃などからユーザーを保護するため、Edgeでは非対称暗号方式を用いた「Microsoft Passport」を使用する。これは煩わしいパスワードに代わってPINまたは生体認証を利用するものだ。

　Edgeには、「EdgeHTML」と呼ばれる新しいレンダリングエンジンが搭載される。W3C標準に準拠したコンテンツセキュリティポリシーを使うことで、クロスサイトスクリプティングやフィッシングといった攻撃を防ぐことができる。また、Webサイトへのセキュアなアクセスを保証するHTTP Strict Transport Securityをサポートする。

　他にも、潜在的に悪意のあるWebサイトをブロックする「Microsoft SmartScreen」、不正な証明書を使用したWebサイトから保護する「Microsoft Certificate Reputation」といった防御策を備える。

ブラウザのハッキングを回避する

　Edgeでは、ブラウザ攻撃への対策を強化するため、DOM表現を“徹底的に見直し”する予定である。攻撃に対する耐性をコードに付けることができる。

　VML、VBScript、ツールバー、Browser Helper Object（BHO）、ActiveXなどの攻撃対象になりやすい拡張機能をサポートしない方針だ。その一方で、HTML5に対応することで「機能の豊富さ」だけでなく、「ブラウザ間の相互運用性」も実現する。

　EdgeはユニバーサルWindowsアプリとして提供される。外部の管理プロセスと各種のコンテンツプロセスは、サンドボックス内で処理される仕組みとなっている。また、64ビットシステム上の64ビットプロセスとして動作する。開発者によれば、これによりセキュリティ機能のASLR（アドレス空間配置のランダム化を「飛躍的に強化」することになるという。

　解放済みメモリ使用の脆弱性に備えるMemory Garbage Collector（MemGC）、メモリ破損攻撃が襲い掛かる可能性がある場所を制限するControl Flow Guard（CFG）といった他のコントロールも備える。