【ITニュース解説】Microsoft Edge to block malicious sideloaded extensions

今日のニュースは、MicrosoftがウェブブラウザのEdgeに導入を計画している新しいセキュリティ機能についてだ。この機能は、「サイドロード」された悪意のある拡張機能からユーザーを保護することを目的としている。システムエンジニアを目指す皆さんにとって、ブラウザのセキュリティは非常に重要なテーマなので、この変更が具体的に何を意味するのか、そしてなぜそれが重要なのかを詳しく見ていこう。

まず、「ウェブブラウザ拡張機能」とは何かから説明する。ウェブブラウザ拡張機能は、ブラウザの機能を強化するための小さなプログラムのことだ。たとえば、広告をブロックしたり、パスワードを管理したり、翻訳をしたりと、様々な便利な機能を追加できる。多くのユーザーが日々これらの拡張機能を利用しており、ウェブ体験をより快適にしている。しかし、その便利さの裏には、セキュリティ上のリスクも潜んでいる。

次に、今回のニュースの中心である「サイドロード」という言葉について解説する。通常、ブラウザ拡張機能をインストールする際には、Google ChromeならChromeウェブストア、Microsoft EdgeならEdgeアドオンといった、各ブラウザの公式ストアを利用する。これらの公式ストアでは、公開される拡張機能が事前にセキュリティチェックを受けているため、比較的安全に利用できる。しかし、サイドロードとは、このような公式ストアを経由せずに、開発者が直接ファイルとして拡張機能をインストールする方法のことだ。これは、例えば開発者が自分で作った拡張機能をテストしたり、企業が特定の業務のために社内専用の拡張機能を配布したりする際に利用される。しかし、残念ながらこのサイドロードの仕組みは、悪意のあるソフトウェア、つまりマルウェアをユーザーのブラウザに忍び込ませる手口としても悪用されてきた。

悪意のある拡張機能がサイドロードされると、ユーザーのブラウジング履歴を盗んだり、個人情報を収集したり、フィッシングサイトに誘導したり、望まない広告を表示したり、さらにはパソコン自体を乗っ取るための足がかりになったりと、深刻な被害をもたらす可能性がある。ユーザーは普段使っているブラウザが突然不審な挙動を示し始め、知らぬ間に被害に遭ってしまうケースも少なくない。

Microsoft Edgeはこれまでも、サイドロードされた拡張機能が有効になっている場合、「開発者モード」がオンになっていることをユーザーに警告表示してきた。開発者モードとは、主に開発者が拡張機能をテストするために使う特殊な設定だ。しかし、この警告表示だけでは不十分だった。なぜなら、多くのユーザーはその警告の意味を十分に理解していなかったり、あるいは誤って開発者モードをオンにしてしまい、そのことに気づかずにセキュリティリスクにさらされていたりしたからだ。悪意のあるプログラムは、ユーザーをだまして開発者モードをオンにさせたり、ユーザーが気づかないうちにこのモードを有効にしたりする手口を使うこともあった。

そこでMicrosoftは、これらの脅威からユーザーをより強力に保護するために、新しいセキュリティ機能を導入する計画だ。この新機能はいくつかの段階で動作する。

まず、もしEdgeの「開発者モード」がオフになっている状態でサイドロードされた拡張機能が検出された場合、その拡張機能は自動的にブロックされ、実行されることはない。これにより、ユーザーが意図せず悪意のある拡張機能をインストールしてしまうリスクが大幅に低減される。

次に、もしユーザーが「開発者モード」をオンにしている場合でも、過去にサイドロードされた拡張機能は自動的に無効化される。つまり、ユーザーが明示的に「この拡張機能を使いたい」と許可しない限り、これらの拡張機能は動作しないようになる。これは、開発者モードをオンにしているユーザーであっても、改めて拡張機能の利用について意識させ、不要なリスクを避けるための措置だ。ユーザーは無効化された拡張機能を再有効化するために、設定画面で改めて操作を行う必要がある。

さらに、特に注目すべき点は、悪意のあるマルウェアがよく使う手口への対策だ。一部のマルウェアは、Windowsのレジストリやグループポリシーといったシステムの設定を不正に操作し、ユーザーが気づかないうちにブラウザ拡張機能を強制的にインストールしようとする。新しいセキュリティ機能では、このような方法でインストールされた拡張機能に対しては、たとえ開発者モードがオンになっていたとしても、より厳格な対応がとられる。これらの拡張機能は強力にブロックされるか、無効化されることになる。この対策により、悪質なプログラムがユーザーの同意なしにブラウザを乗っ取ることを非常に困難にする。

システムエンジニアを目指す皆さんは、企業や組織のシステムを管理する立場になることも多いだろう。企業環境では、特定の業務に必要な拡張機能を従業員のブラウザに一括で配布するケースがある。この新しいセキュリティ機能が導入されても、エンタープライズ環境、つまり企業や組織内で管理者が配布する正規の拡張機能については、この制限の対象外となるように配慮されている。管理者はグループポリシーなどの管理ツールを使って、これらのセキュリティ制限を上書きし、必要な拡張機能が問題なく動作するように設定できるため、企業内での業務に支障が出ることはない。これは、セキュリティと利便性のバランスを考慮した設計と言える。

今回のMicrosoft Edgeのセキュリティ機能強化は、ユーザーがより安全にウェブを利用できるようにするための重要な一歩だ。ブラウザはインターネットの入り口であり、日々の業務やプライベートで最も多く利用するソフトウェアの一つだ。そのため、ブラウザのセキュリティは、パソコンやネットワーク全体のセキュリティを考える上で非常に根本的かつ重要な要素となる。システムエンジニアとして、このようなブラウザのセキュリティ機能や、マルウェアがどのように侵入し、どのように防御されるのかという知識は、安全なシステムを設計・構築・運用するために不可欠なものとなるだろう。常に最新のセキュリティ動向に目を向け、ユーザーを保護するための技術や仕組みを理解しておくことが大切だ。