セキュリティ基盤を刷新するVista権限モデルの影響度（1/3 ページ）

Windows Vistaではユーザー・アカウント・コントロール（UAC）機能により、ユーザーは必要最低限の権限で作業を行えるようになるが、Windowsのセキュリティ向上のためには、アプリケーション側の変更も必要になりそうだ。

[Michael Cherry，Directions on Microsoft]

　Windows Vistaでは、AppleのMac OS XやLinuxなどの競合OSと同様に、ユーザーはアプリケーションの実行などの日常的な作業を必要最低限の権限で行えるようになる。最低限の権限で作業を行えば、ミスや悪意あるソフトウェアによるコンピュータへの被害が限定されるが、多くのWindowsアプリケーションは、ユーザーが管理者権限を持っていると想定している。このためMicrosoftは、新しい権限モデルを実現するにあたっては、セキュリティや信頼性とアプリケーションの互換性のバランスをとらなければならないと考えている。

Windows権限モデルの現状

　Windows NT、Windows 2000、Windows XPではいずれも、さまざまなユーザーに、新しいアカウントの作成やソフトウェアのインストール、バックアップファイルのオープンなど、各種の権限を割り当てることができる。また、特別な権限を持ったユーザーアカウント（システム、ローカル、ネットワークサービス）をWindowsサービス・コントロール・マネージャ（SCM）で管理できるようになっており、SCMはすべてのユーザーやアプリケーションのための各種OSサービスおよびプロセスをこれらのアカウントで実行する。

　理想的には、ユーザーが管理者レベルの権限を持ったアカウントを使用するのは、以下のような管理作業を実行する間だけであるべきだ。

• OS（新しいドライバのインストールを含む）、OSコンポーネント、アプリケーションのインストールやアップグレード（新しいドライバのインストールを含む）
• OSやアプリケーションの重要なパラメータの構成（新しいユーザーアカウントの作成、ファイルアクセスの管理、システムログの保守など）
• OSやアプリケーションの修正（パッチやサービスパックのインストールなど）

　ユーザーが高い権限でOSを使用すると、誤って重要なOSファイルを削除したり、バグや脆弱性を悪用した攻撃を受けて、知らないうちに悪意あるソフトウェアをインストールされてしまうことが起こり得る。例えば、管理者としてコンピュータを使っているユーザーが、リモートコントロールプログラムをひそかにインストールするWebページにアクセスしてしまうことがあるかもしれない。ブラウザとアプリケーションインストーラはユーザーの権限で、つまりこの場合には強力な管理者アカウントの権限で動作するため、この悪意あるソフトウェアがインストールされ、コンピュータの制御を完全に奪う恐れがある。そうなれば、この悪意あるソフトウェアがOSの構成を変更したり、別の悪意あるソフトウェアを追加インストールしたり、コンピュータ上の任意のファイルの読み取りや変更を行ったり、自身の痕跡を隠して自身の検出をほぼ不可能にしたりする危険がある。

　これに対し、権限が限られているアカウントは、誤って重要なOSファイルを削除したり、システムの構成を変更したりすることはありえない。バグや脆弱性の悪用を試みる悪意あるソフトウェアも、攻撃対象がそうしたアカウントだった場合には、そのアカウント権限で許可されている作業しか実行できない。例えば、ソフトウェアのインストールが許可されていないアカウントを持つユーザーが、スパイウェアなど悪意あるソフトウェアに出くわしたとしても、そのソフトウェアは自身をコンピュータにインストールすることはできない。

　Windowsでは、ユーザーは必要最低限の権限でコンピュータを使うこともできるが、そうしている人はほとんどいない。その主な原因は、Microsoftが自社の開発者を含め、開発者に対し、最低限の権限での使用を考慮に入れてプログラムやアプリケーションを作成することを徹底しなかったことにある。多くのWindowsプログラムやアプリケーションでは、ユーザーはちょっとした作業でも管理者として行わなければならない。例えばWindowsでは、タイムゾーンを変更するには管理者権限が必要だ。Windowsの以前のバージョン（Windows 95など）はセキュリティアーキテクチャがなく、Microsoftができるだけ下位互換性を維持しようとした結果として、大抵のWindowsユーザーはデフォルト設定に従って管理者権限を持っている（ただし一部の組織ではグループポリシーを使って、ユーザーが行える作業を制限している）。例えば、Windows XPの最初のインストール時に作成されるユーザーアカウントは管理者レベルアカウントであり、後で作成される新しいユーザーアカウントも、デフォルトでは管理者レベルアカウントだ。