メディア

VistaのUAC、今後の開発者方針に影響――米アナリストの指摘

まだこの問題は収束していないのか？　UAC（ユーザーアカウント制御）機能をめぐり、Vistaのアプリケーション開発者が困惑している。アナリストのマクドナルド氏は、UACの問題点について語った。

» 2007年06月11日 17時48分公開

[Lisa Vaas，eWEEK]

　「Windows Vistaの新しいセキュリティ機能をめぐって人々に混乱をもたらしているのが、ユーザーアカウント制御（UAC）機能だ」――6月4日にワシントンで開催されたGartner主催の「IT Security Summit」において、同社のアナリストであるニール・マクドナルド氏は、Vistaの導入に関するプレゼンテーションでこのように指摘した。

　「UACの目的は何なのかという問題をめぐって多くのユーザーが混乱している」とマクドナルド氏は語る。

　正確にはUACは単一の機能ではない。UACは、アプリケーションやユーザーが未承認のシステム変更を行うのを制限するためにVistaが備える一連の機能を指す。この制限は、ユーザーが管理者としてシステムを使用しているか、標準ユーザーとして使用しているかにかかわらず適用される。

　「あるソフトウェアがユーザー認証を要求した場合でも、その認証情報を無条件でほかのソフトウェアに渡すべきではない、というのが基本的な考え方だ」（マクドナルド氏）

　UACの存在理由は基本的に、管理者権限を自由に認めていたアプリケーションの悪しき習慣を新OSで是正することにある。この悪弊がマルウェア作成者の仕事を楽にしてきたからだ。「ユーザーが管理者権限を持っていなければ、悪質なコードの効果は大幅に弱まるだろう」とマクドナルド氏は語る。

　Microsoftは当初、Windowsのセキュアな新時代を象徴するものとしてUACを宣伝した。しかしUACはソーシャルエンジニアリング攻撃に弱いとセキュリティ研究者らが指摘したことで、このセキュリティ機能の評判は色あせた。

　Microsoftもこの脆弱性を認め、UACはセキュリティ機能に過ぎず、ファイアウォールのような強固なセキュリティ境界ではないと釈明している。

　UACの目的は、ユーザーのデスクトップ操作のほとんどについてユーザー権限をできるだけ制限することにある。ユーザー権限は管理タスクに必要な場合にのみ昇格される。その際にはダイアログボックスが表示され、ユーザーに昇格の承認を求める。攻撃者に足掛かりを与えるOSの側面が少なくなるという点から考えれば、通常操作時の権限を制限するのはいいことだ。

　マクドナルド氏によると、悪質なコードの効果を抑制するのに加え、UACによる最大の影響として、開発者の方針が変化し、実行に際してユーザーに管理者権限を要求しないアプリケーションを開発するようになることが予想されるという。

　「将来的に、ユーザーはすべてのアプリケーションベンダーに対して、管理者権限がなくても実行できるアプリケーションを提供するよう求めるだろう」（同氏）

　「UACの導入に際して企業が直面する可能性のある最大の問題は、社内の力関係をめぐる問題だ」とマクドナルド氏は指摘する。UACを導入すれば、管理業務として分類されるタスクには管理者の承認が要求されるからだ。「IT部門は、ユーザーが自分の“パーソナル”コンピュータ上で行うことが許される操作を実際に制限できるのかと自問すべきだ」と同氏は語る。

　「UACの導入に際しては、ユーザーが自分の作業環境を拡張するのを妨げないようにすることが望ましいが、ユーザーのコンピューティング環境に対する全面的なコントロールを実施するに際しての社内の力関係を見過ごしてはならない」（同氏）

　リダイレクションが機能しないアプリケーションも要注意だ。UACはこういったアプリケーションをサポートしないからだ。

　また、標準ユーザーがActiveXなどのブラウザ拡張機能をInternet Explorerにインストールするのも難しくなる。マクドナルド氏によると、企業は臨機応変にホワイトリストを修正したり、要求されたブラウザ拡張機能をリモートでインストールしたりする必要があるという。

　Vistaを導入する企業は、標準ユーザーが今後も任意のソフトウェアをインストールできることを忘れてはならない。「全員を標準ユーザーにしておけば、彼らは標準的なアプリケーションをインストールできないだろう、というのはよくある誤解だ」とマクドナルド氏は指摘する。このため、アプリケーションのコントロールにはサードパーティーのソフトウェアを利用する必要があるかもしれないという。

　さらにマクドナルドは、UACの導入に関して以下のようなアドバイスも示した。

Windows Vistaへの移行を、より多くのユーザーが「標準ユーザー」になるのを促す手段として利用する。これはすべてのユーザーに適切だとは言えないかもしれないが、多くのユーザーにとって適切である。
管理者権限を持つユーザーに対しては、管理操作を実行しようとしたときに承認を要求する。
深刻な脆弱性がMicrosoftから発表されたときには、その悪質なコードがユーザーのコンテキストでの動作に制限されているか確認する。
コンピュータ環境を「施錠」するのが目的であれば、UACは不十分であり、サードパーティーツールが必要である。