全面解析IE 7安全特性

互联网 | 编辑: 杨剑锋 2006-07-23 00:00:00转载 一键看全文

IE保护模式

谈到Windows Vista的IE 7安全特性,必须首推其保护模式功能。这个Feature的来头可不小,据说是盖茨亲自点将,可见其重要性。

如果您看过笔者的Webcast《IE浏览器的最佳安全保护》,可能会喜欢Windows XP的LUA(最小帐户特权)功能,既方便又安全。但是毕竟这种LUA兼容性不大好(例如无法在线安装合法的插件)。

而只有Windows Vista的IE保护模式,才是真正可以做到既方便、又安全,同时又兼容!

IE保护模式实际上依赖于Windows Vista三大安全特性:UAC(用户帐户保护)、MIC(强制完整性检测)和UIPI(用户界面特权隔离),这也是为什么独立版本的IE 7无福享受的原因。

通俗的来说,保护模式可以让IE运行在最低的特权级别下,比其他任何进程都低。运行在保护模式下的IE进程、IE进程里的插件、还有网页里的代码,根本没有权限干坏事。IE进程“不得入内”的地方包括:用户配置文件夹、HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER等,难怪恶意代码会感到处处掣肘!

更加值得称道的是,保护模式的IE还有很好的兼容性。

提供两个“代理人”(Broker Process):

一个叫做IEUser.exe,专门帮助IE打理需要普通用户权限的工作,例如保存文件到配置文件夹。

另一个叫做IEInstal.exe,专门帮助IE处理需要管理员特权的任务,例如安装IE插件等等。

除此之外,还提供兼容层功能,可以把文件和注册表的读写重定向到一个低特权(Low Rights)的地方,这有点类似于UAC的重定向功能。

除了“Trusted Sites”外,其他安全区域都默认启用保护模式。有时候可能不希望对某个网页启用“保护模式”,这时候可以关闭“Internet”安全区域的“Enable Protected Mode”选项,如附图所示。需要注意的是,对于Build 5374以前的Windows Vista,必须单击“Custom Level”按钮,然后在弹出的对话框里Disable掉“Protected Mode”选项。

另外,值得一提的是,这个Feature的原名为Low Rights,后来才改名为Protected Mode。从中也可以体现微软一贯的匠心独具,贴近最终用户。尽管Low Rights的原名更能体现其技术本义,但是很显然,对于最终用户来说,弗如Protected Mode容易理解。

类似的例子还有很多,例如BitLocker,原名Secure Startup;而Windows Defender,原名Windows AntiSpyware;再比如UAC(用户帐户保护)的Feature,最初名为LUA(最小帐户特权)、后来改名为UAP(用户帐户保护)、最后才定名为UAC。

可见,微软于大关节,固然纵横捭阖,颇具“大江东去”的手笔;而于枝蔓处,亦求细致入微,深得“晓风残月”的韵致。侠之大者,原当有此巨眼。

提示 有关IE 7保护模式,笔者将会再撰写一篇文章,进一步讨论有关信息。

提示:试试键盘 “← →” 可以实现快速翻页 

一键看全文

本文导航

相关阅读

每日精选

点击查看更多

首页 手机 数码相机 笔记本 游戏 DIY硬件 硬件外设 办公中心 数字家电 平板电脑