Erweiterter geschützter Modus

IEBlog Deutsch

Blog des Internet Explorer-Entwicklerteams

Erweiterter geschützter Modus

  • Comments 0

Jede neue Version von Internet Explorer enthält neue Sicherheitsfunktionen, damit Sie geschützt sind, wenn Sie im Internet surfen. Der neue erweiterte geschützte Modus in Internet Explorer 10 sorgt für die Sicherheit Ihrer Daten – auch dann, wenn ein Angreifer eine Sicherheitslücke in Ihrem Browser oder dessen Add-Ons ausnützt.

Es gibt keine alleinige Lösung für zuverlässige Sicherheit, deshalb verfolgen wir mehrere Strategien, darunter folgende:

Schutz vor Social Engineering-Angriffen

Es gibt leider eine Vielzahl Betrugsversuche, deren Ziel es ist, persönliche Daten von Benutzern zu stehen oder deren Computer zu übernehmen, indem vertrauenswürdige Websites imitiert werden. SmartScreen Filter bietet den bestmöglichen Schutz vor Malwareangriffen und Phishing, den Sie zurzeit bekommen können. In Windows 8 wurde dieser Schutz zur Windows-Shell hinzugefügt, um Ihnen maximale Sicherheit vor Malware zu bieten, ganz gleich wie diese heruntergeladen wurde.

Schutz vor Angriffen, die gezielt Sicherheitslücken in Websites ausnützen

Auch vermeintliche sichere Websites können Sicherheitslücken aufweisen, über die böswillige Websites persönliche Daten stehlen oder unter Annnahme Ihrer Identität bestimmte Aktionen ausführen können. Wir sorgen für Ihren Schutz – mit dem XSS-Filter, der automatisch bestimmte Angriffsmethoden verhindert und Websites die Ausstattung mit den Funktionen für deklarative Sicherheit wie der neuen IE10-Unterstützung für die HTML5-Sandbox erleichtert.

Schutz vor Angriffen, die gezielt die Sicherheitslücken des Browsers oder des Betriebssystems ausnutzen

Durch automatische Updates wird gewährleistet, dass stets die neuesten Updates installiert sind. Dies bietet Schutz vor Sicherheitsrisiken, die bereits behoben wurden. In IE9 wurden Funktionen für Speicherschutz hinzugefügt, die das Ausnutzen bestimmter Sicherheitslücken erschweren sollten. Diese Funktionen wurden in IE10 noch einmal verbessert. Außerdem wurde IE10 um eine neue Schutzebene ergänzt, den so genannten erweiterten geschützten Modus.

Erweiterter geschützter Modus

Der geschützte Modus, der in IE7 für Windows Vista hinzugefügt wurde, ist eine weitreichende Schutzfunktion, die verhindert, dass Angreifer durch Ausführen von Exploit-Code Software installieren oder die Systemeinstellungen ändern. Es handelt sich um eine zusätzliche Schutzebene, die den Zugriff auf die Teile des Systems unterbindet, die der Browser in der Regel nicht verwenden muss. Beispielsweise muss Ihr Browser normalerweise keine Systemeinstellungen ändern und auch nicht in den Dokumentordner schreiben. Der geschützte Modus basiert auf dem Prinzip der geringsten Rechte – indem die Zugriffsrechte von Internet Explorer eingeschränkt werden, können auch weniger Funktionen durch Exploit-Code ausgenutzt werden.

Der „erweiterte“ geschützte Modus wendet dieses Konzept auf noch mehr Funktionen an. Im Folgenden finden Sie eine Liste mit einigen der neuen Maßnahmen, mit denen der erweiterte geschützte Modus für mehr Sicherheit sorgt:

64-Bit-Prozesse

Die meisten PCs, die in den letzten Jahren verkauft wurden, waren mit 64-Bit-CPUs ausgestattet, und auf vielen war eine 64-Bit-Version von Windows installiert. „64-Bit“ gilt oft als Möglichkeit, den Speicherplatz zu erweitern, den ein Programm auf Ihrem Computer nutzen kann: 64-Bit-Prozessoren verwenden 64-Bit- statt 32-Bit-Speicheradressen, deshalb kann ein Programm mehr Speicherplatz „adressieren“ oder nutzen, sofern dieser vorhanden ist.

Eine 32-Bit-Zahl ist groß – ein wenig größer als 4 Milliarden. Eine 64-Bit-Adresse stellt eine noch viel größere Zahl dar – ca. 18 Trillionen und eine paar Zerquetschte (18.446.744.073.709.551.616). Mit einer 64-Bit-Zahl können Sie nicht nur mehr Speicherplatz adressieren, sie erhöht auch die Effektivität von vorhandenen Speicherschutzfunktionen wie ASLR (Address Space Layout Randomization, Anordnung des Layouts des Adressraums) um ein Vielfaches. Heap Spray-Angriffe, bei denen Angreifer versuchen, böswilligen Code an vorhersagbaren Orten zu platzieren, werden erheblich erschwert, da es nicht sinnvoll ist, einen 64-Bit-Adressraum „aufzufüllen“ – der verfügbare Speicherplatz geht zur Neige, lange bevor ein nennenswerter Teil des Adressraums aufgefüllt wurde.

Schutz von persönlichen Daten

Wenn Sie ein Programm ausführen, hat dieses Zugriff auf sämtliche Dateien auf dem Computer, auf die auch Sie zugreifen können, einschließlich Ihrer persönlichen Dokumente. Der erweiterte geschützte Modus verhindert so lange den Zugriff von Internet Explorer auf Speicherorte mit persönlichen Daten, bis Sie dies gestatten. Dadurch ist es nicht möglich, dass Exploit-Code ohne Ihre Einwilligung auf Ihre persönlichen Daten zugreift.

Nehmen wir zum Beispiel die Verwendung eines webbasierten E-Mail-Clients. Wenn Sie eine Datei aus Ihrem Dokumentordner an eine E-Mail-Nachricht anfügen möchten, benötigt Internet Explorer die Berechtigung für den Zugriff auf die Datei und das Hochladen zu Ihrem E-Mail-Anbieter. Beim erweiterten geschützten Modus wird Internet Explorer in einem „Broker-Prozess“ nur dann vorübergehend Zugriff auf die Datei erteilt, wenn Sie im Dialogfeld für den Dateiupload auf „Öffnen“ klicken:

Screenshot, der das Anfügen einer Datei aus dem Dokumentordner an eine E-Mail mithilfe einer webbasierten E-Mail-Anwendung zeigt

Sie sehen, es werden keine Aufforderungen angezeigt, die Benutzeraktionen erfordern. Das Brokering erfolgt automatisch, sobald Sie eine Datei ausgewählt haben und auf „Öffnen“ klicken. Dadurch hat Internet Explorer quasi nur Zugang zu einem einzelnen Schließfach, und nur nach Aufforderung, und nicht wie bisher ohne Ihre Einwilligung zum ganzen Tresorraum.

Schutz Ihrer geschäftlichen Vermögenswerte

Die meisten Firmennetzwerke, oder „Intranets“, enthalten wertvolle Informationen, die vor Angreifern geschützt werden müssen. Der erweiterte geschützte Modus schränkt die Möglichkeiten eines Angriffs auf Firmennetzwerkressourcen durch Exploit-Code auf dreierlei Weise ein. Erstens haben Internetregisterkartenprozesse, also die Prozesse, bei denen nicht vertrauenswürdige Internetseiten geladen werden, keinen Zugriff auf die Domänenanmeldeinformationen eines Benutzers. Zweitens können sie nicht als lokale Webserver fungieren, was das Annehmen der Identität einer Intranetsite erschwert. Und drittens können Internetregisterkarten keine Verbindung zu Intranetservern herstellen.

Standardeinstellungen und Kompatibilität

Internet Explorer im Metro-Stil wird immer mit aktiviertem erweitertem geschützten Modus ausgeführt – Sie müssen keine Einstellungen konfigurieren und können einfach loslegen und surfen. Da Internet Explorer im Metro-Stil Surfen ohne Plug-Ins ermöglicht, ist die Auswirkung dieser Sicherheitsfunktion auf die Kompatibilität sehr gering.

Viele Add-Ons, wie Adobe Flash und bestimmte Symbolleisten, sind noch nicht mit dem erweitertem geschützten Modus kompatibel. Einige Websites erfordern für eine ordnungsgemäße Funktionsweise weiterhin Adobe Flash, und mancher Benutzer schätzt die Funktionen, die einige Symbolleisten bieten. In Windows 8 Beta kann der erweiterte geschützte Modus auf dem Desktop unter „Internetoptionen“->„Erweitert“ aktiviert werden:

Screenshot der Registerkarte „Erweitert“ des Dialogfelds „Internetoptionen“ mit der Option „Erweiterten geschützten Modus aktivieren“.

Nachdem Sie den erweiterten geschützten Modus aktiviert haben, werden inkompatible Add-Ons automatisch deaktiviert. Wenn eine Website, die Sie öffnen möchten, zur ordnungsgemäßen Anzeige ein Add-On wie Flash benötigt, können Sie den erweiterten geschützten Modus speziell für diese Website deaktivieren.

Benachrichtigung mit dem Text [This webpage wants to run 'Adobe Flash Player 10.3 d162'. If you trust this site, you can disable Enhanced Protected Mode for this site to run the control.] [Diese Website möchte 'Adobe Flash Player 10.3 d162' ausführen. Wenn Sie dieser Site vertrauen, können Sie den erweiterten geschützten Modus für diese Site deaktivieren, um das Steuerelement auszuführen). Die Benachrichtigungsleiste enthält die Schaltfläche [Disable] (Deaktivieren).

Auf diese Weise können Sie diese Website weiterhin nutzen, und für alle anderen Websites bleibt der erweiterte geschützte Modus wirksam. Sie sollten dies aber wirklich nur dann tun, wenn Sie genau wissen, dass die Website vertrauenswürdig ist.

Wenn Sie lieber ohne Add-Ons surfen, können Sie auch die ActiveX-Filterung einschalten. Dadurch wird die Anzeige dieser Aufforderung verhindert.

Zusammenfassung

Weitreichender Schutz ist ein Bereich, an dem das Windows-Team kontinuierlich arbeitet und Verbesserungen einführt. Das Prinzip ist uns allen aus dem Alltag bekannt. Schließfächer haben Schlösser. Dennoch sind sie zusätzlich dazu noch in einem gesicherten Raum einer Bank untergebracht, der verschlossen und durch ein umfassendes Sicherheitssystem geschützt ist. Der erweiterte geschützte Modus ist eine weitere Schutzebene, die Ihre Daten vor böswilligen Angreifern schützt.

– Andy Zeigler, Senior Program Manager, Internet Explorer