Internet Explorerの「このゾーンのサイトにはすべてサーバーの確認（https:）を必要とする」を外すリスクとは？信頼済みサイトの安全な設定方法

Internet Explorerの「信頼済みサイト」へWebサイトを登録するとき、「このゾーンのサイトにはすべてサーバーの確認（https:）を必要とする」というチェック項目があります。HTTPで動作する社内システムや古いWebシステムを登録しようとして、このチェックを外すよう求められることがあります。

この設定は単に「HTTPサイトを表示できるようにする設定」ではありません。チェックを外すと、暗号化されていないHTTPサイトも「信頼済みサイト」ゾーンへ登録できるようになります。Microsoftも、暗号化されたチャネルを必要としないサイトを追加するときには、このチェックを外す手順を案内していました。Microsoft公式情報[参照]

問題になるのは、HTTP通信そのものの安全性と、「信頼済みサイト」では通常のインターネットゾーンより緩いセキュリティ設定が適用される場合があることです。チェックを外しただけで直ちに危険になるわけではありませんが、意味を理解せずHTTPサイトを次々と登録するのは避けるべきです。

「https:を必要とする」のチェックは何を意味している？

Internet Explorerには、Webサイトを「インターネット」「ローカルイントラネット」「信頼済みサイト」「制限付きサイト」などのセキュリティゾーンへ分類し、ゾーンごとに異なるセキュリティ設定を適用する仕組みがあります。

「信頼済みサイト」は、その名前の通り、利用者や管理者が信頼できると判断したWebサイトを登録するためのゾーンです。Microsoftの過去のセキュリティ情報でも、信頼済みサイトには「信頼できるサイトだけを追加する」ことが繰り返し推奨されています。Microsoft Security Bulletin[参照]

ここで「このゾーンのサイトにはすべてサーバーの確認（https:）を必要とする」がオンになっていると、基本的にHTTPSを使用するサイトが登録対象となります。チェックを外すと、HTTPしか利用できないサイトも信頼済みサイトとして追加できるようになります。

チェックを外すとHTTPS通信そのものが無効になるわけではない

誤解しやすいポイントですが、このチェックを外したからといって、Internet Explorer全体でHTTPSが無効になるわけではありません。HTTPSサイトへアクセスしたときの通信が自動的にHTTPへ変更される設定でもありません。

変わるのは「信頼済みサイトゾーンへHTTPのサイトを登録できるか」という条件です。Microsoftの説明でも、「暗号化されたチャネルを必要としないサイトを追加したい場合」にチェックを外すものとして案内されています。Microsoft公式情報[参照]

したがって、「チェックを外す＝すべての通信が暗号化されなくなる」という理解は正しくありません。一方で、チェックを外した後にHTTPサイトを信頼済みサイトとして登録すれば、そのHTTP通信がHTTPSになるわけでもありません。

最大のリスクはHTTPサイトを高い信頼度のゾーンへ入れられること

信頼済みサイトゾーンは、Internet Explorerに「このサイトは信頼できる」という前提で扱わせるための仕組みです。そのため、環境によってはインターネットゾーンよりActiveX、スクリプト、ダウンロードなどに関する設定が緩く設定されていることがあります。

Microsoftのセキュリティ情報でも、InternetゾーンやLocal intranetゾーンでActiveXやActive Scriptingを制限したうえで、必要な信頼できるサイトだけをTrusted Sitesゾーンへ追加するという対策が案内されていました。つまり、信頼済みサイトへの登録は単なる「お気に入り登録」のようなものではなく、セキュリティ上の意味を持ちます。Microsoft公式情報[参照]

HTTPサイトをそこへ登録できるようにすると、「通信経路を暗号化していないサイト」に対して、信頼済みサイト用の設定を適用できる状態になります。これがチェックを外す際に理解しておきたい中心的なリスクです。

HTTPとHTTPSでは何が違う？

HTTPSでは、ブラウザーとWebサーバーの間の通信をTLSによって保護します。適切にHTTPSが構成されていれば、通信内容の盗み見や改ざんを防ぎ、接続先の正当性を確認するための仕組みが利用されます。

一方、通常のHTTPにはHTTPSと同等の暗号化・認証による保護がありません。そのため、ネットワーク上の攻撃者が通信を観測・改ざんできる状況では、入力内容を盗み見られたり、受信するコンテンツを書き換えられたりするリスクがあります。

例えば、HTTPで提供されるページへログインIDや重要情報を入力する場合、HTTPSを利用するサイトより通信経路に関するリスクが高くなります。「信頼済みサイト」に登録したからHTTP通信が安全になるわけではありません。

「社内サイトだからHTTPでも安全」とは限らない

古い業務システムでは、「社内LANからしかアクセスできないからHTTPでよい」という設計が残っていることがあります。そのようなシステムをInternet Explorerの信頼済みサイトへ登録するため、httpsのチェックを外している企業もありました。

しかし、社内ネットワークであることと、通信が暗号化されていることは別問題です。LAN内部でも、端末の感染、ネットワーク設定の不備、不正端末などのリスクを完全に排除できるわけではありません。

したがって現在のセキュリティ設計では、「社内だから無条件に信頼する」という発想よりも、通信の暗号化、端末認証、アクセス制御などを組み合わせて保護することが重要です。

チェックを外しただけで即座に危険になるわけではない

ここは切り分けて考える必要があります。「httpsを必要とする」のチェックを外した瞬間にウイルスへ感染したり、通信内容が突然漏えいしたりするわけではありません。

チェックを外すことによって、HTTPのサイトも信頼済みサイトゾーンへ登録できるという選択肢が増えることがポイントです。その後、どのサイトを登録するか、信頼済みサイトゾーンにどのセキュリティ設定が適用されているかによって実際のリスクは変わります。

例えば、管理された社内WebサーバーのHTTP URLを1件だけ登録する場合と、「*.example.com」のような広い範囲を登録する場合ではリスクの広がり方も異なります。設定変更だけを見るのではなく、登録対象とゾーン設定まで確認する必要があります。

ワイルドカードを使った広範囲の登録には特に注意

信頼済みサイトを設定するときには、必要以上に広いドメイン範囲を信頼対象へ含めないことも重要です。

例えば業務システムが特定のホストだけで動いているのであれば、そのシステムに必要な範囲だけを登録する方が安全です。組織のドメイン全体や多数のサブドメインを一括して信頼済み扱いにすると、将来追加された別サービスまで同じゾーンへ入る可能性があります。

信頼済みサイトは「必要なサイトを、必要な範囲だけ登録する」という最小権限に近い考え方で設定するのが基本です。

信頼済みサイトゾーンのセキュリティレベルも確認する

「HTTPだから危険、HTTPSなら絶対安全」という二択だけで判断するのも適切ではありません。Internet Explorerのセキュリティゾーンでは、各ゾーンに設定されている具体的な権限も重要です。

ActiveXコントロール、スクリプト、ファイルダウンロードなどについて、信頼済みサイトゾーンでどの設定が有効になっているかによって、サイトを登録した場合の影響は変わります。

企業PCの場合、これらの設定がグループポリシーなどによって管理されていることがあります。業務システムの手順書に「httpsのチェックを外してください」と書かれている場合、自己判断でほかの設定まで変更せず、情報システム部門へ確認する方が安全です。

業務システムのためにチェックを外す場合の確認事項

どうしてもHTTPでしか利用できない古い社内システムがある場合は、少なくとも次の点を確認してから設定することをおすすめします。

• 登録するURLが本当に会社・組織の管理する正規サイトか
• HTTPでなければならない理由があるか
• HTTPS版のURLが用意されていないか
• 登録範囲が必要以上に広くなっていないか
• 信頼済みサイトゾーンのセキュリティ設定が過度に緩くないか
• 会社PCなら情報システム部門が認めた設定か
• Internet ExplorerではなくEdgeのIEモードへ移行できないか

特に会社から支給されたPCでは、個人判断でInternet Optionsのセキュリティ設定を変更すると、社内のセキュリティポリシーに反する可能性があります。

業務マニュアルに明記されている場合でも、その手順が何年も前に作られたものなら、現在も同じ設定が必要なのか管理者へ確認する価値があります。

Internet Explorerは現在どうなっている？

Internet Explorer 11のデスクトップアプリケーションは、多くのWindows 10環境で2022年6月15日にサポートが終了し、MicrosoftはMicrosoft Edgeへの移行を進めています。古いInternet Explorer専用サイトについては、Microsoft EdgeのIEモードを利用する仕組みが用意されています。Microsoft「Internet Explorer 11 desktop application ended support」[参照]

そのため、新しいシステムを「信頼済みサイトへHTTPで登録し、Internet Explorerで使い続ける」構成にするのは推奨されません。既存の業務システムでどうしてもIE互換機能が必要なら、組織の管理下でEdgeのIEモードなどへ移行することを検討すべきです。

なお、古いInternet Explorer系の設定がEdgeのIEモードを利用する業務環境で関係する場合もあります。企業環境では、単純に「IEが終了したから設定を全部削除してよい」と判断せず、管理者の方針に従ってください。

具体例で理解する「チェックあり」と「チェックなし」の違い

例えば、社内システムが「https://system.example.jp」で提供されているとします。「httpsを必要とする」がオンでも、HTTPSを使用しているため信頼済みサイトとして登録できます。

一方、古い社内システムが「http://old-system.example.jp」でしか動作しない場合、httpsを必須にした状態ではHTTPサイトを同じ方法で登録できません。このような「暗号化されたチャネルを必要としないサイト」を登録するために、Microsoftはチェックを外す操作を案内していました。Microsoft公式手順[参照]

つまり、この設定の本質は「HTTPSを使うか使わないかをブラウザー全体で切り替えるスイッチ」ではなく、HTTPサイトを信頼済みサイトゾーンの登録対象として許可するかどうかです。

チェックを外す必要があるなら「必要なサイトだけ」が基本

業務上どうしてもHTTPサイトを信頼済みサイトへ登録する必要があり、そのサイトが組織によって管理されていることを確認できているなら、チェックを外すこと自体が直ちに事故につながるわけではありません。

ただし、その状態を「何でも登録してよい設定」と考えないことが重要です。Microsoft自身もセキュリティ情報の中で、信頼済みサイトゾーンには信頼できるサイトだけを追加するよう繰り返し注意しています。Microsoft公式情報[参照]

可能ならHTTPS化を優先し、HTTPしか利用できないレガシーシステムについては、なぜHTTPが必要なのか、いつまで利用するのか、より安全な方式へ移行できないかまで検討するのが望ましいでしょう。

まとめ｜httpsのチェックを外す意味を理解して必要最小限に設定する

Internet Explorerの信頼済みサイト設定にある「このゾーンのサイトにはすべてサーバーの確認（https:）を必要とする」のチェックを外すと、HTTPSだけでなくHTTPのサイトも信頼済みサイトゾーンへ登録できるようになります。チェックを外しただけでHTTPSが無効になったり、すべての通信がHTTPになったりするわけではありません。

しかしHTTPにはHTTPSと同等の通信暗号化・サーバー認証による保護がなく、そのサイトをさらに「信頼済みサイト」という比較的信頼度の高いゾーンへ登録することになります。ゾーンの設定によってはActiveXやスクリプトなどの扱いが通常のインターネットサイトより緩くなるため、登録対象を誤るとセキュリティリスクを高める可能性があります。

基本方針は「可能ならHTTPSを利用する」「信頼済みサイトには本当に必要なサイトだけを登録する」「会社PCなら管理者の指示に従う」の3点です。特に古い社内システムのために設定変更を求められている場合は、現在もその設定が必要なのか、Microsoft EdgeのIEモードなどへ移行できないのかを情報システム担当者へ確認すると安全です。