深入了解IE7新安全特性

与前一版本相比，IE 7提供了一系列增强的安全特性，可以令用户上网更加安全。在本文中，笔者将向大家介绍IE7中主要的安全特性，如Active X opt-in, Phishing Filter, 以 及跨域安全性和其它一些小的安全改进，如无插件模式和用色彩标记网站是否经过验证等功能。

与IE6相比，IE 7从外观上看最大的改变就是采用了多页面形式，用户可以通过标签转换不同的浏览页面，再也不用开启多个IE窗口了。但是微软对IE7宣传最多的还是其安全性的 增强。作为XP中IE6浏览器的升级版本以及Windows Vista中的内置浏览器，IE7提供了一系列安全机制确保用户上网浏览的安全。下面我们就来逐一介绍IE7中主要的安全功能。

控制Active X
在以往的IE用户中抱怨最多的，同时也是很多人放弃IE选择Firefox或其它浏览器的一个主要原因，就是由Active X控件带来的安全隐患。Active X可以让Web开发人员创作出纯 HTML代码无法实现的网页功能。然而，由于Active X控件是一种可执行文件，并且可以被浏览器自动下载并执行，因此一些网络攻击者经常会编写一些恶意Active X控件，对用户 的电脑进行控制，与其它电脑进行连接，并在用户不知情的情况下将用户的重要数据传送到其它电脑上。

微软对Active X控件的安全性也相当关注，在众多安全专家的研究下，IE7对于Active X控件的控制机制有了重大改变。在IE7中，一个被称为Active X opt-in的新功能可以在默认 状况下禁止任何Active X控件自动安装到用户的电脑中。如果用户访问了一个带有Active X控件的网站，在浏览器上方会出现一个信息条，告诉用户该网站试图安装并运行一个 Active X控件（包括控件名称以及发布公司的名称）。用户可以自行选择是否安装并运行这个控件。

安全机制的关键在于，如何在保护能力和用户便利性之间做到平衡。在Windows Vista中，为了安全而默认开启了UAC（用户帐户控制），而很多用户都抱怨无处不在的UAC对话框令 他们的工作变得很繁琐。为了在增强安全性的同时不影响用户的操作便利性，微软在Active X opt-in功能中加入了一个经过预先核准的控件名单，当浏览器遇到网页中的这些控件 时，就不会再让用户进行选择是否安装或运行该Active X控件了。列表中的控件均为常用的安全控件，用户不需要事先进行确认。

另外，用户可以基于不同的网络区域对Active X opt-in功能进行开启或关闭。默认情况下，Active X opt-in在Internet区域和受限站点区域都是开启的，而在intranet区域和可 信站点区域则是关闭的。这些设置可以在Internet Options | Security下进行修改。用户可以在这里选择需要修改的区域，然后点击Custom Level按钮，在弹出窗口中进行适当的 设置（如图A所示）。

图A:用户可以为不同的网络区域定制Active X opt-in的详细参 数

Active X控件的开发人员可以通过使用站点锁（限定控件只针对特定的网站域名）功能和网络区域锁（限定控件只在IE位于某一特定区域—如intranet区域—才运行）功能让自己 的控件变得更加安全。同时还应该为自己的控件设置数字签名。

拒绝网络钓鱼
为了应对日益严重的网络钓鱼（phishing）问题，微软在IE7中加入了Microsoft Phishing Filter（微软网络钓鱼过滤器）。该功能会自动将用户访问的网站与一个已知的网络钓 鱼网站列表比较，如果用户访问的网站与该列表上列出的某个网站域名一致，则会对用户发出警告。如果用户不希望自动对全部网站进行网络钓鱼检查，可以选择只对那些用户感 到怀疑的网站进行检查。要实现这种功能，用户可以点击Tools | Phishing Filter | Check This Web Site来实现。

如果用户感觉一个网站肯定是网络钓鱼网站，但是IE7中的过滤名单中又没有该网站域名，在这种情况下，用户可以将该网站汇报给微软，微软会对用户的报告进行研究，如果确认 是钓鱼网站，便将其加入网络钓鱼网站的数据库中。Phishing Filter采用启发式工作方式，可以自动判断一个网站是否具备网络钓鱼网站的特征，如果具备，则将其标记为可疑站 点。

用户可以关闭Phishing Filter或者开启或关闭自动检查功能。这些设置都位于Internet选项中的高级设置（Advanced Settings）选项卡中，如图B所示。

图B:用户可以在Internet选项中的Advanced Settings选项卡中 配置Phishing Filter

跨域安全性
跨域脚本（Cross-domain scripting）是攻击者常用的一种策略，可以导致在一个安全网站开启的浏览器窗口被重新定向到另一个不同的安全网站。IE7可以确保浏览器即使被重新 定向，其中的脚本以及其他Web对象也能保持同样的安全性。默认情况下，IE7的配置是禁止所有区域的跨域数据交换。当网站使用跨域脚本并有可能存在风险时，IE7会阻止脚本 URL以及DOM对象中的重定向导航。这意味着网页中的脚本将无法与其它网站中的数据进行交互任务。

Vista中的IE保护模式
在Windows Vista中，IE7与用户帐户控制（UAC）功能协同工作，使浏览器处于默认的保护模式下。在这种模式下，浏览器仅具备访问网页的最低权限，浏览器中的插件和附加功能 也都是以最低权限模式运行。

保护模式可以帮助浏览器阻止网站在用户不知情的情况下，在用户的电脑中安装恶意代码。在这种模式下，浏览器只能在系统的Temporary Internet Files（TIF）文件夹中写入数 据，而禁止在其它任何位置写入数据，除非用户手动许可。

如果确实需要在Temporary Internet Files以外的文件夹中写入数据，IE7会开启一个“代理进程”实现更安全的提升权限的方法。这个代理进程是被特殊设计的，因此在用户不输 入的情况下，是不会被执行的。