Outlook 2007 でのコード セキュリティの変更点

Ryan Gregg
Microsoft Corporation

June 2006

適用対象:
   Microsoft Office Outlook 2007

要約: Microsoft Office Outlook 2007 ではコード セキュリティが強化されているため、Outlook ユーザーが悪意のあるコードから保護されると共に、開発者やユーザーに表示されるセキュリティ警告が削減されます。ここでは、これらの変更によってセキュリティが維持された上で、Outlook ソリューションの開発と使用がどのように簡易化されるのかを説明します。このドキュメントの情報は、Outlook COM インターフェイスを使用して Outlook にアクセスする管理されたおよび管理されていない Outlook COM アドインおよびクロスプロセス アプリケーションに適用されます。

目次

はじめに
既定のコード セキュリティ
セキュリティ警告
管理者のオプション
保護されたメンバ一覧
まとめ
その他の参考資料

はじめに

悪意のあるプログラムやウイルスが電子メール メッセージを介して拡散することを防止するために、特定のバージョンの Outlook には、Outlook オブジェクト モデルの悪用を防ぐための Object Model Guard が組み込まれています。既にリリースされたバージョンとしては、Microsoft Office Outlook 2003、Microsoft Outlook 2002、Microsoft Outlook 2000 Service Pack 3、Microsoft Outlook 2000 Service Pack 2、および Outlook 電子メール セキュリティ アップデートによって更新された Microsoft Outlook 2000 と Microsoft Outlook 98 があります。オブジェクト モデル内のこれらの保護されたプロパティとメソッドにアクセスする Outlook ソリューションは、このソリューションを続行するためにユーザーが応答する必要のあるセキュリティ警告を表示する場合があります。Microsoft Office Outlook 2007 では、Object Model Guard の動作にいくつかの変更が加えられたことにより、Outlook のセキュリティが維持される一方で、開発者とユーザーにとっての利便性が高まっています。

既定のコード セキュリティ

Outlook 2003 と同様に、Outlook 2007 では引き続きすべてのインプロセス COM アドインが暗黙的に信頼されます。Outlook 2007 においても、信頼される COM アドインを作成することは、オブジェクト モデルを介して Outlook データを操作するための推奨手段です。すべてのインプロセス COM アドインに対する既定の信頼動作は、Outlook 2003 の場合とまったく同じです。

Outlook 2007 のセキュリティは、コンピュータにインストールされたウイルス対策ソフトウェアの状態を利用して確保されます。この変更は、これまでの Object Model Guard の仕組みからの大幅な転換を示しています。ウイルス対策ソフトウェアが許容できる状態で実行中であることを Outlook が検出できる場合、Outlook ではユーザーに対するセキュリティ警告が無効化されます。これにより、以前は Extended MAPI やサード パーティのライブラリに依存する必要があった外部のアプリケーションは、適切な状況下ではセキュリティ プロンプトを回避できるようになります。この新しい動作により、ユーザーに過剰な警告メッセージを表示することなく、Outlook のセキュリティを維持できます。

次のすべての条件が満たされる場合、アウトプロセスの COM 呼び出し元とアドインはすべて、セキュリティ警告が表示されることなく実行されます。

• クライアント コンピュータで Microsoft Windows XP Service Pack 2 (SP2) または Microsoft Windows Vista が実行されており、Windows セキュリティ センター (WSC) が、コンピュータ上のウイルス対策ソフトウェアが正常に動作していることを示している。コンピュータがドメインに参加している場合、動作状態インジケータが表示されないことがありますが、このインジケータは維持されています。
• クライアント コンピュータにインストールされたウイルス対策ソフトウェアが Windows XP SP2 または Windows Vista に対応している。
• Outlook 2007 が、クライアント コンピュータ上で次のいずれかの方法で構成されている。
  • 既定のセキュリティ設定を使用。
  • グループ ポリシーによって定義された、ウイルス対策ソフトウェアが停止状態の場合や最新状態でない場合に警告するように設定されたセキュリティ設定を使用。
  • グループ ポリシーによって定義されているが、プログラム アクセス ポリシーが適用されていないセキュリティ設定を使用。

また、Outlook 2007 では、Outlook セキュリティ センターを通じて [不審な動作に関する警告を表示しない (推奨しません)] に構成されている場合は、セキュリティ警告は表示されません。

Outlook 2007 は、WSC を利用してクライアント コンピュータ上のウイルス対策ソフトウェアの状態を検出します。現在は、Windows XP SP2 と Windows Vista に対応しているウイルス対策製品は、状態情報を WSC に登録します。Outlook は、まず WSC に照会してウイルス対策ソフトウェアの現在の状態を確認します。Microsoft Windows Server 2003 を実行しているコンピュータでは、WSC を使用できないため、Outlook はウイルス対策ソフトウェアの状態を検出できず、したがってセキュリティ警告は無効化されません。

Outlook 2007 でセキュリティ警告を無効化するには、ウイルス対策ソフトウェアは次の 3 つの条件を報告する必要があります。

• ウイルス対策ソフトウェアがインストールされており、WSC を介してその状態をサード パーティ ソフトウェアと共有している。
• ウイルス対策ソフトウェアが最新状態である。
• アクセス時のウイルス検索が有効になっている。

Outlook 2007 は、インストールされて WSC に登録されたすべてのウイルス対策製品を調べます。これらの製品の少なくとも 1 つが上記の 3 つの条件を満たしている場合は、Outlook はオブジェクト モデルのセキュリティ警告を無効にします。単一のセッション全体にわたって、Outlook 2007 はウイルス対策ソフトウェアの状態を継続的に監視します。任意の時点で、Outlook がコンピュータ上のどのウイルス対策製品も 3 つの条件すべてを満たしていないことを検出した場合は、直ちにセキュリティ警告が有効化されます。後続の任意の時点で、Outlook が少なくとも 1 つのウイルス対策製品がこれらの条件を満たしていることを検出した場合は、再び警告が無効化されます。

この新しい動作は、Outlook オブジェクト モデルを介して Outlook 2007 にアクセスするすべてのプログラムに適用されます。これには、アドインや外部の COM 呼び出し元も含まれます。他の API (Collaboration Data Objects、Exchange Client Extensions、Simple MAPI など) を介して Outlook データにアクセスするプログラムは、この変更の影響を受けません。Extended MAPI を使用するソリューションは、Object Model Guard によって制限されません。

コード セキュリティに関するセキュリティ センター オプション

管理者は、Outlook 2007 のセキュリティ センターを使用して既定の動作を変更できます。セキュリティ センターにアクセスするには、[ツール] メニューの [セキュリティ センター] をクリックします。セキュリティ センターで、[プログラムによるアクセス] をクリックします。[プログラムによるアクセスのセキュリティ] ダイアログ ボックスには、既定の動作とは異なるオプションが表示されます (図 1 参照)。

図 1. Outlook セキュリティ センターのプログラム アクセスの設定 (クリックするとイメージが拡大されます)

次の 3 つの設定が用意されています。

• ウイルス対策ソフトウェアが無効であるか最新の状態でない場合に、不審な動作に関する警告を表示する (推奨)
  これは既定の設定であり、前述の動作を実行します。これはすべてのユーザーにとっての推奨設定です。
• 不審な動作に関する警告を常に表示する
  この設定では、Outlook 2007 は Outlook 2003 のように動作するため、クロスプロセス COM 呼び出し元と信頼されないアドインはセキュリティ警告を表示します。
• 不審な動作に関する警告を表示しない (推奨しません)
  この設定では、すべてのセキュリティ警告が表示されなくなり、Object Model Guard が無効になります。この設定は、コンピュータ上で悪意のあるコードが実行される危険性が低い管理された環境でのみ使用してください。

これらの設定は、現在のユーザーがそのコンピュータの管理者である場合にのみ使用できます。管理者特権を持たないユーザーは、現在の設定を表示できますが変更はできません。プログラム アクセスの設定は、グループ ポリシーを通じて管理することもできます。グループ ポリシーを使用した Outlook 設定の構成の詳細については、2007 Office Resource Kit (英語) の Web サイトで Outlook 2007 のウイルス防止機能のカスタマイズに関するトピック (英語) を参照してください。

COM アドインの既定のセキュリティ

Outlook 2007 では、すべての COM アドインは既定で信頼されています。管理者は、Outlook 2007 のグループ ポリシーを使用するか、Microsoft Exchange Server 上の Outlook セキュリティ フォームを使用して、代替の動作を構成できます。

以前のバージョンと同様に、Outlook 2007 は、アドインの OnConnection イベント時にアドインに渡された Application オブジェクトのみを信頼します。アドインが Application オブジェクトの新しいインスタンスを作成した場合は、そのアドインが信頼されたアドインの一覧に含まれている場合でも、Outlook はそのオブジェクトを信頼しません。OnConnection イベントの詳細については、MSDN で IDTExtensibility2 のドキュメント (英語) を参照してください。

Object Model Guard

Outlook 2007 では、信頼されない呼び出し元がセキュリティ警告を表示する新しい状況が定義されている一方で、一連の保護されたオブジェクトとメンバが Outlook 2003 の Object Model Guard から継承されています。さらに Outlook 2007 では、オブジェクト モデルに追加されたいくつかの新しいメンバにアクセスしようとするコードについて警告が表示されます。Outlook は、信頼されないコードがオブジェクト モデルを使用してデータを取得または特定のメソッドを実行しようとする次の5 つの主なケースで警告を発行します。

• アドレス オブジェクトを戻すプロパティまたはメソッド (これらのオブジェクトのプロパティとメンバを含む) :
  • AddressEntries および AddressEntry
  • Recipient および Recipients
  • ExchangeDistributionList および ExchangeUser
  • SelectNamesDialog
  • PropertyAccessor
• 次のような、アドレスやアドレス情報を含んでいる可能性のある各種オブジェクトのプロパティ :
  • Alias
  • Address
  • Body および HTMLBody
  • ID
  • WordEditor
• 次のような、Outlook の外部の保管場所へのアイテムの書き込みを可能にするメソッド :
  • Item.SaveAs
  • CalendarSharing.SaveAsICal
• 次のような、明示的な組み込みのプロパティ名や名前空間への参照を使用してプロパティへのアクセスを提供するエントリ ポイント :
  • UserProperties.Find
  • ItemProperties.Item("IMAddress") およびその他の保護されたプロパティ
  • Table.Columns.Add
  • PropertyAccessor.GetProperties
  • PropertyAccessor.GetProperty
• アイテムのプログラムによる送信 :
  • Item.Allow、Item.Send
  • Action.Execute

セキュリティ警告

Outlook 2007 では、適切に信頼されていないアドインまたはクロスプロセス COM クライアントが保護されたプロパティまたはメソッドにアクセスしようとすると、3 つのセキュリティ警告のうちの 1 つが表示されます。これらのメッセージは、そのプログラムがアクセスしようとした情報や実行しようとしたアクションの種類に固有のものです。これらのメッセージには、Windows XP と Windows Vista におけるセキュリティ ダイアログの推奨事項に従った新しい外観と新しいボタン ラベルが採用されています。

アドレス帳の警告

図 2 に示すアドレス帳の警告は、信頼されないプログラムが Outlook データにアクセスしようとしたときにユーザーに表示される最も一般的なプロンプトです。このプロンプトは、後述の保護されたメンバ一覧でプロンプトの種類が「アドレス帳」であるメンバに対して表示されます。

図 2. Outlook 2007 アドレス帳へのアクセスのプロンプト

この警告では、ユーザーはアクセスを許可または拒否できます。ユーザーは、ボックスの一覧に表示された期間中はアドレス帳へのアクセスを許可するように選択することもできます。

[拒否] をクリックすると、Outlook は警告を表示する呼び出しを直ちにブロックして、MAPI_E_NOT_SUPPORTED を戻します。Outlook は、その呼び出しに対してデータを戻しません。プログラムがこのエラーを正しく処理しなかった場合は、そのプログラムはクラッシュする可能性があります。

[アクセスを許可する時間] チェック ボックスをオンにせずに [許可] をクリックした場合は、その警告を生成した呼び出しのみが許可されます。同じライン上の追加の呼び出しや、ブロックされた呼び出しから派生したオブジェクトの呼び出しによって、独自のセキュリティ警告が生成される場合があります。

メッセージ送信の警告

図 3 に示すメッセージ送信の警告は、信頼されないソリューションがアイテムをプログラムによって送信しようとしたときに表示されます。このプロンプトは、後述の保護されたメンバ一覧でプロンプトの種類が「メール送信」であるメンバに対して表示されます。このダイアログ ボックスには、信頼されないアドインがメッセージを高速に自動送信することを防止するタイマが組み込まれています。ユーザーは、5 秒間待ってから [許可] をクリックする必要があります。

図 3. Outlook 2007 電子メールのセキュリティ プロンプト

[拒否] をクリックすると、Outlook は警告を表示した呼び出しをブロックして、MAPI_E_NOT_SUPPORTED エラーを戻します。メッセージをプログラムによって送信するための後続の呼び出しは、追加の警告を表示します。

[許可] をクリックした場合は、警告を表示した呼び出しのみが許可されます。メッセージをプログラムによって送信するための信頼されないソリューションからの後続の呼び出しは、それ以降も警告を生成します。

アクション実行の警告

図 4 に示すこの警告は、信頼されないソリューションが Actions コレクションからカスタム アクションを実行したときに表示されます。このプロンプトは、後述の保護されたメンバ一覧でプロンプトの種類が「カスタム アクション」であるメンバに対して表示されます。Outlook では、前述の警告に似たメッセージが表示され、アクションが実行されようとしていることが通知されます。

図 4. Outlook 2007 アクション実行のセキュリティ プロンプト

[拒否] をクリックすると、Outlook はそのアクションの Execute メソッドの呼び出しをブロックして、MAPI_E_NOT_SUPPORTED エラーを戻します。

[許可] をクリックした場合は、警告を表示した呼び出しのみが許可されます。信頼されないソリューションからのアクションを実行するための後続の呼び出しは、それ以降も警告を表示します。

管理者のオプション

Outlook 2007 では、Windows グループ ポリシーの設定を使用してコード セキュリティの設定を管理できます。Outlook がセキュリティ設定をグループ ポリシーから読み込むように構成されている場合は、Outlook は信頼されたアドインの一覧を含めることができます。この一覧が存在しており、グループ ポリシーがこの一覧を有効にするように構成されており、COM アドインが信頼された一覧で提供されたハッシュ情報に一致する場合は、Outlook は信頼された Application オブジェクトをその COM アドインに提供します。アドインが一覧にないか、一覧に追加された後に更新された場合は、Outlook はそのアドインを信頼しません。

また管理者は、Object Model Guard によって生成されたセキュリティ警告を Outlook が処理する方法を設定できます。選択できるオプションは、「自動的に許可する」、「自動的に拒否する」、「ユーザーにプロンプトを表示する」、および「ウイルス対策ソフトウェアを使用していないユーザーにプロンプトを表示する」の 4 つです。これらの設定は、信頼されたアドインの一覧に含まれていないすべてのアドイン、およびオブジェクト モデルに対する外部 COM 呼び出し元に適用されます。

グループ ポリシーおよびコード セキュリティの設定の詳細については、2007 Office Resource Kit (英語)の Web サイトで Outlook 2007 のウイルス防止機能のカスタマイズに関するトピック (英語) を参照してください。

Exchange を介した COM アドインのセキュリティ

Exchange サーバーからセキュリティ設定が取得されるMicrosoft Exchange 環境では、Outlook 2007 が COM アドインを信頼する方法について変更はありません。以前と同様に、Outlook 2007 が Outlook のセキュリティ フォームをパブリック フォルダに配置するように構成できます。Outlook がこのフォームから設定を読み込むように構成されている場合、既定では、Outlook はセキュリティ フォームに列挙されたアドインのみを信頼します。管理者は、グループ ポリシー設定を通じてこの動作を変更して、すべてのインストール済みアドインを必要に応じて引き続き信頼できます。

Outlook 2007 がセキュリティ フォームから取得したセキュリティ設定を使用するように構成されている場合は、Outlook 2007 はウイルス対策ソフトウェアの状態を利用しません。このケースでは、「ユーザーにプロンプトを表示する」、「プロンプトを表示せずに自動的に許可する」、および「プロンプトを表示せずに自動的に拒否する」という 3 つのプロンプト動作のみがあります。ウイルス対策ソフトウェアの状態に基づいた新しいコード セキュリティ動作を利用するには、Outlook は、Windows グループ ポリシーまたは Outlook 2007 の既定のセキュリティ設定を使用するように構成される必要があります。

保護されたメンバ一覧

表 1 には、Outlook 2007 で保護されているプロパティとメソッドを一覧表示しています。3 列目の「プロンプトの種類」では、そのメンバがアクセスされたときに表示されるセキュリティ警告の種類を示しています。Outlook 2007 で新たに追加されたか新たに保護されたプロパティとメソッドは、「状態」列でその旨が明記されています。

**注:   **「メンバ」列の「すべて」には、指定されたオブジェクトのすべてのプロパティとメソッドが含まれます (Application、Class、Session、および Parent は除く)。

表 1. Outlook 2007 で保護されているプロパティとメソッド

まとめ

Outlook 2007 では、プラットフォームとしての Outlook が大幅に向上されています。この向上点の重要部分の 1 つは、Outlook の Object Model Guard によって生成される過剰なセキュリティ警告を削減することです。Outlook 2007 では、既定のセキュリティ設定や Windows グループ ポリシー、およびクライアント コンピュータ上の適切に構成された有効なウイルス対策ソフトウェアを使用することで、過剰なセキュリティ警告をユーザーに表示することなく、適正なインプロセスおよびアウトプロセスのソリューションを実行できます。これにより、Outlook のセキュリティが維持された上で、ユーザーと開発者は Outlook プラットフォームの他の向上点をより簡単に活用できるようになります。

管理者は、統一された方式に従ってセキュリティなどのポリシー判断をすべて Outlook 内で適用できます。また、グループ ポリシーを使用すると、管理者は Exchange サーバーを使用せずに Outlook を制限できるため、Outlook はより多くのユーザーにとってよりセキュリティの高いソリューションとなります。これらの機能および他の向上点により、Outlook 2007 はこれまでで最もセキュリティの高い Outlook バージョンとなっています。

その他の参考資料

• Microsoft Office Developer Center :Outlook (英語)
• 2007 Office Resource Kit (英語)
• Microsoft Office Developer Center :<開発者向け> Microsoft Office Outlook 2007 の新機能 (1/2)
• Microsoft Office Developer Center :<開発者向け> Microsoft Office Outlook 2007 の新機能 (2/2)