Internet Explorer-Prozesse
Diese ADMX-gestützte Richtlinie steuert den Schutz vor Zonenanhebung für Internet-Explorer-Komponenten in `explorer.exe` und `iexplore.exe`.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (6)
HKLM\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\\ReservedHKLM\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\explorer.exeHKLM\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\iexplore.exeHKCU\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\\ReservedHKCU\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\explorer.exeHKCU\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\iexplore.exe
Diese ADMX-gestützte Richtlinie steuert den Schutz vor Zonenanhebung für Internet-Explorer-Komponenten in explorer.exe und iexplore.exe. Internet Explorer ordnet Inhalte Sicherheitszonen wie der Internetzone, der lokalen Intranetzone oder der Zone des lokalen Computers zu. Für jede Zone gelten unterschiedliche Sicherheitsbeschränkungen.
Bei aktiviertem Schutz verhindert FEATURE_ZONE_ELEVATION, dass Inhalte ohne eine vom Benutzer ausgelöste Aktion aus ihrer ursprünglichen Zone in einen privilegierteren Sicherheitskontext einer anderen Zone navigieren. Dadurch können Inhalte aus einer stärker eingeschränkten Zone nicht allein durch einen Zonenwechsel die geringeren Beschränkungen einer vertrauenswürdigeren Zone erhalten.
Ist die Richtlinie aktiviert oder nicht konfiguriert, kann Internet Explorer die Zonen vor einer solchen Anhebung schützen. Ist sie deaktiviert, wird dieser Schutz für die betroffenen Internet-Explorer-Prozesse nicht angewendet.
Hinweise
Weitere Wirkungen
Der Schutz unterbindet außerdem JavaScript-Navigationen, wenn für die Navigation kein Sicherheitskontext vorhanden ist. Die Einstellung ändert jedoch weder die Zuordnung einzelner Websites zu Sicherheitszonen noch die in den Zonen geltenden Sicherheitsoptionen.
Sicherheit
Die Zone des lokalen Computers unterliegt traditionell weniger Einschränkungen als Internet- oder eingeschränkte Zonen. Ohne den Schutz könnten manipulierte Webinhalte versuchen, durch eine nicht vom Benutzer veranlasste Navigation in einen weniger eingeschränkten Zonen- oder Sicherheitskontext zu gelangen.
Das Deaktivieren der Richtlinie entfernt diese Schutzschicht für explorer.exe und iexplore.exe. Es erteilt den Prozessen oder Webinhalten jedoch nicht unmittelbar Administratorrechte und hebt auch keine Windows-Dateiberechtigungen auf. Das konkrete Risiko entsteht aus den zusätzlichen Funktionen, die der erreichten Sicherheitszone gegenüber der ursprünglichen Zone gestattet sind.
Mögliche Nebenwirkungen
Ältere Webanwendungen oder lokale HTML-Anwendungen können beeinträchtigt werden, wenn sie automatische zonenübergreifende Navigationen oder JavaScript-Navigationen ohne ausreichenden Sicherheitskontext voraussetzen. Solche Navigationen können ausbleiben oder nicht wie von der Anwendung erwartet abgeschlossen werden.
Hinweise
Die Richtlinie ist sowohl für die Computer- als auch für die Benutzerkonfiguration definiert. Die Einträge unter HKLM bilden den computerbezogenen Geltungsbereich ab, die Einträge unter HKCU den benutzerbezogenen Geltungsbereich.
Die Einstellung gilt nicht als allgemeiner Zonenanhebungsschutz für beliebige Anwendungen. Andere Prozesse werden durch gesonderte Richtlinien für alle Prozesse oder eine ausdrücklich festgelegte Prozessliste erfasst.
Microsoft führt die heutige CSP-Abbildung ab Windows 10, Version 1709, auf. Die zugrunde liegende Internet-Explorer-Sicherheitsfunktion ist älter und wurde bereits für frühere Windows- und Internet-Explorer-Versionen dokumentiert.