Prozessliste
Diese Gruppenrichtlinie legt für einzelne ausführbare Dateien fest, ob der Internet-Explorer-Schutz vor Zonenanhebung angewendet wird.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (4)
HKLM\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\ListBox_Support_FEATURE_ZONE_ELEVATIONHKCU\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\ListBox_Support_FEATURE_ZONE_ELEVATIONHKLM\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATIONHKCU\Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION
prozessbezogene Wertnamen
Diese Gruppenrichtlinie legt für einzelne ausführbare Dateien fest, ob der Internet-Explorer-Schutz vor Zonenanhebung angewendet wird. Die Funktion verhindert nicht vom Benutzer ausgelöste Navigationen von einer Webseite in einer Sicherheitszone zu einer privilegierteren, weniger eingeschränkten Zone.
Die eigentlichen Prozesszuordnungen stehen unter FEATURE_ZONE_ELEVATION. Der jeweilige Wertname entspricht dem Dateinamen der ausführbaren Datei und der Wert ist ein REG_DWORD:
1aktiviert den Schutz für den angegebenen Prozess und kann die Zonenanhebung verhindern.0lässt die Zonenanhebung für den angegebenen Prozess zu.
Leere Wertnamen sowie Werte ungleich 0 oder 1 werden ignoriert. ListBox_Support_FEATURE_ZONE_ELEVATION bildet den Status der listenbasierten Richtlinie ab; die einzelnen Prozessentscheidungen werden durch die Werte unter FEATURE_ZONE_ELEVATION beschrieben.
Hinweise
Weitere Wirkungen
Der Schutz vor Zonenanhebung unterbindet außerdem JavaScript-Navigationen, wenn kein Sicherheitskontext vorhanden ist.
Wenn die zugehörige Richtlinie Alle Prozesse aktiviert ist, haben die ausdrücklich in dieser Prozessliste festgelegten Werte Vorrang. Für Internet-Explorer-Prozesse existiert eine eigene Richtlinie; deren Verhalten sollte nicht durch Einträge in dieser Liste nachgebildet werden.
Sicherheit
Ein Wert von 1 erschwert es Inhalten aus einer stärker eingeschränkten Zone, ohne Benutzeraktion in einen Kontext mit geringeren Sicherheitseinschränkungen zu navigieren. Dies reduziert die Möglichkeit, Zonengrenzen auszunutzen, um von weniger vertrauenswürdigen Inhalten aus privilegiertere Inhalte oder Funktionen anzusteuern.
Ein Wert von 0 hebt diesen Schutz für den betreffenden Prozess auf. Dies ist insbesondere sicherheitsrelevant, wenn der Prozess nicht vertrauenswürdige Inhalte mit der Internet-Explorer- beziehungsweise MSHTML-Engine verarbeitet. Der Eintrag gewährt jedoch weder zusätzliche Windows-Benutzerrechte noch allgemeine Administrator- oder Dateizugriffsrechte.
Mögliche Nebenwirkungen
Ein Wert von 1 kann legitime automatische Navigationen zwischen Sicherheitszonen in älteren Webanwendungen oder in Anwendungen blockieren, die das Internet Explorer WebBrowser-Steuerelement hosten. Dadurch können Weiterleitungen oder vergleichbare skriptgesteuerte Abläufe fehlschlagen.
Hinweise
Die Einstellung ist eine prozessbezogene Internet-Explorer-Funktionssteuerung und keine allgemeine Sicherheitszonenrichtlinie für sämtliche Browser. Sie wurde mit Internet Explorer 6 unter Windows XP Service Pack 2 beziehungsweise Windows Server 2003 Service Pack 1 eingeführt.
Die Internet-Explorer-11-Desktopanwendung wird auf bestimmten Windows-Versionen nicht mehr unterstützt. Die Einstellung bleibt vor allem für ältere, auf Internet Explorer oder MSHTML basierende Anwendungen relevant; sie steuert nicht die Chromium-Engine von Microsoft Edge.
HKLM gilt computerweit, während HKCU die benutzerbezogene Ausprägung derselben Richtlinie enthält.
Microsoft-Dokumentation
Microsoft Learn: Windows Vista – Kapitel 2 (Schutz vor Malware), Schutz vor Zonenanhebung