Nicht mit Authenticode signierte Komponenten ausführen, die .NET Framework erfordern

Zweck

Registry-Schlüssel anzeigen (2)

• HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\2004
• HKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\2004

Dieser zonenbezogene Registry-Wert bildet die URL-Sicherheitsaktion URLACTION_MANAGED_UNSIGNED (0x00002004) für die Internetzone (Zones\3) ab. Er bestimmt, ob Internet Explorer verwaltete, von .NET Framework abhängige Komponenten ausführen darf, die nicht mit Authenticode signiert sind. Dazu gehören verwaltete Steuerelemente, die über ein object-Element eingebunden werden, und verwaltete ausführbare Dateien, auf die ein Link verweist.

Der Wert ist vom Typ REG_DWORD. Die unterstützten Wertdaten haben folgende Bedeutung:

• 0 (URLPOLICY_ALLOW): Die Komponente darf ohne Rückfrage ausgeführt werden.
• 1 (URLPOLICY_QUERY): Vor der Ausführung wird der Benutzer um eine Entscheidung gebeten.
• 3 (URLPOLICY_DISALLOW): Die Ausführung wird verhindert.

Hinweise

Sicherheit

Bei 0 können Websites der Internetzone nicht signierte verwaltete Komponenten ohne Rückfrage ausführen. Da keine Authenticode-Signatur vorliegt, lässt sich über Authenticode weder die Identität des Herausgebers bestätigen noch feststellen, ob der signierte Inhalt seit der Signierung verändert wurde. Dies vergrößert die Angriffsfläche für webbasierte Schadsoftware oder die Ausnutzung von Schwachstellen in solchen Komponenten.

Der Wert 1 verhindert eine unbemerkte Ausführung, verlagert die Entscheidung jedoch auf den Benutzer. Eine Bestätigung erlaubt anschließend die betreffende Ausführung. Der Wert 3 blockiert diesen Ausführungspfad und reduziert damit die Angriffsfläche für nicht signierten verwalteten Code aus der Internetzone.

Die Einstellung erteilt dem ausgeführten Code keine Administratorrechte und setzt keine Windows-Datei-, Prozess- oder sonstigen Zugriffsberechtigungen außer Kraft. Erlaubter Code wird weiterhin im jeweils geltenden Prozess- und Benutzerkontext sowie unter den übrigen wirksamen Sicherheitsbeschränkungen ausgeführt.

Mögliche Nebenwirkungen

Bei 3 funktionieren ältere Websites oder Webanwendungen möglicherweise nicht mehr, wenn sie nicht signierte verwaltete Steuerelemente oder verlinkte .NET-Programme benötigen. Der Wert 1 kann solche Anwendungen durch wiederkehrende Sicherheitsabfragen unterbrechen und macht ihre Funktion von der Benutzerentscheidung abhängig.

Hinweise

Die Einstellung gilt ausschließlich für die Internetzone mit der Zonennummer 3. Entsprechende Einstellungen für das lokale Intranet, vertrauenswürdige Sites, eingeschränkte Sites und gesperrte Zonen verwenden andere Registry-Pfade. Sie steuert weder die allgemeine Ausführung lokaler .NET-Anwendungen noch sämtliche Möglichkeiten zum Herunterladen oder Starten ausführbarer Dateien.

Der Pfad unter HKLM gehört zum computerbezogenen Richtlinienbereich, der Pfad unter HKCU zum benutzerbezogenen Richtlinienbereich. Für die zugehörige ADMX-Richtlinie dokumentiert Microsoft bei nicht konfigurierter Einstellung die Ausführung nicht signierter verwalteter Komponenten in der Internetzone.

Microsoft-Dokumentation

Microsoft Learn: InternetExplorer-Richtlinien-CSP – InternetZoneAllowNETFrameworkReliantComponents

Microsoft Learn: URL Action Flags

Microsoft Learn: URL Policy Flags

Siehe auch

• Eintrag in der Referenz