Windows 11のエクスプローラーに、セキュリティ上の理由からプレビューが制限されているファイルを、ユーザーの判断で表示できる新機能「とにかくプレビュー」が正式リリースされる見通しだ。Windows Latestが8月24日(現地時間)に報じた。
なぜプレビュー機能は制限されたのか
Windows 11のエクスプローラーには、ファイルを開かずに内容を確認できるプレビュー機能が備わっている。この機能はツールバー右端の「プレビュー」をクリックすることで有効にできる。有効にするとファイル一覧の右側にプレビューペインが表示され、PDFやHTMLなどの対応ファイルを選択することで内容が表示される。WordやExcel、PDFビューワーなどを起動せずに内容を確認できるため、作業効率の向上につながる便利な機能だ。
しかし、このプレビュー機能には、認証情報の漏洩につながるセキュリティ上の問題が存在する。プレビューはファイルを開かずに内容を表示するが、実際はエクスプローラーの内部でファイルを開いてコンテンツを解析し、そのイメージを表示している。そのため、Windows特有の「UNCパス」がコンテンツに含まれていると、エクスプローラーはパスにアクセスして分析の継続を試みる。このパスが攻撃者の管理する外部リソースにリンクしていると、NTLMハッシュが漏洩し、解析などによってパスワードを特定される可能性がある。
ユーザーがファイルを選択するだけで認証情報が外部に送信される可能性があるため、注意が必要だ。そこでMicrosoftは昨年10月、緊急対策としてダウンロードしたファイルに対するプレビュー機能を無効にする修正を導入した。
脆弱性は未修正のまま
Microsoftはこの脆弱性を把握しているが、「サービス提供のセキュリティ基準を満たしていない」として対応を拒否している。これはMoTWマークによる保護によって、脆弱性の悪用が困難と推測されることが理由だ。ただし、MoTWによる保護はファイルのプロパティやコマンドなどから解除することが可能だ。そのため、MoTWによる保護を前提として脆弱性を修正しないという判断には、一定のリスクが残る。
そして今回、プレビューの制限をボタン1つで解除できる「とにかくプレビュー」の正式リリースが明らかになった。脆弱性は残されたままだが、利便性とリスクの折衷案とも言える変更が導入されることになる。
提供開始時期と注意点
「とにかくプレビュー」ボタンは、プレビューペインの警告メッセージの下部に表示される。警告メッセージを残すことで脆弱性の存在を通知し、安全性の確認をユーザーに求める仕組みだ。ユーザーはセキュリティソリューションなどを活用して安全性を確認し、ボタンをクリックすることでプレビュー表示が可能になる。検証することなく表示することも可能だが、パスワード流出のリスクについては理解しておく必要がある。
Windows Latestによると、この機能は数週間以内、早ければ9月にリリースを開始する見込みとされる。「とにかくプレビュー」は利便性を取り戻す一方、プレビューするファイルが安全かどうかの判断をユーザー側に委ねる仕組みとなる。利用する場合は、警告を安易に無視せず、ファイルの入手元や安全性を確認する必要がある。
