A guastare in parte la festa a Microsoft è la segnalazione, avvenuta a pochissime ore di distanza dal lancio del browser, di un
bug di IE7. Il problema, descritto in
questo advisory "less critical" di Secunia, è relativo ad una non corretta gestione degli URL "mhtml:" e potrebbe essere sfruttato da malintenzionati per "rubare informazioni potenzialmente sensibili".
Microsoft chiama l'architettura di sicurezza alla base di IE7
dynamic security protection, ed oltre al già visto ActiveX Opt-in comprende strumenti e funzionalità atti a proteggere gli utenti da URL malformati, attacchi di tipo cross-domain scriptig (CSS), codici maligni che tentino di sfruttare i privilegi di IE, spyware, certificati digitali non validi o scaduti, truffe, ecc.
IE7 include ad esempio un
filtro anti-phishing capace di avvisare l'utente se l'URL che sta visitando è contenuto in una black-list di siti fraudolenti o contiene elementi sospetti. Questo filtro protegge anche dagli attacchi CSS, che spesso permettono ad un sito di manipolare il contenuto di un differente dominio di Internet, e dalle vulnerabilità legate agli URL in standard International Domain Name (IDN).
Il nuovo IE contiene poi la cosiddetta
Security Status Bar, una barra situata a fianco di quella degli indirizzi che avvisa l'utente di eventuali pericoli cambiando il proprio colore: il rosso, che indica il più elevato livello di rischio, viene ad esempio mostrato nel caso in cui un sito abbia un certificato SSL scaduto o contenga attacchi di phishing.
I principali meccanismi di protezione di IE7 sono stati analizzati in
questo articolo sulla sicurezza di
Windows Vista: come noto, infatti, IE7 farà parte integrante del nuovo sistema operativo di Microsoft. Del resto, almeno inizialmente Microsoft aveva pianificato di sviluppare IE7 esclusivamente come componente di Vista: i grossi problemi di sicurezza che hanno afflitto in questi ultimi anni IE6 hanno però convinto il gigante americano a sviluppare IE anche per le attuali versioni di Windows, XP e Server 2003. Niente da fare, invece,
per Windows 2000 e Me/9.x, i cui utenti dovranno tenersi IE6 o migrare verso altri browser.