ウェブブラウザ上でHTML形式メールを受信時リスク

質問

HTML形式のメールは、メール自体にプログラムを埋め込めるようなのですが、そのプログラムはどこまでの動きができるものなのでしょうか。メールサービス上の悪さでとどまる範囲のものしか仕込めないのか、閲覧操作をしただけで端末に入り込んだり実行したりが可能なものも有り得るのか。

この投稿のマルチメディアは削除されているためご覧いただけません。

回答No.1

bardfish

以前、MicrosoftはInternetExplorer(通称IE)ではActiveXという手法で.Exe形式のプログラムと同じことができるようにしていました。
ですが、ローカルでプログラムを実行できると言うことは悪意のあるプログラムも実行できると言うこと。それをHTML内に仕込まれてしまうとは起動ドライブをフォーマットすることも可能。

だけど、エンジニアリング目線で言えばそれはすごくありがたいことだったんです。HTMLベースのWebサービスを基幹業務などで採用した場合にネックになるのがHTMLからはパソコンにインストーしたソフトを利用できないというものがありました。基幹業務などのシステムではローカルにインストールしたソフト(表計算とかAccessとか)を利用したいケースが出てきます。それに対応するために開発されたものなのかもしれません。

ですが、前述しいたように悪用されるケースもあるし実際そういう事例が発生したためにどんどん不便になっていき、最終的には廃止されました。VBScriptもIEで使用できたのですが、結局佐連を採用したのはMicrosoftだけで、全体としてはJavaScriptが実質標準に。

Webブラウザとしてはセキュリティ的原則としてローカルデバイスへの直接接続は禁止というものがあります。
間接的になら許されているのですが、多くの場合はブラウザなどが用意したものを利用する形になり、それらは仕様とか規格として定義されているはずです。
それを外れた動作というのは「セキュリティホール」ということになると思います。
HTMLメールを扱えるメールソフトもブラウザ機能を内蔵していると言うことになり、W3Cという仕様/規格に準拠しています。

何がどこまでできるかを知りたければW3CとかRFCの仕様書を読むことをお勧めします。原文は英語ですけどw

お礼

ご回答ありがとうございました。

補足

今の私が見て役立てられるものかはわかりませんが、仕様書なるものが公開されているものなら、一応該当部分等教えていただけると有り難いです。