SP2トラブル: Outlook Expressのメールのプレビュー・ウインドウが変更に

---

Windows XP SP2によってさまざまな変化がもたらされましたが、もっとも多くの人が体験するであろう変化は、メールソフトのOutlook Epressと、ブラウザのInternet Explorerに加えられた変更でしょう。それでは、具体的にどのような変更がなされたのか、まずはOutlook Expressに関するものから私の体験を交えながら解説したいと思います。


「a」については、あれこれGoogleで検索後、いくつかの同様な事例は見つかったものの解決策は見つかりませんでした。しかし、後で、マイクロソフトのサポートページを見たらすぐに見つかりました。灯台もと暗し。

● Windows XP SP2 をインストール後、メールの本文中にある URL をクリックしても文字の色が既読リンクに変わらない
http://support.microsoft.com/default.aspx?scid=kb;JA;883976

早速、絶対に安全なメールを選択している状態で、両オプションのチェックをはずしてみました。そして、URLをクリック。見事、色が変わりました！！

XP SP2では、デフォルトで、[HTML 電子メールにある画像および外部コンテンツをブロックする] のチェックがオンになっています。その上、私はSP1時代から[メッセージはすべてテキスト形式で読み取る] のチェックをオンにしていたものですから、URLをクリックしても文字の色が変わらなかったのです。

だからといって、この両オプションをオフにすることは私にはできません。なぜなら、少なくとも[HTML 電子メールにある画像および外部コンテンツをブロックする] のチェックは外すべきでないからです。解説します。

▼ <<HTMLメール内の画像が表示されない理由>>
まず、この[HTML 電子メールにある画像および外部コンテンツをブロックする] というオプションが意味する内容が何なのかを知るために、[HTML 電子メールにある画像および外部コンテンツをブロックする] をオンにした状態で、かつ、[メッセージはすべてテキスト形式で読み取る] のチェックをオフにします。この状態で、任意のHTMLメールを選択して、プレビューさせてみます。

左の画像のように、画像が表示されず、赤いバッテンマーク「×」が表示されます。「このコンピュータが送信者に識別されることを予防するため、画像がブロックされています。画像をダウンロードするには、ここをクリックしてください。」という警告メッセージがプレビュー画面の上部に表示されます。

「送信者に識別される」とはどのような意味でしょうか？　これは画像をそのまま表示させると、送信者（ここで問題にしているのは所謂「スパム業者」を主に指します。）に以下のような情報が伝わります。画像を特定のサーバに置き、そのURLを指定する際に、受信者（即ち、あなた）ごとに異なるURLになるようにします。これにより、画像を表示しただけで、スパム業者のサーバに設置された画像がダウンロードされたということになりますますから、スパム業者のサーバのアクセス記録にログが残ります。つまり、以下のような情報がスパム業者に分かります。

• 受信者（即ち、あなた）がこのメールを開封したかどうか。あなたのメールアドレスが現在も有効かどうか。

• あなたがいつメールを開封したか。そして、あなたのメールアドレスは元々分かっていますから、「example@example.com さんが何時何分何秒にメールを開いた」と分かります。
  （ただし、たいていの場合は、あなたの名前などは分かりません。メーリングリストで本名を名乗っていて、そのメーリングリストの過去ログがWEBアーカイブ化されていない限り。このようなケースを除いて、あなたのメールアドレスとあなたの名前を結びつける手段はありません。）

• あなたが、どのようなプロバイダを使っているかが分かります。proxyを通して接続していない限り、たとえば、「あなたがYahoo! BBを使っているのか、OCNを使っているのか、@niftyを使っているのか」はスパム業者に丸分かりです。これにより、「****@example.com さんの何時何分何秒におけるホストアドレスは abc123456.example.com であり、当サーバ内の　http://www.example.com/secret.jpg にアクセスした。」などの情報が、送信者であるスパム業者に渡ります。なぜ問題なのかについての詳細は敢えて説明しませんが、これは非常にまずいことです。
  
  たとえば、あなたがこうしてホームページを見ている際にも、このホストアドレスはこのホームページが設置されているサーバに送信されていますが、どう頑張っても（セキュリティホールでも突かない限り）、あなたのメールアドレスはあなた自身が入力しない限り、こちらには分かりません。しかし、メールの場合は、あなたのメールアドレスとホスト情報などと結合（リンク）させることが可能であり、信頼できないメールに書かれたURLを明示的にクリックする場合はもちろん、HTMLメール内の画像をダウンロードすることで無意識的にアクセスしている場合でさえ、非常に危険なのです。ホームページとメールでは全然違うのです。
  
  

このような画像によって識別情報、例えば、あなたのホストアドレス（正確性には欠けますが、あなたの利用しているプロバイダ。）やアクセス時間などがメール送信者側に送られるために、HTMLメール内の画像をそのまま表示させることは、プライバシー上、非常に問題があるのです。

そのため、マイクロソフトは、、SP2で、[HTML 電子メールにある画像および外部コンテンツをブロックする] というオプションを今回わざわざ設け、デフォルトでオンになるようにしたのです。今回のSP2導入よりも半年以上前の話になりますが、hotmailにおける仕様変更（画像表示制限）を同社が行ったのも同じような理由によるものです（参照：同社プレスリリース）。マイクロソフトを賛美するわけではありませんが、これは非常に良いことです。

ですから、HTMLメールの配信業者（スパムメール・未承諾メールではなく、オプトインのメール配信業者）の中には、HTMLメールの画像が表示されない件の解決策として、[HTML 電子メールにある画像および外部コンテンツをブロックする] というオプションの解除の仕方を説明する際に、セキュリティ的な問題点を一切説明しなっていないところがありますが、これはまずいと思います。面倒でも、その都度、（信頼しているHTMLに対しては）「このコンピュータが送信者に識別されることを予防するため、画像がブロックされています。画像をダウンロードするには、ここをクリックしてください。」の警告メッセージにしたがって、クリックして、画像を表示させるようにした方が絶対良いです。

仮に、マイクロソフト社が、「この差出人のHTMLメールに対しては常にHTMLメール内の画像を表示する」というようなオプションを作ってくれた場合は別ですが、そうでないのなら、all or nothingですから、[HTML 電子メールにある画像および外部コンテンツをブロックする] というオプションはオン（有効）にしておくべきだと思います。

● （メールの画像表示機能に関係する）セキュリティホールを突くような攻撃コードに対しても有効


● [メッセージはすべてテキスト形式で読み取る] のチェックをオフにしたら、見た目は改善

次のページでは、「View-sourceプロトコールが使えなくなった」事例を取り上げます。