對Internet Explorer的批評

Internet Explorer是一款招致了許多批評的網頁瀏覽器。大部分批評都集中在其安全架構以及對開放標準的支援程度上。對其安全性的批評.Internet Explorer 的安全性已被來自電腦安全研究社群全面審查，部分原因是因為市場被其獨佔。Internet Explorer 的安全漏洞已經使得其成為主流瀏覽器中較不安全的一個。2005年6月20日，安全諮詢網站Secunia列出了 Internet Explorer 6 的20個無補丁的安全漏洞，在每一個安全級別中，絕大部分漏洞存在的時間都比其他瀏覽器的時間長，但其中的一些漏洞只會影響特定版本的 Windows 上的某些 Internet Explorer 或是在與某些其他應用程式結合時才會暴露。另一安全諮詢網站SecurityFocus列出了存在於 Windows XP Service Pack 2 的 Internet Explorer 6 中 27個無補丁安全漏洞。在 Windows XP SP2 上的早期 Windows 中存在更多。2004年6月23日，一個目的在於大公司 IIS 伺服器的攻擊即是透過使用 Internet Explorer 中兩個先前未發現的漏洞，藉以在不知情的大量終端使用者的瀏覽器中插入垃圾郵件傳送軟體而成。該惡意軟體被定名為Download.ject，它會在使用者瀏覽網頁時偷偷電腦中安裝後門以及一個鍵盤擊鍵記錄軟體。被感染的電腦包括許多金融網站。Art Manion 是美國電腦緊急相應小組的一名代表，他指出 Internet Explorer 6 SP1 的許多設計使得 Internet Explorer 6 天生就不可能安全，他說道：Manion隨後聲名他的講話大部分是相對於2004年釋出 SP2 前的，並且其他瀏覽器也開始在上述CERT檔案中面臨類似的問題。值得注意的是XP SP2所提供的一些功能對於先前版本的Windows並不可用，它們包括 Windows 9x，NT 和 2000。另外，一些與Internet Explorer相關的安全漏洞也令需要的Windows使用者突破安全許可權。一個例子是，在Windows XP中，預設時系統是不允許普通使用者組進行日常操作是不明智的，但攻擊者可以依賴於Windows系統中這個處於不適當級別的瀏覽器程序。然而，也有許多Windows中的程式離開管理員特權無法執行或效果變差，所以其他系統中的正常操作可能對於Windows使用者來說是不切實際。許多的安全分析者指出IE經常爆出嚴重漏洞是因為它獨佔市場份額，所以駭客把其優先作為攻擊目標。然而，也有許多批評指出這種說法是不全面的；Apache網路伺服器的市場份額比微軟IIS要高，但Apache幾乎沒有安全漏洞，就算有也相較IIS說是很輕微 Mundie曾經承認微軟公司的產品「對常態而言是不安全的」而這是因為微軟「設計時更注重功能而非安全」結果這樣導致許多問題，一些安全專家，包括Bruce Schneier 以及開源倡導者David A. Wheeler ，推薦廣大使用者停止使用Internet Explorer作為日常瀏覽器，而轉換其他瀏覽器作為替代。一些技術專欄作家也建議過類似的話 。2004年6月6日，US-CERT釋出的漏洞報告建議立即停止使用IE而該用其他，尤其是訪問非信任站點時更應如此。2004年12月，賓夕法尼亞大學釋出的一篇文章告誡學生和員工馬上丟棄使用IE並改用其他瀏覽器。元件物件模組.許多的IE安全問題皆與元件物件模組將COM深植其中。這種功能的結合為電腦病毒、特洛依木馬程式以及間諜軟體的進入大開方便之門。這些惡意軟體的攻擊與傳遍通常皆要利用ActiveX。微軟早已經認識到這一問題，1996年Charles Fitzgerald－微軟的Java團隊程式負責人曾說，「如果你想在『網路上』安全，請關掉你的電腦。我們從來沒有準備讓ActiveX安全。ActiveX控制元件，一旦執行，即可獲得使用者特權而非像其競爭技術:ActiveX的安全依賴於安全區域的設定和數字簽名，而沒有類似沙盒以及元政策的指導ActiveX的安全問題首次被發現是在1997年，混沌電腦俱樂部這家機構展示了一個可以與使用者手持裝置中Intuit的Quicken金融軟體自動進行連線的ActiveX控制元件，這個程式會自動將使用者帳號上的錢轉移至CCC的銀行帳號。美國國防部(DoD)已經將ActiveX定義為1類的移動程式碼技術，並嚴格限制ActiveX在DoD系統內的使用。也有專家認為ActiveX的風險被過分誇張了，而其實ActiveX是有安全機制的。eWeek的Larry Seltzer指出：已釋出的Windows Defender可以監視Windows 2000，XP and Server 2003下IE中的BHO，並對欲新安裝BHO對使用者作出警告。補丁.很多人批評IE常常在發現問題很長時間後才釋出對應的補丁，而且釋出的補丁常常不能完全修復漏洞。如微軟在2003年2月釋出初始報告後200天才釋出出補丁，Marc Maifrett，eEye Digital Security的Hacking部門主管說過：“如果它們真的需要花費如此長的時間來修復(以及測試)，那麼他們還有別的問題。這不是一個軟體公司的運作常態。”The Register則批評Maifrett公佈的安全漏洞導致了CodeRed在那年的流行，也有人認為：「如果他們沒有發現引起公眾慌亂、ida漏洞或是他們的SecureIIS產品有能力防衛，紅色程式碼蠕蟲就不會感染數千臺系統。微軟將他們的延期歸咎於區域測試。公司對Internet Explorer進行測試的軟體是複雜而完全的。IE瀏覽器以26種不同語種釋出在不同的Windows平臺上。因此，對每個補丁的測試估計需要進行最少237次安裝 。雖然安全補丁持續在不同平臺上釋出，但現今大部分補丁只針對Windows XP釋出。間諜軟體·廣告軟體與Windows XP SP2.間諜軟體與廣告軟體，如同其他的惡意軟體一樣，通常把目標對準Windows/Internet Explorer為基礎的作業系統。較舊的間諜軟體對系統的危害已經因為Windows XP SP2的安全增強而有所緩解，但對IE新型的攻擊會在SP2上安裝間諜軟體。微軟不建議在已經感染間諜軟體的系統上安裝SP2，因為這可能導致不能自舉：視已安裝的間碟軟體而定，在SP2更新準備工作中，我們可透過反間諜工具移除間碟軟體或在一些嚴重情形中，需要手動修改登入檔。 然而，保安專家普遍建議安裝Service Pack 2。對其不支援開放標準的批評.在1990年代的瀏覽器戰爭時代，Internet Explorer與Netscape Navigator都不得不致力於在瀏覽器中新增非標準功能。這與近來以web標準設計的瀏覽器形成鮮明對比。在版本號5後，IE的Trident渲染引擎幾乎沒有進行過重大修改。結果在2005年，IE在支援標準上已經大大落後。雖然每一個版本的IE都會改善基本支援，包括在版本6中引採用的「符合標準模式」，其中用來建立網頁的核心標準卻仍然是以不完全且不正確的方式來實作的。舉例來說，它不支援 元素，但這是HTML 4.01 標準的一部份，而且它對CSS1標準中的float-margin部分的實作有缺陷。Internet Explorer盒模型錯誤是Internet Explorer對CSS標準的實作中，最為人熟知的缺陷之一。由於它在市場上的主導地位，使得某些網頁開發人員只用Internet Explorer來測試他們的網站。某些開發人員也使用Internet Explorer所提供的非標準擴充套件。這導致網頁無法被其他瀏覽器正確地解讀。最糟糕的情況下，它可能會阻擋其他瀏覽器的使用者存取這些開發人員所建立的網站。雖然Netscape已經停止開發Netscape Navigator，微軟的Internet Explorer因而取得了非常大的市場佔有率，而後開發Netscape Navigator的程式員與一些不滿Internet Explorer的技術人員創立了Mozilla組織並以Netscape Navigator作基礎開發了Mozilla Application Suite與Mozilla Firefox。影象標準.由於IE不支援PNG影象的Alpha 通道，導致PNG影象格式在網上使用率的減少。雖然只是一個可選的特性，Alpha 通道卻是把PNG與其他像GIF或者JPEG這樣的格式相區別的一個特色。 在Internet瀏覽器中，透明的部分的形象將被顯示作為灰色，白或者其他顏色。隔行或漸進顯示對於過去大量使用的撥號上網而頻寬非常有限的使用者非常有用。不過，Internet Explorer的影象不支援於未完成下載時開啟。但由於寬頻因特網連線的引進，現在這問題已沒那麼重要。HTTP與MIME.不像其他瀏覽器，Internet Explorer不允許MIME在Content-Type信頭段中定義MIME型別。比如一個純文字格式的檔內包含了HTML樣式的標記就會被識別為HTML文件，而不是純文字文件。但在這種情況下，可以透過手動修改登錄檔的方式強行改變執行行為。JavaScript與DOM.微軟擴充套件了原先網景的JavaScript並專稱其為JScript，JScript是Internet Explorer的預設指令碼語言。與Netscape's JavaScript有相似的implementation, JScript supports the full specification of ECMAScript, the only standardised scripting language on the Web.最大的不同在於與JScript繫結的文件物件模型(DOM)。Unicode.Internet Explorer對多語言文字支援Unicode標準，因此其理論上有能力顯示任何已經安裝字型的字元。但實際上，Internet Explorer不會對混和Unicode文字自動選擇字型。這種情況下字元可能會以一個空格結束或顯示為問號。網頁設計者必須猜測在使用者電腦上顯示哪種字型最為合適，如果需要改變就需要對每個Unicode塊進行手動改變。而對其他瀏覽器卻可以自動完成這個操作。以Unicode之中的英文的音標為例，當網頁中，欲顯示的音標字串的前後有使用與所包起來時。IE6以前的版本，無法正常顯示出英文的音標。但IE7則已修正了此Bug。其他批評.隨著版本的更新，Internet Explorer的下載大小也顯著增大。對於Internet Explorer 6 Service Pack 1 Opera 8.0 (3.6MB)、Mozilla Suite 1.7.8 (11MB)、Mozilla Firefox 1.5.0.6(4.9MB)和SeaMonkey 1.0.4(12MB)。一個較小但似乎很有意思的批評是軟體名稱中Internet這個單詞的使用。嚴格地說，Internet Explorer是為全球資訊網的誤導性使用，許多對因特網沒有足夠了解的使用者可能會認為使用Internet Explorer是進入因特網的唯一途徑。