Microsoft добавила файлы телеметрии в обновления безопасности и вызвала подозрения скептиков

Традиционно во Вторник Патчей (Patch Tuesday), 9 июля, Microsoft выпустила несколько обновлений безопасности и исправлений для Windows 7. Однако, на этот раз один из пакетов обновлений поставлялся с «сюрпризом» от Редмонда.

Согласно правилам Microsoft, «обновления безопасности» должны включать только улучшения безопасности, а не качественные исправления или диагностические инструменты. Примерно три года назад компания разделила ежемесячные пакеты обновлений для Windows 7 и Windows 8.1 на 2 варианта предложений: ежемесячный набор исправлений и обновлений и пакет только с обновлениями безопасности.

Обновление KB4507456 от 9 июля 2019 года получило компонент под названием Microsoft Compatibility Appraiser (средство оценки совместимости), предназначенный для выявления проблем, которые могут помешать обновлению Windows 7 до Windows 10.

Среди яростных скептиков Центра обновления Windows, Compatibility Appraiser заслужил не лучшую репутацию. Данный компонент используется для подготовки к очередному циклу развертывания принудительных обновлений или для наблюдения за отдельными компьютерами. По мнению некоторых наблюдателей, упоминание слова «telemetry» как минимум в одном из файлов пакета — это короткий шаг от безобидного сбора данных к настоящим шпионским программам.

Автор популярных книг про Windows Вуди Леонард (Woody Leonhard) считает, что Microsoft решила «незаметно добавить функциональность телеметрии в последнее обновление»:

В обновлении безопасности KB4507456 за июль 2019 года Microsoft без предупреждения добавила «Compatibility Appraiser» и запланированные задачи (телеметрию) в обновление безопасности. В заметках к выпуску сообщается, что KB4507456 заменяет KB2952664.

Таким образом, данное обновление перестает быть только обновлением безопасности. Как расценивать такое подлое поведение? Microsoft, где прозрачность?

У многих пользователей возникают аналогичные вопросы. Редакция ZDnet пыталась получить официальный комментарий от Microsoft, но вместо этого получила от Редмонда короткое сообщение «без комментариев».

Собственное расследование ZDnet привело к альтернативной теории, что некоторая часть компонента Appraiser в Windows 7 SP1 могла иметь собственную проблему безопасности. Если это действительно так, то пакет KB4507456 действительно можно считать исключительно обновлением безопасности.

Впервые инструмент Appraiser был предложен через Центр обновления Windows как отдельно, так и в рамках ежемесячного накопительного обновления два года назад. Данный модуль установлен на большинстве ПК, до сих пор работающих под управлением на Windows 7.

Microsoft публично заявляет, что обновления безопасности «не содержат ни утилиту Get Windows 10, ни функций обновления». Однако, учитывая негативный опыт пользователем с нежелательными обновлениями еще в первый год после релиза Windows 10, немногие верят Редмонду.

Почему Microsoft молчит об этом обновлении? Понятно, что компания неохотно говорит о проблемах безопасности вне официальных каналов, таких как заметки о выпуске и бюллетени поддержки. У инженеров по безопасности Microsoft и так много дел – на этой неделе сообщалось о нескольких эксплойтах нулевого дня в Windows 10, которые уже активно эксплуатируются киберпреступниками.

Информационная открытость Microsoft, связанная с обновлениями, стала лучше в последние годы, но, как мы видим в данной ситуации, проблемы еще сохраняются. Упрямое молчанию компании на этот раз ставит в тупик. Такое поведение просто служит доказательством для критиков, что у компании есть скрытый мотив.

Возможно, Microsoft считает, что у нее есть веские основания, чтобы Compatibility Appraiser стал обязательным компонентом, поскольку приближается дата окончания поддержки Windows 7. Хотя Microsoft предложит платную поддержку еще на три года, она будет доступна только для организаций.