Vài ngày trước, tôi đọc loạt bài xung quanh batch bảo mật tháng 7 cho Windows 7. Một trong số đó, security-only KB4507456 package, available qua Online Catalog (không phải WU) dường như chứa telemetry code — cái gọi là Compatibility Appraiser. Hm, naughty.
Tôi quyết định check xem sao. Có hai finding quan trọng — một, Microsoft có sneak telemetry vào Windows 7 dưới vỏ security-only fix không, và hai, implication rộng hơn của move này về user trust. Hãy explore.
Compatibility Appraiser
Để xem July patch có thực sự push naughty bit lên Windows 7 users không, tôi check status một trong máy Windows 7 của tôi, last updated May 22, tức là chưa subjected to July patches. Lo and behold, nó có exact same entries dưới Task Scheduler như referenced trong latest series articles.
Vậy không, điều này không added in July — merely updated. Với lý do gì? Tôi không biết. Tuy nhiên, các tasks này không làm gì trừ khi bạn opted-in Customer Experience Improvement Program (CEIP). Thực tế, text của scheduled tasks dưới Application Experience đọc:
Aggregates and uploads Application Telemetry information if opted-in to the Microsoft Customer Experience Improvement Program.
Và bạn check xem có opted-in CEIP không. Mặc định, Windows 7 KHÔNG opted-in CEIP.
Giờ, có điểm mà một cumulative updates introduce new service gọi Diagnostic Tracking Service cách back — nhưng tôi không tin nó related đến scheduled tasks trên. Trên host này, service ở disabled state, và state này không thay đổi giữa updates (cho đến nay).
Nhưng tôi nói về này nhiều năm trước, với whole Windows 10 & keylogger conspiracy. Đây không phải anything new, và data telemetry đã around lâu. Từ all practical purposes, presence của code này không alter cách Windows 7 behaves. Nhưng đó chỉ first point của situation này.
User trust
Yếu tố quan trọng hơn là HOW Microsoft làm update. Security-only nghĩa là gì nó nghĩa. Include packages không serve security-only purpose là breach of user trust những ai expect updates làm như text nói. Thực tế, move to cumulative updates đã removed degree of freedom giữa advanced users trong cách họ manage patching, vì granularity của yore is gone. Nghĩa là bạn phải accept whole bundle updates — hoặc none at all.
Sau đó, đừng quên GWX campaign. Hardly record of awesome behavior bạn expect. Thực tế, nhiều người burned bởi aggressive push dùng Windows 10, và nó vẫn còn. Latest set updates, REGARDLESS of what they factually, technically do, erodes trust even further, và long run, sẽ chỉ cause more damage. Đó là classic sales foot-in-the-door nonsense. Works cho people với IQ double-digit zone, không work cho smart people.
Vậy không, không có gì mới về telemetry. Có, có gì mới về updates side — và nghĩa là chúng less trustworthy hơn trước. Bạn có thể add reduced quality của updates recent times, và none of this helps build confidence giữa Windows 7 (và có thể Windows 8) users moving forward và thử Windows 10. Vì freedom và privacy quan trọng, ngay cả as philosophical concepts.
Nói về freedom và privacy, come the day, nếu bạn không muốn Windows 10 upgrade, Microsoft đã release updates cho phép bạn block system upgrades once and for all. Thực tế, bạn nên check bài Windows upgrade & telemetry của tôi. Nghĩa là bạn won't be nudged thử "modern" world và whatever. Cụ thể, relevant patches bao gồm KB3050265 cho Windows 7 và KB3050267 cho Windows 8.1. Đó bạn.
Làm gì thì?
Vâng, advice của tôi về automatic updates từ 2008 vẫn stand. Bạn nên KHÔNG BAO GIỜ blindly apply updates, vì bạn never be 100% sure other party đã làm all testing và validation để ensure foolproof product. Nhưng có thêm. Hãy elaborate.
- Không bao giờ là first apply updates. Hầu hết thời gian, không có gì cardinal yêu cầu apply patches ngay. Cuối cùng, Microsoft cung cấp patches monthly cadence, nghĩa là bạn getting patches 1-29 days late (suy nghĩ). Nếu whole ecosystem setup deliver patches cách này, vài tuần đây đó won't matter. Mặt khác, đây là plenty of helpful, precious time خلالها bugs và problems có thể detected — ergo issue này. Để người khác tìm problems, rồi patch khi mọi thứ sorted và peachy.
- Không bao giờ apply system updates không có FULL system image. Cách này bạn roll back nếu có issues với patches. Trong hai mươi năm qua, tôi rolled back vài systems do bad updates. Thực tế, đây là only reason tôi ever cần imaging, để undo damage do system — và một vài application hiếm — updates gây ra.
- Whole security thing overrated, nói chung. Vâng, being target của hack hoặc similar có thể painful, đó là tại sao backups cũng play important role. Nhưng bạn more likely victim của companies khác misusing hoặc misplacing data hơn victim của own folly. Bạn đọc về massive data breaches gần như daily. Hàng trăm triệu records bị leak mọi lúc, từ names và emails đến physical addresses và credit card data. Và bạn có little control over this. Vì vậy system của bạn có thể few weeks hoặc months behind latest patches, miễn là Internet-facing apps properly configured, bạn nên fine.
- Bạn có thể nói — fact someone else doing bad job, không nghĩa bạn nên, too. Correct. Nhưng having system fully patched không phải panacea. Như tôi nói, having Internet-facing apps patched quan trọng. Sau đó, bạn nên consider dùng standard thay vì admin user. Bạn muốn Noscript cho browser, và definitely want EMET (và Exploit Mitigation trong Windows 10) as security tools. Tất cả này vastly more important than run-of-the-mill fearmongering bạn get mainstream IT media, hoặc system patches. Oh yes, bạn không phải business must keep network ports open. Dùng firewall hoặc router, và all sorts vulnerabilities affect servers không apply to bạn.
Last but not least, keep that resentment boiling. A good controversy thường more effective than technology. Companies fear reputation damage hơn bất cứ thứ gì khác.
Kết luận
Đôi khi, hard to separate fact từ emotion khi nói technology. Điều này không help end user, vì khi people search solutions cho genuine concerns như này, họ first phải filter through outbursts của pent-up frustration do nhiều năm salesy bullshit.
Từ technological point of view, không có gì mới. Tuy nhiên, fact bạn giờ get non-security nonsense với security nghĩa là bạn can't really trust updates từ Microsoft nữa. Vì vậy nếu anything,这将 majestically backfire. People don't like being pushed, và tôi amazed với repeated attempts làm vậy, again and again.
Vâng, tôi never trusted any updates ever, hence my wait-and-see image-first approach. Đó là best tôi offer bạn now. Về brighter future, probably won't be any. Golden days of computing behind us. Things will, across the board, just get worse cho smart và independent people. Linux desktop là great hope, once upon a time, nhưng đó là another sad, empty dream. On that happy note, bye bye.
Cheers.