Windows 8 сообщает Microsoft о любых устанавливаемых программах

Как и обещалось, в начале августа компания Microsoft выпустила ^[1] для почти что свободного скачивания версию Release Preview своей наиболее спорной за последние годы операционной системы — Windows 8. К ней немедленно получили доступ исследователи и просто интересующиеся, в том числе и Надим Кобейсси, который 24-го августа опубликовал ^[2] данные о том, что одна из слабо известных утилит Windows 8 отправляет сведения о всех устанавливаемых приложениях компании Microsoft. Подобный сбор данных о пользователе потенциально может вылиться в преследование — не только судебное, но и политическое, к примеру, в тех регионах, где ситуация нестабильна.

Некоторое время на одном из своих компьютеров Надим с огромным удовольствием использовал RTM-версию Windows 8, отмечая отличную скорость работы и дизайн функциональности представителя популярной линейки операционных систем. Но при изучении проблем безопасности вскрылась заинтересовавшая его проблема.

Windows 8 имеет функцию под названием Windows SmartScreen, которая по умолчанию включена. Данная функция имеет своей целью наблюдение за всеми приложениями, которые пользователь попытается установить, чтобы предупредить о статусе безопасности устанавливаемой программы.

Схема работы проста: после открытия установщика любого программного пакета — к, примеру, браузера, редактора изображений или редактора текста — Windows SmartScreen собирает некоторую идентификационную информацию о приложении и отсылает данные на сервера Microsoft. Если будет получен ответ о том, что приложение не подписано необходимым сертификатом, то пользователь будет решать, запускать ли установщик или проигнорировать его. При отсутствии интернет-соединения будет выведено предупреждение о невозможности проверки допустимости запуска приложения.

Кроме прямой проблемы наличия включенной по умолчанию слежки за любыми попытками устанавливать программы как нарушения приватности действий, стоит отметить возможность давления на Microsoft с целью выдачи данных государственным структурам и юридическим представителям крупных держателей авторских прав.

Поток отсылаемой информации также может быть перехвачен. Так можно изучить, какие программы устанавливает пользователь. Надим заметил, что SmartScreen соединяется по протоколу HTTPS с сервером apprep.smartscreen.microsoft.com, где запросы обрабатываются сервером Microsoft IIS 7.5.

Сервер на стороне Microsoft сконфигурирован таким образом, что может принимать запросы, шифрованные протоколом SSLv2, который, как известно ^[3], был скомпрометирован. Сертификат шифрования предоставлен GTE CyberTrust Global Root организации Microsoft Secure Server Authority; ранее модель центра цифровых сертификатов доказала ^[4] свою уязвимость.

Согласно информации Microsoft ^[5], SmartScreen отсылает лишь хэш установщика и его цифровую подпись (если есть). Тем не менее, знания внешнего IP-адреса достаточно, чтобы в случае необходимости установить, что определенный человек попытался установить определенную программу. Другой исследователь изучил хроники паники Надима и обнаружил ^[6], что также отсылается и имя файла.

<Rq V="1.2">
  <RqT>0</RqT>
  <App>
    <FName>U2FtZUdhbWUuZXhl</FName>
    <FHash>d3ff5939726c9f8fa6e514fb65eb470a1f9ec7a65b2706732
a03749226c2520</FHash>
    <Sig>0</Sig>
    <Sz>45056</Sz>
    <M>1</M>
    <SR>100</SR>
  </App>
  <ID>0F98AD9C-D498-42B3-B421-E6C97A8E61E7</ID>
  <G>B68802CA-B396-4773-8FD9-EEECA4DE65D9</G>
  <L>ZW4tVVM=</L>
  <OS>6.2.9200.0.0</OS>
  <I>OS4xMC45MjAwLjE2Mzg0</I>
  <C>10.00.9200.16384</C>
  <DJ>2</DJ>
</Rq>

Здесь FName — закодированное в base64 имя файла-установщика программы, а FHash — его SHA-256 хэш.

SmartScreen не так легко отключить, и система будет периодически просить пользователя включить его обратно.

Чтобы отключить фильтр SmartScreen, необходимо в панели управления зайти в раздел System and Security, выбрать опцию Action Center и отмотать список до Windows SmartScreen.

Теоретически, Редмонд может начать собирать базу данных, соотносящую время, установленные приложения и IP-адреса. Тем не менее, трудно ожидать от такого неповоротливого гиганта сборов логов: Microsoft уже не раз показывала свою восхитительную мягкость, например, сдав без боя имя Metro ^[7]. Компания годами продолжает доставлять обновления операционной системы даже пользователям нелицензионных копий, слабо подталкивая их обновиться до легального статуса, и отключение SmartScreen как полезной функции фильтра вредоносного программного обеспечения не стоит считать обязательным.

Автор: FakeFactFelis