Nie siejmy paniki, nie wyłączajmy automatycznych aktualizacji w Windows

W ostatnich dniach obserwuję bardzo niebezpieczną kampanię w mediach technologicznych, a także na poczytnych blogach: z przerażeniem patrzę, jak uważający się za ekspertów dziennikarze i/lub blogerzy wielkimi czcionkami zalecają swoim czytelnikom, aby wyłączyć mechanizm automatycznych aktualizacji w Windows i publikują ilustrowaną instrukcję, jak to szybko i łatwo zrobić. To już nie jest ignorancja, to jest zwyczajna głupota.

Sprawa dotyczy oczywiście wydanej niedawno aktualizacji do systemu Windows 7, oznaczonej numerem KB3004394, która po instalacji spowodowała dość istotną awarię systemu. Nie wdając się przesadnie w techniczne zawiłości, poprawka ta uszkadzała rejestr zaufanych urzędów certyfikacji w systemie, co powodowało problemy ze skorzystaniem z certyfikatów. Certyfikaty to jednak nie tylko połączenia szyfrowane z wykorzystaniem protokołu SSL, ale także uruchamianie wielu ważnych, systemowych aplikacji. W wyniku tej awarii duża część systemu po prostu przestawała działać. Problem został ostatecznie rozwiązany, co prawda dopiero po trzech dniach, poprzez wydanie kolejnej aktualizacji. Niesmak oczywiście pozostał.

Zastanówmy się teraz, skąd biorą się takie problemy i czemu atakują jak epidemia? W jaki sposób rozprowadzane są aktualizacje wśród użytkowników? Użytkownicy domowi i małe środowiska firmowe z reguły korzystają z mechanizmu automatycznych aktualizacji wbudowanego w Windows, który sam dba o to, aby poprawki regularnie pobierać. Większe firmy, tam gdzie komputerów jest więcej lub istnieją specjalne wymagania, proces aktualizacji z reguły przebiega w dużym stopniu ręcznie – oczywiście jedynie na etapie wyboru poprawek do instalacji i ich testowania, później wdrożenie na tysiącach komputerów przebiega całkowicie automatycznie.

Czym się różnią te dwa modele? W modelu z nadzorem nieodłącznym elementem są ludzie, którzy się na tym znają i zęby zjedli na takich i innych aktualizacjach. Są one sprawdzane w środowiskach testowych, aktualizacja przebiega etapowo i jest cały czas kontrolowana, wreszcie istnieją przygotowane procedury naprawcze. Zostawmy jednak duże firmy, które rządzą się swoimi prawami. Jeśli ktoś się na tym nie zna, nie ma takich zasobów aby każdą poprawkę testować lub zwyczajnie uważa, że w jego sytuacji nie jest to konieczne, bo ryzyko wystąpienia problemów jest dla niego nieproporcjonalne do nakładów na testy i kontrole, korzysta z modelu automatycznego i oddaje się w pełni usłudze Windows Update. W tej grupie zdecydowanie są też użytkownicy domowi. W domu nikt poprawek raczej nie testuje. Najczęściej nikt nawet nie wie, do czego każda z nich służy i co w ogóle poprawia.

Tymczasem poprawki bezpieczeństwa są bardzo ważne dla stanu zabezpieczeń naszego komputera. Choć wiele jest błahych, nie boję się powiedzieć, że spora część jest naprawdę krytyczna, i nie mam tu na myśli enigmatycznych oznaczeń Microsoftu, tylko faktyczny wpływ na bezpieczeństwo, stabilność i wreszcie komfort pracy. Swego czasu Microsoft poświęcił mnóstwo czasu i środków, aby wpoić użytkownikom, że poprawki trzeba koniecznie instalować na bieżąco. Kto pamięta „Dzień Bezpiecznego Komputera” i wydanie Windows XP Service Pack 2 ? Nie bez powodu Microsoft zdecydował też kiedyś, że najważniejsze poprawki bezpieczeństwa będą dostępne także dla użytkowników nieoryginalnych oraz nieaktywowanych systemów. Było o tym głośno. Dzisiaj świadomość użytkowników może nie jest stuprocentowa, ale na pewno znacznie się zwiększyła. Wiele nawet nietechnicznych osób wie już, że trzeba mieć zaktualizowany system, włączoną zaporę firewall i aktualny program antywirusowy. I że te elementy uzupełniają się, nie wystarczy tylko program antywirusowy albo tylko instalowanie poprawek.

Przejdźmy do sedna.

Problemy z poprawkami zdarzały się i będą się zdarzać, tak samo jak zdarza się, że aktualizacja do jednego czy drugiego programu antywirusowego powoduje awarię systemu lub wykrywa pliki systemowe jako wirusy i usuwa je (ile tego już przerobiliśmy...). Czy któryś ze wspomnianych dziennikarzy proponował wówczas zrezygnowanie z programu antywirusowego? To tak, jakby zalecić wymontowanie zamków z drzwi do domu, bo czasem się zacinają i trzeba dłużej powalczyć kluczem. Pisząc na łamach poważnego serwisu lub popularnego bloga trzeba brać chociaż minimum odpowiedzialności za losy tych, którzy pod wpływem impulsu i nierzetelnie przedstawionego artykułu wyłączą aktualizacje automatyczne, a potem... zapomną o tym. Bo przecież jakieś poprawki to nie jest całe ich życie. Dlatego były instalowane automatycznie.

Namawiam wszystkich użytkowników domowych, niezależnie od wszystkiego, aby instalowali wszystkie ważne poprawki dostarczane przez Microsoft, a zwłaszcza poprawki dotyczące bezpieczeństwa (są one odpowiednio oznaczone).

Namawiam też, aby robić to korzystając z mechanizmów automatycznych. Ryzyko wystąpienia problemów z poprawką tak jak miało to miejsce w ubiegłym tygodniu jest znacznie mniejsze niż ryzyko związane z permanentnie dziurawym systemem, a pamiętajmy, że z chwilą publicznego wydania poprawki w każdy drugi wtorek miesiąca o dziurze wiedzą już wszyscy.

Dziennikarzy i ekspertów namawiam z kolei, aby pisali i uczyli, jak radzić sobie z takimi doraźnymi problemami, które, jak już powiedziałem, zdarzają się i będą się zdarzać. Ilustrowana instrukcja odinstalowania wadliwej poprawki byłaby pewnie mniej popularna co krzyk rozpaczy jaki to Microsoft jest zły i namawianie do zabawy zapałkami, ale za to zdecydowanie bardziej odpowiedzialna.