Aktualizace. Úhlavní nepřítel všech konzervativců, technofobů a neoludditů. Odstranění možnosti zakázat nebo odinstalovat aktualizace z Windows 10 celkem vítám, ale asi by mě potěšilo více, kdyby vydávané aktualizace byly pořádně otestovány samotným Microsoftem a nikoli pouze jeho insider previewery. Nestávalo by se pak, že některé aktualizace nebudou kompatibilní se všelijakými obskurními kusy hardware. Pokud na nějakou takovou natrefíte, neexistuje jednoduchý způsob, jak danou aktualizaci ve Windows 10 zablokovat tak, jako tomu bylo u předchozích verzí Windows.
Updaty jsou špatné, áno?
Provoz jakéhokoliv hardwaru nebo softwaru bez jeho patřičné údržby dříve nebo později začnou doprovázet problémy. Obzvlášť ve věku, kdy si společnosti, rozvědky a různé podvratné živly naplno uvědomují, že protokoly a postupy vyvinuté před 40 lety na provoz současných výpočetních technologií již silně nedostačují. Pokud lze na dálku (byť velmi omezenou) tahat citlivá data z izolovaných zařízení nepřipojených k žádné síti (AirHopper, BitWhisper, DiskFiltration, HandsOff, Mobile SC, PITA, USBee), tak vězte, že z těch připojených je to neporovnatelně snazší. A ještě o kousek víc, když za ně posadíte nějakou trubku, která ochotně klikne na kdejaký odkaz nebo jednoduše nechá zařízení několik let děravé.
Pominu-li specializované nástroje, kterými disponuje například Equation Group, je většina velkých a významných kybernetických útoků v posledních letech na jedno brdo. Respektive na dvě brda. Buď je to nějaký ransomware, který přímo cílí na uživatele a obšťastňuje je různými hláškami požadujícími výkupné, v horším případě mu pod rukama šifruje jeho vlastní data nebo vykrádá BitCoinové peněženky. Anebo je to parazit, který zařízení připojí do botnetu a umožní skrze něj rozesílat spam, provádět DDoS útoky a podobná jiná zvěrstva. DDoS potřebuje velké množství uzlů k tomu, aby se škození dalo obtížně vystopovat nebo zastavit. A právě tady přichází na scénu náš uživatel se svými nedostatečně zabezpečenými zařízeními. Vaše data totiž většinou nikoho moc nezajímají. Jsou to vaše počítače, laptopy, routery, webkamery, disková úložiště, mobilní telefony a všelijaká další zařízení, po kterých útočníci prahnou a kterých jsou dnes plné domácnosti. Na neaktualizované zařízení pak dopraví škodlivý kód a ten pak vaším jménem koná práci za ně. Určitě si vzpomenete na virus motherfucker, ze kterého měli v květnu letošního roku těžkou hlavu Wi-Fi provideři používající technologie Ubiquity. Před několika týdny pak třeba botnet 150000 IoT zařízení útočil na hostingového providera OVH. Jednalo se o jeden z největších útoků v historii (možná dokonce i o vůbec největší), který ve špičkách dosahoval až k 1 TBps. Minulý týden byl pomocí DDoS útoku ochromen provoz DNS serverů společnosti Dyn, která poskytuje služby společnostem jako GitHub, PayPal, Reddit nebo Twitter. Drtivá většina právoplatných vlastníků zařízení podílejících se na těchto útocích o něčem takovém samozřejmě nemá ani tušení.
Bezpečnost a ti druzí
Zdůrazňuji zejména nutnost provádět a instalovat bezpečnostní aktualizace. Ty ale bohužel většina uživatelů nedokáže odlišit od ostatních, protože se o nic nechce starat a očekává, že celé zařízení bude nějak fungovat i bez jejich přičinění. A když náhodou zařízení bez jejich přičinění skutečně funguje a aktualizace si stáhne, tak si zase stěžují, že si zařízení dělá, co chce. Masám se prostě zavděčit nedá. Mimo bezpečnostních aktualizací se tu a tam objeví nějaká, která přidává (nebo v horším případě odebírá) funkce. Pro Windows 10 za dobu jeho existence vyšly dva velké updaty, které vzbudily vlnu nevole tím, že resetovaly některá uživatelská nastavení do výchozích hodnot. Vzhledem k tomu, že tyto aktualizace v systému provedly změny srovnatelné s vydáním service packu u předchozích verzí, dá se něco takového očekávat. Opětovná úprava nastavení zabere asi dvě minuty, ale to je pořád o dvě minuty více, než kolik je průměrný uživatel ochoten údržbou strávit. Pak jsem také slyšel nějaké zkazky o aktualizacích zaseklých v nekonečné smyčce nebo skrývajících systémové disky. Nevím, jestli je to rukama nebo výběrem hardwaru a softwaru, ale na žádné své instalaci (jelikož se uživatelské podpoře už nějakou dobu nevěnuji, po světě mi jich pobíhá jen něco kolem padesáti) jsem žádný z problémů nepozoroval. Windows Update mimo aktualizací samotného systému a dalších Microsoftích aplikací také občas distribuuje aktualizace třetích stran s ovladači hardware. A jak už jsem zmínil v perexu, občas se stane, že si nové ovladače s nějakým kouskem hardwaru nesednou. Právě tady se skutečně hodí mít možnost některý z updatů zablokovat. Jak to ale udělat, když ve Windows 10 příslušná volba chybí?
KB proti KB
Nejprve je samozřejmě nutno aktualizaci identifikovat. K tomu poslouží její unikátní číselné označení prefixované písmeny KB. Pokud je aktualizace již nainstalovaná a počítač je stále ještě použitelný, je možno aktualizaci odinstalovat klasicky přes Zobrazit nainstalované aktualizace v Ovládací panely\Programy\Programy a funkce nebo z příkazové řádky
wusa /uninstall /kb:xxxxxx /quiet /norestartKde xxxxxx nahradíte číslem KB, tentokrát už bez prefixu.
Jestliže ale aktualizace už škodu napáchala a systém nestartuje, je třeba jej nahodit v nouzovém režimu. Pokud jste aplikovali změnu pro zapnutí boot menu z mého článku Jak z Windows 10 udělat desktopový systém, pak nouzák jednoduše nastartujete výběrem patřičné možnosti v menu, do kterého se dostanete skrze bušení do klávesy F8. V případě, že tuto funkci zapnutou nemáte, donuťte systém nastartovat v recovery módu (pokud se problém s ovladačem projevuje při zavádění systému, Windows do něj většinou stejně naběhnou). Zde postupně klikejte na Odstranit potíže, Upřesnit možnosti, Nastavení spouštění a Restartovat. Systém se restartuje a nabídne vám rozšířené možnosti spuštění, ve kterých stisknete 4 pro nouzový režim nebo 5 pro nouzový režim s prací v síti. Pak byste měli být schopni ovladač odinstalovat stejným způsobem jako v případě výše.
Odinstalování je sice fajn, ale teď je ještě potřeba zajistit, aby se aktualizace nevrátila. A tady právě přichází na scénu ona drobná zrada, kterou na nás Microsoft ušil. Místo obvyklého vyklikání v ovládacím panelu aktualizací je třeba stáhnout Show or hide updates troubleshooter package a až ten vám zakazování opětovné povolování umožní. Opět zdůrazňuji, že použití toho nástroje nedoporučuji nezkušeným uživatelům. Nástroj naštěstí neukazuje všechny aktualizace a tak se nedá rozumně použít na „očesání“ instalace Windows, ale pouze na případné zjišťování a řešení problémů s kompatibilitou, k čemuž je primárně určen. Článek je tak dlouhý a ukecaný právě proto, aby bylo jasné, že odinstalovat aktualizace jen tak zbůhdarma rozhodně není dobrý nápad.
Be vigilant
Závěrem bych rád znovu apeloval na všechny čtenáře, aby si zkontrolovali bezpečnostní aktualizace nejen na svých počítačích, ale i smartphonech, routerech, chytrých televizích, IoT udělátkách a veškerých dalších zařízeních schopných připojit se k internetu. I v těch zdánlivě nejbezpečnějších se tu a tam nějaká skulina najde. Chcete-li být informováni o aktuálních hrozbách a čerstvě objevených zranitelnostech, doporučuju sledovat blog Security Affairs nebo český CSIRT.