[English]Zum 11. Mai 2021 sind mehrere Windows 10-Versionen aus dem Support herausgefallen und haben ihr End of Life erreicht, bekommen also zukünftig keine Sicherheitsupdates mehr. Microsoft empfiehlt das Upgrade auf aktueller Windows 10-Builds, was aber nicht jedem Benutzer möglich ist. Der Sicherheitsanbieter ACROS Security hat nun angekündigt, für ein Jahr Sicherheitspatches für Windows 10 Version 1809 bereitzustellen. Hier einige Informationen zu diesem Thema.
Anzeige
Supportende für Windows 10 V1809
Ich hatte bereits im Blog-Beitrag Supportende für Windows 10 Version 1803, 1809 und 1909 erwähnt, dass es für die nachfolgend genannten Windows 10-Versionen zum 11. Mai 2021 letztmalig Sicherheitsupdates von Microsoft gab.
- Windows 10 Version 1803 Enterprise und Education
- Windows 10 Version 1809 Enterprise und Education
- Windows 10 Version 1909 Home und Pro
Benutzer werden von Microsoft zwangsweise auf eine nun unterstützte Nachfolgeversion von Windows 10 aktualisiert. Lediglich Besitzer einer Windows 10 Enterprise LTSC 2019, die aber laut Microsoft auf Windows 10 Pro Version 1809 aufbaut, erhält weiterhin Updates. Im oben verlinkten Blog-Beitrag kam die Diskussion auf, ob vielleicht Updates dieser LTSC-Version für bestehende Windows 10 V1809-Installationen weiter verwendet werden können. Halte ich für unwahrscheinlich, wird man aber sehen müssen.
Windows 10 Nachfolgeversionen mit Problemen
Microsoft hatte kürzlich zwar die letzten Upgrade-Blocker für die Windows 10 Versionen 2004 und 20H2 aufgehoben, wie ich im Blog-Beitrag Windows 10 V2004/20H2: Alle Upgrade-Blockaden entfernt (Mai 2021) berichtete. Ob aber ein Upgrade in allen Varianten problemlos möglich ist, bleibt offen. Nicht jeder Benutzer einer Windows 10 Version 1809-Installation wird daher mit Begeisterung auf die Nachfolger Windows 10 2004 oder 20H2 umsteigen wollen. Denn diese Versionen hatten bei ihrer Veröffentlichung durchaus ihre Macken, wie man in diesem Beitrag hervorhebt.
0Patch bietet ein Jahr Sicherheitsfixes
Auf Grund der oben skizzierten Problematik ein kleiner Hinweis für Leute, die weiterhin mit Windows 10 Version 1809 weiter arbeiten möchten, obwohl Microsoft keine Sicherheitsupdates mehr bereitstellt. Mitja Kolsek, der Gründer von ACROS Security, hat mich die Tage auf folgenden Tweet aufmerksam gemacht.
Anzeige
Offenbar sind auch ACROS-Security die Probleme bei Windows 10 2004 und 20H2, sowie der Wunsch einiger Kunden aus dem Geschäftsumfeld, bei Windows 10 Version 1809 zu bleiben, aufgefallen. In diesem Beitrag schreibt Kolsek von Kundenanfragen in den letzten Monaten, die nach Alternativen zum Upgrade von Windows 10 Version 1809 auf Nachfolgeversionen fragten.
Aus diesem Aspekt heraus hat sich Mitja Kolsek entschlossen, über ACROS Security und deren 0patch-Lösung, Windows 10 Version 1809 (Build 10.0.17763) für ein weiteres Jahr sicherheitstechnisch zu unterstützen. Ab Mai 2021 wird das Unternehmen, zunächst für ein Jahr, aktiv Informationen über Sicherheitslücken sammeln, die Windows 10 Version 1809 betreffen. Dabei geht es auch um Schwachstellen, die zukünftig von Microsoft in noch unterstützten Windows 10-Versionen gepatcht werden.
Auf Basis der internen Risikokriterien plant ACROS Security dann Micropatches für Windows 10 Version 1809, falls betroffen, zu erstellen. Diese Micropatches werden für Benutzer von 0patch PRO- und Enterprise-Lizenzen, zusammen mit allen anderen Micropatches, die ACROS Security herausgibt, verteilt. Das bedeutet, dass Benutzer, die ihr Windows 10 Version 1809 mit 0patch schützen, auch unsere gelegentlichen Micropatches für "0day"-Schwachstellen in verschiedenen Produkten erhalten.
ACROS Security und seine 0patch-Lösung sind keine Unbekannten, stellen diese doch Micropatches für die aus dem Support gefallenen Windows 7 und Windows Server 2008 R2 zum kleinen Preis zur Verfügung. Hinweise zur Funktionsweise des 0patch-Agenten, der die Micropatches zur Laufzeit einer Anwendung in den Speicher lädt, finden Sie in den Blog-Posts (wie z.B. hier).
Ähnliche Artikel:
Windows 7: Februar 2020-Sicherheitsupdates erzwingen – Teil 1
Windows 7: Mit der 0patch-Lösung absichern – Teil 2
Windows 7/Server 2008/R2: 0patch liefert Sicherheitspatches nach Supportende
Windows 7/Server 2008/R2 Life Extension-Projekt & 0patch Probemonat
0patch: Fix für Internet Explorer 0-day-Schwachstelle CVE-2020-0674
0patch-Fix für Windows Installer-Schwachstelle CVE-2020-0683
0patch-Fix für Windows GDI+-Schwachstelle CVE-2020-0881
0-Day-Schwachstelle in Windows Adobe Type Library
0patch fixt 0-day Adobe Type Library bug in Windows 7
0patch fixt CVE-2020-0687 in Windows 7/Server 2008 R2
0patch fixt CVE-2020-1048 in Windows 7/Server 2008 R2
0patch fixt CVE-2020-1015 in Windows 7/Server 2008 R2
0patch fixt CVE-2020-1281 in Windows 7/Server 2008 R2
0patch fixt CVE-2020-1337 in Windows 7/Server 2008 R2
0patch fixt CVE-2020-1530 in Windows 7/Server 2008 R2
0patch fixt Zerologon (CVE-2020-1472) in Windows Server 2008 R2
0patch fixt CVE-2020-1013 in Windows 7/Server 2008 R2
0patch fixt Local Privilege Escalation 0-day in Sysinternals PsExec
0patch fixt Windows Installer 0-day Local Privilege Escalation Schwachstelle
0patch fixt 0-day im Internet Explorer
0patch fixt CVE-2021-26877 im DNS Server von Windows Server 2008 R2
0patch fixt Windows Installer LPE-Bug (CVE-2021-26415)
Anzeige
Diese Fuktionsupdates treiben mich noch in den Wahnsinn. Wir haben über 100 PC, die wir aufgrund des Supportendes auf 20H2 aktualisieren. Bei den meisten hat das gut funktioniert, bei einigen war das Update nicht möglich wegen irgendwelcher kryptischer Fehler und die Rechner kehrten automatisch zur Vorversion zurück, bei etlichen PC hatten wir aber echt skurille Fehlerbilder:
-Nach dem Update wird nach dem Produktkey gefragt, wobei man den Dialog einfach mit "später" übergehen kann.
-Sämtliche installierten Anwendungen laufen nicht mehr und alle userspezifischen Einstellungen sind weg. Zwar sind die jeweiligen Ordner unter Programme noch vorhanden, in der Systemsteuerung werden diese aber nicht mehr angezeigt und starten lassen sich diese auch nicht mehr. Lösung: Zurück zur Vorversion.
-Die LAN Verbindung ändert die Einstellung statische IP auf DHCP
-Remotedesktop ist nach dem Update deaktiviert
– Das Netzwerkprofil "Öffentliches Netz" wird beim Update aktiviert und die Firewall entsprechend dicht gemacht.
O.g. Verhalten ist extrem ungünstig, da in allen Fällen keinerlei Remotezugriff mehr möglich ist. Das ist natürlich echt ätzend, wenn man mehrere Standorte betreut, die in ganz Norddeutschland verstreut sind.
Bisher keine Probleme beim Update der Editionen, habe alle durchgemacht, sowohl privat als auch in der Firma, mit etwa 1000 Clients.
Bei Clients arbeitet man übrigens nicht mehr mit fest eingetragenen IP-Adressen auf den Clients, wenn, dann macht man diese Reservierung auf dem DHCP-Server.
"Bei Clients arbeitet man übrigens nicht mehr mit fest eingetragenen IP-Adressen auf den Clients, wenn, dann macht man diese Reservierung auf dem DHCP-Server."
Sagt wer? Etwas überheblich solche pauschalen Behauptungen aufzustellen.
Bei den Updates stimme ich zu, idR problemlos sofern man nicht immer bei den ersten dabei sein will die das ausprobieren.
So gab es von der 20H2 und 2004 durchaus neuere Build über den WSUS, wodurch Fehler bereinigt wurden.
Ich hatte in der Umgebung auch Fehler, aber einige wenige mit verschiedenen Effekten:
– Client bezog nach Upgrade von 1909 auf 20H2 Updates nicht mehr beim WSUS – Reporting ging, alles andere nicht.
– Client konnte keine Netzwerkdrucker mehr hinzufügen, vorhandene funktionierten, weitere nicht möglich.
– Upgrade ließ sich bei einem über WSUS nicht durchführen, manuell auch nicht – Neuinstallation problemlos – Vermutung irgendein Treiber.
Hatte ich bei einem privaten Notebook im Bekanntenkreis auch, im Log war die Aktualisierung in 01/2021 auf 2004 fehlgeschlagen – hat niemanden interessiert. Nun war 20H2 dran (zwangsweise), Upgrade lief bis der Anmeldebildschirm wieder erschien, Anmeldung nicht mehr möglich (Passwort gab es keins) ein Hintergrunddienst war platt, Herunterfahren über den Sperrbildschirm ging auch nicht – keine Optionen verfügbar. Upgrade manuell zurückgesetzt und manuell neu ausgeführt – problemlos.
Also ja, es gibt "Probleme", aber die gibt es überall.
Hinsichtlich der IP via DHCP, sorry aber ich habe da lieber meine Liste und weiß welches Gerät welche IP hat als die ganze Bude mit DHCP laufen zu lassen. :(
Naja, das mit dem "später" ist ernst gemeint :-)
Irgendwann wird das Hintergrund-Bild gegen "Unbeleuchteter Alpen-Tunnel von innen" getauscht und der User kann nix mehr am Desktop einstellen.
Evtl. findest Du im Eventlog einen Hinweis, was da los ist.
Lass mal den (alten) Key prüfen. Das klingt nicht gut.
Halt in der Firewall in alle Profile ein Loch für den Port von VNC oder RDP stanzen…
oder mittels dem universal-Tool "User-for-Ort" über Teamviewer (download geht ja) kurzmal eine Verbindung machen um das Firewall-Profil umzuschalten.
Man kann auch per DHCP eine statische IP verteilen. Macht man lieber als das manuell in das Interface zu friemeln. Aber hängt natürlcih von der Structur ab.
Alles atzend, alles nur damit MS seine "Benuzter-Erlebnis(!)-Verbesserung" installieren kann.
Nein. Das später ist nicht ernst gemeint. Alle betroffenen PC sind danach aktiviert. Die Keys sind 100% in Ordnung. Die anderen Tipps sind selbstverständlich bekannt, nur weder Sinn der Sache noch im Interesse der Sicherheit oder des Anwenders.
Alle Firewallprofile für RDP und VNC (oh Graus) zu öffnen, reißt bei Notebooks, die auch mal im Hotel oder auf dem Flughafen im Netz sind, unverantwortliche Sicherheitslücken auf. Die Bereitschaft der User und auch von mir selbst da telefonisch herumzufrickeln, ist ehrlich gesagt auch endlich.
Naja, dann bleibt nur das sicherlich bekannte:
"Mit Linux wäre nicht passiert" :-)
Oder was willst Du sonst machen?
Die Einsichtfähigkeit in Kundenwünsche von MS ist nunmal begrenzt, oder?
MS ist doch bekannt was seine Kunden wollen und brauchen.
Du siehst ja, was sie bei IoT machen um die Konkurrenz kurz zuhalten, resp. überhaupt noch auf diesen Markt zu kommen/bleiben…
Aber selbst da:
"Ich möchte gerne das unser Firmen-Logo beim booten erscheint und nicht das des jeweiligen Motherboards, das irretiert unsere Kunden"
"Klar, sprechen Sie mit Ihren BIOS-Herstellern oder richten sie ein zusätzliche Boot-Partition ein, die nur ihr Logo anzeigt…"
Warum kann MS das?
Wie willst Du das ändern?
Die Firewall verwaltet man am Besten per Gruppenrichtlinie, dann kann sowas nicht passieren.
Was kann dann nicht passieren? Es wurde empfohlen pauschal "in alle Profile ein Loch für den Port von VNC oder RDP zu stanzen". Ob per GPO oder manuell: Das ist alles andere als sinnvoll und empfehlenswert, sondern verantwortungslos.
Wie ist das eigentlich:
Deren Geschäfts-Modell von basiert ja darauf nicht die Files, sondern den Speicher in "Echtzeit" zu patschen (wie früher schon manche Viren..).
Was, wenn ich das Abo gekündet habe?
Stellt der Treiber die Arbeit sofort ein und beim nächten Boot habe die alle Sicherheitslöcher der letzten 3 Jahre wieder? oder nutzt er die Patches die es bisher hatte weiter?
Ich halte diese Methode nicht für empfehlenswert. Wer "langen" Support will, sollte auf LTSC umsteigen, was MS kleinen Betrieben jedoch nicht anbietet. Oder in den sauren Apfel beißen und auf eine aktuellere Version updaten und hoffen, dass es gut geht.
" Windows 10 Enterprise LTSC 2019" ist der binär identische Code zum ohne "LTSC"
MS würde sich ja einen Wolf programmieren und testen, wenn sie
unterschiedlichen Code einsetzten.
Wie das Paket reagiert, als was es sich fühlt/meldet, wird nur durch den Key gesteuert.
Insofern ist die Idee die LTSC Updates auf ein nicht LTSC einspieln zu können nicht so wirklich völlig abwegig. Man muß "nur" MS' schlüssel knacken, was klar strafbar sein dürfte, da dieser Schutz sehr gut ist und funktioniert.
Das wird ähnlich sein wie bei den ESU-Updates für Win7. Konnte auch leicht per Bypass geknackt werden.
Jedoch unterscheiden sich Enterprise LTSC und Pro in gewissen Punkten. Beispielsweise dem Store, den es in LTSC nicht gibt. Daher würde ich das eher mit WinXP und dem XP Embedded vergleichen. Per Regkey konnte man auch nach April 2014 Updates für XP bekommen. Allerdings eben nur die für Embedded, die nicht getestet wurden. Dazu hatte Embedded weniger Funktionen, wodurch beim normalen XP nicht alle Lücken geschlossen wurden. Daher habe ich meine Zweifel, dass das bei 1809 DIE Lösung ist.