ไมโครซอฟท์บีบ LG ให้หยุดโฆษณา McAfee ที่แอบติดตั้งผ่านจอภาพ Windows 11 — แต่ปัญหาที่แท้จริงยังไม่จบ

กลไกการติดตั้งแบบเงียบทำงานอย่างไร

กลไกนี้ใช้ฟีเจอร์ที่ถูกต้องตามกฎหมายของ Windows 11 สำหรับตั้งค่าอุปกรณ์ต่อพ่วง เมื่อเสียบจอ LG ที่รองรับครั้งแรก Windows 11 จะตรวจสอบ metadata ของอุปกรณ์และสามารถดาวน์โหลดแอป UWP จากผู้ผลิตได้โดยอัตโนมัติ โดย LG Monitor App Installer ถูกบรรจุมาพร้อมอัปเดตไดรเวอร์จอภาพและส่งผ่าน Windows Update และ/หรือ Microsoft Store โดยไม่มีหน้าต่างแจ้งเตือน ไม่มีไดอะล็อกการติดตั้ง และไม่มีการขออนุญาต เมื่อติดตั้งแล้ว แอปจะแสดงป๊อปอัปทดลองใช้ McAfee ในช่วงเวลาสุ่ม

นี่ไม่ใช่การโจมตีแบบมัลแวร์ แต่เป็นการใช้ช่องทางการแจกจ่ายซอฟต์แวร์คู่หูฮาร์ดแวร์ของไมโครซอฟท์ในทางที่ผิด

จุดยืนของ LG

LG ระบุในตอนแรกว่าป๊อปอัปนี้เป็นข้อเสนอส่งเสริมการขายมาตรฐานที่รวมอยู่ในซอฟต์แวร์ยูทิลิตี้จอภาพของบริษัท บริษัทไม่ได้ยอมรับว่าทำผิด โดยอธิบายว่าแอปเป็นเครื่องมืออำนวยความสะดวกที่ถูกต้องตามกฎหมาย และโฆษณา McAfee เป็นเพียงความร่วมมือทางการตลาดทั่วไป LG ตกลงระงับป๊อปอัปหลังจากถูกไมโครซอฟท์กดดันโดยตรงเท่านั้น และที่น่าสังเกตคือไม่ได้ให้คำมั่นที่จะยกเลิกกลไกการติดตั้งแบบเงียบแต่อย่างใด

สิ่งที่การแก้ไขนี้ไม่ได้แก้ไข

หลายแหล่งข่าวเน้นย้ำว่าการแทรกแซงของไมโครซอฟท์นั้นแคบและไม่สมบูรณ์:

• แค่ป๊อปอัปโฆษณาถูกเอาออกเท่านั้น LG Monitor App Installer ยังคงถูกติดตั้งแบบเงียบ ๆ ผ่าน Windows Update เมื่อเสียบจอ LG
• ซอฟต์แวร์ส่วนเกินยังคงอยู่ในเครื่องผู้ใช้ ตัวแอปไม่ได้ถูกถอนการติดตั้ง มีเพียงโมดูลส่งเสริมการขาย McAfee เท่านั้นที่ถูกปิดการทำงาน
• ไม่มีการเปลี่ยนแปลงเชิงสถาปัตยกรรม ไมโครซอฟท์ไม่ได้ประกาศอัปเดตฟีเจอร์ auto-install ของ device metadata ที่ทำให้เกิดเรื่องนี้ขึ้นได้
• ทางแก้ด้วยตัวเองก็ไม่สะดวก ผู้ใช้สามารถบล็อกการติดตั้งในอนาคตผ่าน Group Policy (Computer Configuration → Administrative Templates → System → Device Installation → "Do not install device drivers using Windows Update") แต่การตั้งค่านี้จะทำให้การอัปเดตไดรเวอร์ปกติเสียหาย

ข้อกังวลในวงกว้างที่เหตุการณ์นี้ชี้ให้เห็น

เหตุการณ์ของ LG ไม่ใช่กรณีโดดเดี่ยว แต่มันเผยให้เห็นช่องโหว่เชิงระบบในการจัดการซอฟต์แวร์คู่หูฮาร์ดแวร์ของ Windows 11:

• ผู้ผลิตจอรายอื่นก็สามารถทำแบบเดียวกันได้ (และอาจกำลังทำอยู่) ซัมซุง เดลล์ และผู้ขายรายอื่นต่างก็มีแอป UWP คู่หูของตัวเองที่แจกจ่ายผ่านช่องทาง device metadata ของ Windows Update เดียวกัน ปัจจุบันไม่มีอะไรป้องกันพวกเขาจากการใส่ trialware โฆษณา หรือซอฟต์แวร์สปอนเซอร์เข้าไปในช่องทางนั้น
• ฟีเจอร์ของไมโครซอฟท์เองคือพื้นผิวการโจมตี กลไก auto-install ออกแบบมาเพื่อความสะดวก แต่มันให้สิทธิพิเศษช่องทางติดตั้งแบบเงียบแก่ผู้ผลิตฮาร์ดแวร์ โดยไม่ต้องตรวจสอบความยินยอมจากผู้ใช้ นักวิจัยและผู้วิจารณ์โต้แย้งว่าช่องทางนี้จำเป็นต้องมีป๊อปอัปขออนุญาตหรือนโยบายเนื้อหาที่เข้มงวด
• นี่เป็นแบบอย่างของ "แอดแวร์โดยผู้ผลิตอุปกรณ์" ถ้า LG สามารถยิงโฆษณา McAfee ผ่านไดรเวอร์จอภาพได้ ผู้ผลิตฮาร์ดแวร์ที่มีแอป UWP เซ็นชื่อก็สามารถทำแบบเดียวกันกับซอฟต์แวร์สปอนเซอร์ใด ๆ ก็ได้ ซึ่งจะบั่นทอนความเชื่อมั่นใน Windows Update ในฐานะกลไกการส่งมอบที่เชื่อถือได้
• ความรับผิดชอบเป็นแบบเฉพาะกิจ การแก้ไขของไมโครซอฟท์เป็นเชิงรับ — โทรศัพท์ตรงถึงผู้บริหาร LG — แทนที่จะเป็นการเปลี่ยนแปลงนโยบายทั่วทั้งแพลตฟอร์ม หากไม่มีการทบทวนอย่างเป็นทางการว่าแอป UWP ของฮาร์ดแวร์ได้รับอนุญาตให้แสดงอะไรได้บ้าง เหตุการณ์แบบนี้ก็มีแนวโน้มจะเกิดขึ้นซ้ำอีก