De oktober-update voor Windows heeft de Always On VPN-bug toch niet opgelost, hoewel Microsoft dat aanvankelijk beweerde.
De Windows-update van oktober heeft minder problemen verholpen dan Microsoft beweerde. De bug in de Always On VPN, die Redmond zelf introduceerde met zijn september-updates, blijkt immers onopgelost. De update, meteen de laatste voor Windows 24H2, brengt dus geen einde met zich mee voor de VPN-saga.
De Always On VPN-functionaliteit zorgt ervoor dat een VPN automatisch op de achtergrond opent, zonder dat de verbinding manueel tot stand moet komen met login-gegevens. Dat kan handig zijn voor gebruikers waarbij de VPN-verbinding toch steeds actief moet zijn. Inloggen in Windows volstaat dan.
Moeilijk te repareren
Met zijn beveiligingsupdates voor september heeft Microsoft die functionaliteit echter onopzettelijk stuk gemaakt, in bepaalde gevallen. Wanneer de VPN staat ingesteld om na de mislukking van een initiële verbindingspoging nogmaals te proberen maar via een ander protocol, blijft het systeem hangen. De tijdelijke oplossing is om het gedrag van de functionaliteit te wijzigen, en de VPN slechts aan een enkel protocol te koppelen.
Dat blijft ook na de oktober-update de juiste oplossing. Een update met een echte bugfix volgt de komende weken. Hoe het komt dat Microsoft eerst een functie zelf heeft kapotgemaakt in één update, om ze daarna tot zijn eigen verrassing niet te repareren in een volgende, doet toch wat vragen rijzen over het testproces waar dergelijke updates doorlopen.
Slecht voor het vertrouwen
Dat is een pijnlijke zaak, nu de snelle doorvoer van updates belangrijker wordt dan ooit. Waar je enkele jaren geleden nog gerust enkele weken de tijd had om een beveiligingsupdate te installeren, is die luxe bij kritieke bugs verdwenen.
“Zodra een beveiligingsupdate uitkomt, kunnen aanvallers die via AI reverse-engineeren om te kijken wat de update precies patcht, en hoe het lek valt uit te buiten. Amper enkele uren nadat een patch verschijnt, is er vandaag al aanvalscode klaar”, legt Geert Baudewijns, CEO van Secutec uit.
Snel installeren is met andere woorden essentieel voor beveiligingsupdates, maar Microsoft maakt dat erg moeilijk door de wisselende kwaliteit van die updates. Zo moeten organisaties kiezen tussen de cholera en de pest: riskeren ze dat een aanvaller een stok in de wielen steekt, of verkiezen ze dat Microsoft dat doet?