0Patch belooft tot 2025 ondersteuning voor Edge-browser op oude Windows-versies

Het team achter 0Patch gaat nog tot zeker januari 2025 officieuze securitypatches aanleveren voor de Microsoft Edge-browsers bij Windows 7, Windows 8.1 en Windows Server 2012. Deze maand ontvangen ze hun laatste officiële beveiligingsupdate.

Voor Windows 7 en 8.1 en Server 2012 wordt Microsoft Edge-versie 109, die deze maand moet verschijnen, de laatste officiële beveiligingsupdate die ze zullen ontvangen. Windows Server 2012 krijgt overigens nog tot oktober 2023 officiële ondersteuning voor de browser, maar geen nieuwe Edge-beveiligingsupdates meer. De makers van 0Patch beloven dat ze tot in ieder geval januari 2025 'kritieke' securitypatches blijven leveren voor deze Edge-versie. Afhankelijk van de vraag wordt besloten of die periode wordt verlengd.

Eerder beloofde het 0Patch-team al om de besturingssystemen Windows 7 en 2008 R2 tot januari 2025 te ondersteunen met securitypatches. De officiële gratis beveiligingsondersteuning voor beide versies is sinds 2020 stopgezet. Een 0Patch-abonnement kost 24,95 euro per jaar per apparaat.

Reacties (40)

[sbf]

Dat snap ik niet goed... hebben die dan de sourcecode ter beschikking?

[Jeroen_HD]

0patch Agent, our mighty little patching machine, watches over all processes running on the computer. When any one of them is found to have a patch available, that patch is immediately applied to the process in memory without disturbing that process.

0patch Agent periodically asks our server whether it has any new patches to deliver, and downloads these patches so they’re ready to get applied to vulnerable processes. These patches are immediately available even if you install a vulnerable product on a computer that is not connected to the Internet at the time.

0patch does not replace executable files or modify them in any way. It corrects them only in memory, which can be done without relaunching them.

Volgens de website van 0Patch.

[Blokker_1999]

Met andere woorden: je geeft een applicatie de toestemming om in de achtergrond te draaien, met zowat de hoogste rechten die je kunt toekennen aan je systeem omdat het alle processen in het oog moet kunnen houden en, indien nodig, moet kunnen aanpassen in het geheugen ... met code die het van het internet gaat downloaden.

What could possibly go wrong ...

[Bor]

Je stipt een heel belangrijk punt aan. Naast dat je problemen kan verwachten rond stabiliteit (de leverancier van dit soort producten heeft veelal de source code van het te "patchen" stuk software niet), je vrijwel altijd later bent dan dat je een daadwerkelijke officiële patch zou installeren (de leverancier moet eerst het e.e.a. analyseren, (reverse) engineeren etc), stel je je systeem ook bloot aan software welke zeer verregaande rechten moet hebben waarbij het in sommige gevallen trekjes van malware heeft.

[Blokker_1999]

Wat je mist is dat je moet vertrouwen op het feit dat de servers van 0Patch niet gecompromiteerd zijn. Je staat namelijk toe dat code vanaf het internet gedownload wordt en zonder enige verdere controle geinjecteerd mag worden in reeds draaiende processen.

[blinchik]

Ik geef je gelijk met de andere punten, maar het feit dat je moet vertrouwen dat de repo niet gecompromitteerd is, is het geval met elke repo. De servers van Microsoft kunnen gecompromitteerd zijn, die van Ubuntu, of als voorbeeld in het verleden: Solarwinds...

[leuk_he]

Wat gaat goed: software wordt onmiddellijk gepatched, niet wachten tot reboot, of officiële update.
Wat gaat fout: sommige hotfixes zijn optioneel om redenen.

[Rembert]

Draaiende processen, runtime code aanpassen. Yikes. Dat is de holy grail voor geheime diensten, fiscale recherches maar ook black hat hackers, ransomware-verspreiders, oplichters enz. Ik lees wel dat 0Patch een behoorlijk ok track record heeft. Prima dekmantel voor Magic Lantern 2.0.

@Tweakers, ik had wel een wat kritischer blik verwacht in het artikel. Ik weet dat veel artikelen pas echt hun waarde krijgen door de reacties, maar een korte noot hoe 0Patch werkt zou wel op zijn plaats zijn: je kan er meteen een berg bezoekers mee wakker maken.

[MallePietje]

Dit zou ik inderdaad nooit vertrouwen.

Er is een hele reeks van andere oplossingen die beter zijn, in volgorde van wenselijkheid:

• Stap over op een nieuwe Windows versie.
• Stap over op een andere browser.
• In het uiterste geval: isoleer Edge, met iets als https://learn.microsoft.c.../windows-sandbox-overview
• Dit zou ik niet adviseren, maar misschien is zelfs niets doen beter. Het middel (0patch) is misschien erger dan de kwaal.

[Reactie gewijzigd door MallePietje op 24 juli 2024 20:22]

[Evertprakkie]

Gebruik je Google chrome of googledrive of google je wel eens. Daar is Microsoft niks bij. Zelf in google drive jat en verkoopt google al jouw gegevens ook je medische gegevens etc als die erin staan.
Mensen klagen altijd over Microsoft terwijl zij volop google whatsapp, facebook ect gebruiken en hoor hen daar nooit over klagen dat vind ik erg vreemd en naïef.

[Verwijderd]

Heb je wat referenties om die uitlatingen te onderbouwen? Dat google de inhoud van je drive doorverkoopt? Want als dat zo is, dan is dat nogal een rechtzaakje waard, maar ik heb dit eerder nog niet gehoord.
Ik weet (of ken het gerucht) dat Google heuristics loslaat op oa. je mail om interesses aan je te kunnen koppelen voor ads.
Maar echt het doorverkopen van jouw data (niet metadata) is nieuw voor me.

[the_stickie]

klopt, 0patch vervangt geen bestanden (executables), maar werkt 'on-the-fly' volledig in geheugen. Naast de kleine performance impact en het feit dat je elke vendor garantie toch al kwijt bent, heb je een proces dat (gevalideerde ! (?)) changes in runtime maakt over eender welk ander proces.
Mij lijkt het dat het nog steeds beter is product lifecycles te volgen, dure updates/upgrades te doen dan iets dergelijks in te zetten (met abbo kost en geen enkel risico echt gedekt (?))
De ervaring leert dat soms alle middelen nodig en goed zijn, maar er is niks in mij dat eender wie zou aanbevelen vrolijk te blijven 'edgen' op windows *niet ondersteunde versie* tot 2025 - met inbegrip van coole tools als dit.

[Reactie gewijzigd door the_stickie op 24 juli 2024 20:22]

[kuurtjes]

Toen ze begonnen vondt ik het initiatief zeer goed. Ze waren gratis en community based. Nu zijn ze een pak meer commercieel geworden.

Neem even dit scenario in gedachten: je hebt je media speler al 2 jaar niet opgestart. Nu wil je een digitale film bezien en open je het film bestand. Je speler opent, deze doet een check voor updates, maar ondertussen heeft die film al een lek misbruikt in je speler.

Wat dus als zo'n lekken via een community based tool gewoon gepatched worden in het geheugen, terwijl jij lekker update? Of wat als de tool ineens EOL is zonder dat je het weet? Niemand dat er patches voor kan uitbrengen want de developers zijn foetsie, maar de site en tool werken nog wel.

Het meest prachtige voorbeeld is dat Microsoft een maandelijkse patch-tuesday heeft. Dat betekent dat windows exploits gewoon dus tot 30 dagen lang niet gepatched worden.

[Bor]

Het meest prachtige voorbeeld is dat Microsoft een maandelijkse patch-tuesday heeft. Dat betekent dat windows exploits gewoon dus tot 30 dagen lang niet gepatched worden.

Nee dat is niet zo. In bepaalde gevallen kan er gewoon buiten de maandelijkse patchronde gereleased worden.

[Marve79]

Soort virtual patching dus.

[Bor]

"virtual patching" is een marketing term. Meestal patchen dit soort tools helemaal niets, ook niet in memory , maar herkennen ze exploits en blokkeren ze die. Het is veelal een soort in memory / runtime intrusion prevention.

[Xfade]

Ik vond zelf deze uitleg wel goed.

[Pep7777]

Ik weet eigenlijk niet goed wat ik hiervan moet vinden. Leuk dat het kan, maar zou niet nodig moeten zijn.
Het helpt niet met "oude" systemen te updaten naar nieuwere versies van een OS (stabiele versie, niet specifiek de laatste). En ja ik weet in de praktijk heeft niet iedereen die mogelijkheid, maar ook zo'n patch mechanisme als dit moet je testen (op productie systemen). Dan liever toch maar officiele OS updates en een goede test omgeving.

[himlims_]

Mijn voornaamste vraag is; waarom (edge)?
> omdat het kan!

Sure - maar dan nog, wat win je er mee?

Een browser (die in mijn beleving, ‘te’ diep met OS verweven is) ondersteunen met welk doel?

Wat ga je hiermee winnen?

Opzich kan je best “semi-veilig” online gaan met Windows die legacy is, maar dan wel met een up2date browser (Chrome, opera, Firefox etc.) 0patch gaat ervoor zorgen dat je met een ‘unsupported’ edge weer online kan… top!

Maar dan nog; waarom? Edge zal via 3rd party support - moeilijk net zo veilig te maken zijn als Microsoft dat zou doen. En mogelijk minder robuust dan Firefox/chrome op een oud OS (want minder diep in OS genesteld)

Ik vind mooi , begrijp me niet verkeerd. En ben zeker voorstander van nutteloze en onnodige ontwikkelingen; omdat het kan

Maar in dit specifieke geval heb daar mijn twijfels bij.

[MrMonkE]

Wat ga je hiermee winnen?

$24,95 per gebruiker.
Maar je bedoelt natuurlijk als consument. Sommige bedrijven hebben systemen die niet compatibel zijn en die ze niet willen of kunnen upgraden. Regelmatig gezien.
Er zullen bij sommige Tokos her en der nog wel zaken in DOS draaien .

[Euronitwit]

Loopt je geheugen niet snel vol met een traag werkende Pc tot gevolg?

[Dutch2007]

want?

[Euronitwit]

Een Pc die W 7 of 8 draait, heeft meestal niet zo'n groot werkgeheugen. 4 gb was normaal.
Vraag mij dus af als al die patches in het geheugen opgeslagen worden of die niet erg traag wordt.

[nst6ldr]

Ik ken niemand die in het Windows 7 tijdperk 4GB of minder had, nagenoeg iedereen had het dubbele.

[Euronitwit]

Dan ken je er nu 1.
Ik heb ergens nog een tablet op W7 met maar 4 Gb ram en een harde schijf van 64 Gb

[Ulas]

Ik ken niemand uit China. Toch bestaan daar miljarden mensen. Mijn ervaring er mee heeft 0 invloed op de werkelijkheid.

[jpgview]

voorspelbaar, toch geprobeerd.

met een free account krijg je vrijwel onmiddelijk een popup -> purchase...

er kan meer niet dan wel gepatched worden met een free account

verwijderd dus (toolwiz time freeze)

[Frame164]

Allemaal lapmiddelen die je niet zou moeten willen. Gewoon de reguliere life cycle management doen zodat je up to date blijft. En ja, dat kost tijd en geld. Maar het kost nog veel meer als je het niet doet en er gaat wat fout.

[Bor]

oor Windows 7 en 8.1 en Server 2012 wordt Microsoft Edge-versie 109, die deze maand moet verschijnen, de laatste officiële beveiligingsupdate die ze zullen ontvangen. Windows Server 2012 krijgt overigens nog tot oktober 2023 officiële ondersteuning voor de browser, maar geen nieuwe Edge-beveiligingsupdates meer.

Naast 2012 geldt dit ook voor 2012R2 voor zover ik kan nagaan.

[Reactie gewijzigd door Bor op 24 juli 2024 20:22]

[Scriptkid]

Wat ik nooit snap is je kunt niet upgraden omdat de provider van de oude software dit niet ondersteund, anders was je allang naar een secureder platform dat supported is geupgrade.

Maar je gaat wel op een oud platform unsupported versies draaien via een app die in memory hacks doorvoort met source code van internet /3rd party.

En die code is dan ook weer de mogelijkheid nieuwe issues te introduceren.

Klinkt als je risk vergroten ipv verkleinen

[janpiet]

Wat ik absoluut niet snap is dat Microsoft hun eigen software (Servrer 2012 (R2)) die pas in oktober 2023 end of life is, niet met hun "eigen" browser ondersteund tot die datum.

[r_AllocStarByte]

Ben erg benieuwd hoe ze deze service dan willen aanbieden. Voor de legacy software spulletjes wel handig uiteraard anders netwerk kaart verplicht uitschakelen of eruit slopen..

[Blokker_1999]

We zullen het maar niet hebben over hoe Google jarenlang geprobeert heeft om de Chrome browser overal door te duwen dan?

[Warmerfare]

Welk groot bedrijf met als doelgroep letterlijk iedereen zal zijn producten niet overal proberen door te duwen?

In enige zin is dit hele artikel een methode om een product naar klanten te pushen, ik lees:

officiële microsoft Edge updates stoppen binnenkort voor oudere windows besturingssystemen, maar niet getreurd! Draait u nog windows 7, 8.1 of Windows Server 2012? Voor maar 24,95 per jaar kun je bij 0patch nog 5 jaar updates ontvangen!

Ik lees in ieder geval niet:

0patch injecteert code in draaiende processen welke gedownload worden van 0patch servers. Let op dat dit mogelijk problemen met zich mee kan brengen in het geval van een hack bij 0patch of kwade bedoelingen vanuit deze partij gezien het programma absolute rechten in uw systeem zal hebben.

[Remzi1993]

Deze hele discussie is offtopic.

[Dutch2007]

Het lekker werkt met MS365 intergratie en SSO :-)

[MrDummy]

Dat is typisch Microsoft. Integreren en samenwerken. Kan handig zijn.
Toch blijf ik bij Firefox, hou liever neutraal.
Niet iedereen is mee eens, ieder zijn keuze. Ik ben al jaren Firefox en hoef geen adviezen zien van Microsoft over hun software aanprijzen.

Ik ben de monopoly beeld van Microsoft niet vergeten hoor. Hoe zij andere browsers eruit drukken en Internet Explorer naar voren schuift. Daar heeft EU eens vroeger ingegrepen. Ik zal die browser keuze scherm wel missen.

[lenwar]

Je doet nou net alsof het slecht is dat de producten van één bedrijf goed samen werken?

Ik ben het overigens volledig met je eens dat Microsoft op een zeer hinderlijke manier Edge pusht in Windows. Ze doen her en der zelfs net alsof je computer een probleem heeft als je Edge niet als standaard browser hebt.
Je ziet uiteraard hetzelfde bedrag bij andere bedrijven (Google en Apple doen in meer of mindere mate exact hetzelfde, Firefox ‘pushed’ ook naar hun producten/diensten in de GUI, enz) maar het gaat hier nu even om Microsoft.

Anekdotisch: ik gebruik zelf Firefox omdat die het het minste troep bevat en wel veel extensies beschikbaar heeft, maar ook binnen Firefox vind ik het al erg vervelend worden. (Het gebedel om in te loggen voor synchronisatie, Pocket-integratie, enz. Uiteraard kan je veel uit zetten, maar dat lukt ook met andere browsers, al is het dan wat meer gedoe)
Edge heb ik verwijderd via powershell omdat ik het vervelend vond worden dat bepaalde programma’s toch hard via Edge wilden werken.