Microsoft voegt ondersteuning voor secure boot toe aan Windows 7

Microsoft heeft secure boot toegevoegd aan Windows 7. Het besturingssysteem kreeg eerder deze week zijn laatste officiële beveiligingsupdate, maar Microsoft lijkt al een paar maanden geleden de nieuwe feature te hebben toegevoegd.

De feature werd door een Twitter-gebruiker gespot op een Chinees forum. Neowin bevestigt dat de optie inderdaad in Windows 7 is toegevoegd. Dat zou al vorig jaar zijn gebeurd. Microsoft voegde de functie toen al toe in KB5017361, de Patch Tuesday-update voor Windows 7 van september 2022. Toen was de functie niet expliciet opgenomen in de releasenotes.

De functie werkt nog niet helemaal naar behoren, schrijven de gebruikers van het CSDN-forum. Er doen zich vooral problemen voor als ze bepaalde VGA-drivers gebruiken.

Secure boot is een methode om een apparaat alleen te booten als software zoals het besturingssysteem cryptografisch geverifieerd wordt door de fabrikant of de verkoper. Op die manier weten gebruikers dat er niet heimelijk met het besturingssysteem is geknoeid.

Het is opvallend dat Microsoft nu nog een dergelijke update uitbrengt. Sinds deze week krijgen Windows 7 en Windows 8.1 geen beveiligingsupdates meer, ook niet via het betaalde Extended Security Updates-programma. Hoewel secure boot al in september vorig jaar werd geïmplementeerd, wist Microsoft toen al dat het einde van de beveiligingsupdates eraan zat te komen. Door het ontbreken van die updates is Windows 7 praktisch niet meer veilig te gebruiken zonder externe ondersteuning door diensten als 0patch.

Reacties (52)

[svenk91]

Het is toch niet heel raar? Het is een update die de boel veiliger kan maken, en viel dus nog binnen het termijn voor extended beveiligingsupdates. Microsoft weet ook heus wel dat er nog veel bedrijven afhankelijk zullen zijn van software die enkel op Windows 7 werkt en dus is het ook niet heel gek dat ondanks een naderend einde van de support ze nog wat security features erin zetten. Microsoft heeft ook baat bij een computer landschap dat niet al te onveilig is.

Het zou mij ook niet verbazen als dit door een of enkele grote klanten is aangevraagd, voor MS goed voor de klantrelaties en ze kunnen er mee weg komen het stilletjes te doen en met nog enkele gebreken in place (het is immers geen officiële feature). Een andere reden kan zijn dat MS verwacht dat met het einde van de extended support een aantal enterprise klanten nu Windows 7 in een beveiligde Azure omgeving willen draaien voor bepaalde software die enkel op Windows 7 werkt, dat kan ook een niche markt zijn waar nog best eenvoudig een paar miljoen te verdienen is weer.

[oef!]

Als ik Windows 7 in de lucht zou houden in een bedrijfsomgeving dan zou ik dat het liefst binnen een VM doen zodat er wat meer controle is over wat er binnen en buiten het OS gebeurt. In dat geval is secure boot een extra beveiligingslaag die nuttig kan zijn.

[beerse]

Ook die vm-s gaan in de toekomst misschien op 'secure-boot only'. Omdat de veilige instellingen van de virtualisatie omgeving dat eisen. Als je daar dan W7 in wilt draaien dan moet die daar ook in mee.

[Wouterie]

Niet heel raar, maar wel verwonderlijk aangezien ze beloofd/gedreigd hadden dat er geen nieuwe features meer zouden worden toegevoegd aan Windows 7. Nu is het een wijziging in het beleid die (min of meer) positief uitpakt, maar strikt genomen is een feature toevoegen iets wat ze niet meer zouden doen.
Geeft dit den mensch de valse hoop dat er wellicht toch meer toekomst in Windows 7 zit dan Microsoft deed voorkomen? Wellicht, met een aandeel van net geen 10% is het nog best een gebruikt OS.

[Schaevertje]

"gedreigd"

[Wouterie]

Werkt bij mijn kinderen ook! Tussen beloven en dreigen in zitten

[Schaevertje]

Bij kinderen wel, niet bij hardnekkige die hard Windows 7 users

[Anoniem: 1576590]

Microsoft heeft ook baat bij een computer landschap dat niet al te onveilig is.

Eens, maar wel heel vaak blijken beveiligingsmaatregelen te omzeilen.

Eergisteren nog, door Binarly (bron):

Binarly’s REsearch team has led the coordinated disclosure of multiple vulnerabilities in Qualcomm reference code and ARM-based Lenovo devices powered by UEFI firmware. Multiple vendors are affected including Microsoft Surface devices, Samsung, HP, and many others.

[LurkZ]

Gisteren

Windows 7 en 8.1 krijgen geen beveiligingsupdates meer

Raar dat MS stopt met beveiligingsupdates maar wel nieuwe functionaliteit toevoegt.

[Blokker_1999]

De functionaliteit is dus enkele maanden terug toegevoegd maar niet aangekondigd. Mogelijks net omdat er nog problemen mee zijn die vermoedelijk niet meer verholpen gaan worden. Zij die het wensen te gebruiken en voor wie het stabiele werkt, kan dat nu. Voor alle anderen veranderd er niets.

[Loller1]

Waarschijnlijk is het niet aangekondigd geweest omdat het helemaal niet publiekelijk beschikbaar is. Deze update was enkel beschikbaar voor klanten met ESU.

[beerse]

En die ESU klanten zijn in de regel groot. Zij willen de huidige hardware, inclusief hun huidige beveiligings mogelijkheden gebruiken, ook voor dergelijke oude systemen.

Denk daarbij ook aan 32 bits systemen: 32 bits (en vooral 16 bits!) software is een goede reden om niet over te gaan op de huidige msWindows systemen.

[Hobbit13]

De 32bit versie van Windows 10 kan nog steeds 16 bit applicaties draaien via de optionele NT Virtual DOS Machine. Stokoude code, met vast de nodige security issues, maar die zullen dan Windows 7 ook wel aanwezig zijn, aangezien die code al jaren niet aangepast is.

Voor 16bit hoef je dus geen Windows 7 in leven te houden.

[lenwar]

Je ziet dit in praktijk vaker dat bedrijven na de officiële ondersteuning toch nog eens in de zoveel tijd een patch uitbrengen.

Onder andere met Windows XP toentertijd een keer. Toen was er een zeer ernstige foute gevonden dat ze toch nog één beveiligingsatch hadden uitgebracht. Dit was een patch voor de WannaCry kwetsbaarheid en kwam uit in mei 2019. (verlengde ondersteuning was in januari 2019 gestopt)

Apple doet dit ook eens in de zoveel tijd. Daar kwam bijvoorbeeld ook ineens een functionele update voor de iPad2/3 en iPhone 4s (( uit m'n hoofd waren dat de laatste modellen waar het voor gold. In elk geval iOS 9.3.6 )). Die hadden al jaren geen updates meer gekregen, maar ineens nog wel een update voor de GPS.

[Caelorum]

Ik vermoed dat ze het alleen doen als het impact kan hebben op de overige systemen. Bijv. WannaCry had dusdanig groot bereik dat het onverantwoord is daar niet alles tegen te doen wat je als bouwer kan.

[jpsch]

Beveiliging zit dan in het bootproces?

[Plopeye]

Het kan ook een methode zijn om te voorkomen dat win 7 straks tot in lengte van dagen gebruikt kan blijven worden. Secureboot kan namelijk ook gebruikt worden om het starten van het os te voorkomen...

[beerse]

Daarmee denk ik dat het voor de huidige en toekomstige hardware nodig is dat het os daar mee om weet te gaan. Als in de toekomst hardware geforceerd wordt om secure boot te draaien, dan kan W7 zonder secure-boot mogelijkheid daar dan niet op draaien.

[i-chat]

en dan installeer je iets als exsi of proxmox waar de bootloader wel secureboot doet maar de vm's (win 7) niet.

[beerse]

Dan zijn er security instellingen voor die virtualisatie systemen die de secure boot vereisen en dan moet het er toch aan voldoen. Veel grotere organisaties hebben een interne security politie die dat kunnen en mogen eisen.

Natuurlijk zeg ik als systeembeheerder dat de software gewoon moet worden bijgewerkt en daarmee ook het os en dergelijke. Maar ja, er is ook altijd een zekere bedrijfspolitiek...

[mr_evil08]

Dat is inderdaad heel raar om een EOL besturingsysteem nog even secureboot toe te voegen, Microsoft weet ook dat het besturingsysteem nog wel een tijd gebruikt gaat worden ondanks support is gestopt.

[HollowGamer]

Het zou goed kunnen dat SB weer aan iets hangt, waardoor MS het daarvoor maar heeft toegevoegd.
Soms zitten libs aan elkaar vast.

Gezien Windows closed-source is, kunnen we het helaas nooit verifiëren waarom.

[dmantione]

Mogelijk had een dik betalende klant het nodig en is het dan maar voor iedereen beschikbaar gemaakt; een speciale Windows-versie voor één klant is ook maar lastig.

[Anoniem: 24916]

Goed gelezen, dat staat er inderdaad dat het raar is ;-)

[Settler11]

Mmmm, wellicht stond die ontwikkeling al langer open - of het was zeer kort termijn te regelen? Mogelijk is het toegevoegd - ondanks de stopzetting van beveiligingsupdates - omdat de usebase van win7 nog zo gigantisch is? Edit: Stats met Market Share Windows Desktop Toch nog een goede 11%~

[Reactie gewijzigd door Settler11 op 25 juli 2024 15:35]

[Vinnie.1234]

Bijzonder dat W7 zelfs groter is geworden in verhouding... Van 9,6 naar 11%...

[Settler11]

En w11 maar dan ook ietsjes meer en w10 dusdanig veel nog.

[HollowGamer]

Door het ontbreken van die updates is Windows 7 praktisch niet meer veilig te gebruiken zonder externe ondersteuning door diensten als 0patch.

Persoonlijk zou ik een externe dienst als 0patch nooit gebruiken, vertrouw dit soort tools totaal niet.
Gezien de comments in de vorige berichten over het stopzetten van updates, ben ik niet de enige gelukkig.

Het beste blijft toch upgraden of wellicht overstappen op iets als Wine (als dat al kan) i.c.m. Linux.

[arjan1995]

In hoeverre is 0patch een partner van MS? Als zij gewoon een zakelijke overeenkomst hebben dan is er niet zoveel mis mee dat een 3e partij de ondersteuning van een product overneemt.
Ik heb het alleen bij Windows nog niet eerder gezien.

Maar ja, XP was ook pas de eerste grote versie die echt aan internet hing en waarvoor veel updates kwamen.

[robertlinke]

ik denk dat dit te maken heeft met een mogelijke upgrade mogelijkheid van 7 naar 11, en dat er daarom secure boot mogelijk gemaakt moet worden? voor een in place upgrade

[Server.1968]

Ben benieuwd, straks wellicht het Windows 11 debacle met TPM 2.0 ook nog implementeren in Windows 7. Nu ja, dan is er geen argument meer om niet over te stappen naar Windows 11, misschien is dit om de die-hard gebruikers van Windows 7 alsnog over te laten gaan... Voorbereiding op Windows 11.

[prutser001]

Beide zijn makkelijk te omzeilen zonder verlies van updates. Heb W11 op alles draaien van 4de generatie Intel t/m 12de.

[To_Tall]

Dat is heel leuk voor thuis, maar nu in een bedrijfs omgeving.

Daar wil je ondersteuning van MS voor hebben, dus zal je ondersteunde hardware moeten hebben. Mocht en diensten niet werken of problemen hebben omdat je geen officieel ondersteunde hardware hebt. Zal MS je niet kunnen helpen.

[Meiklokje]

Ondersteuning voor de vuilbak. Een pc waar Windows 11 niet officieel op draait zal niet anders werken als het wel het geval is. Platte commerce en pure sabotage en ewaste. Windows 11 is gewoon Windows 10 met een facelift. De pc verkoop aanzwengelen en computers op het stort. Je gaat op een Windows 11 pc even zeer malware en virussen draaien als een Windows 10 pc. Die zware processors en die tpm gaat het land echt niet redden als je computer is geïnfecteerd. Windows blijft Windows welke versie dan ook. Het moet eens gedaan zijn op tweakers om die wegwerpmaatschappij en consumptiemaatschappij goed te praten en te blijven verdedigen. Wie leeft en werkt voor de vuilbak ? Omdat Microsoft, Google en Apple dat willen ?

[batjes]

En Windows 10 is gewoon Windows 8 met een facelift. Windows 8 was een facelift van 7... etc..etc.

Er zijn dusdanig veel wijzigingen gemaakt in Windows 11, dat het zeker een verantwoord dat het een nieuwe release is geworden. Dit had Microsoft niet allemaal in Windows 10 kunnen proppen zonder een boel gezeik op de nek te halen.

Windows 10 heeft tijdens haar levensduur bijvoorbeeld een boel printer-legacy gedropt en holy moly wat een gezeik heeft dat allemaal opgeleverd. Laat staan als je dieper in het OS allemaal legacy dropped of wil gaan droppen.

[i-chat]

wat een onderbuik en haatgevoelens proef ik hier... maar ik zal je reactie met een voorbeeld proberen wat te nuanceren.

Toen google besloot alle gratis gmail for your domain accounts af te stoten moest ik natuurlijk op zoek naar een oplossing, ik had inmiddels ongeveer 5 mailadressen voor in totaal 3 personen waarvan het hebben van een postmaster@ een verplichting is voor bepaalde diensten. toe ik de rekensom ging maken kwam ik al snel uit op het punt dat me dat allemaal te duur zou worden en ik misschien beter eens kon gaan kijken naar een eigen oplossing.. de bijna gratis strack van transip werd ineens stukken duurder, en zoals gezegd dus ook mijn mail oplossing.

Na enige tijd kwam daar bij dat o356 (family) de features foor domains in outlook eruit zo gaan slopen en viel die oplossing dus ook uit...

gelukkig heb ik thuis glasvezel dus ik zelfhosten (in geval van email door het toepassn van zenden via een smarthost om uit blocklist te bijven) een optie.

Ik ging toen de rekensom maken, mijn oude mitx desktop pc met een nog perfect werkende amd A10 7870 3,6gh quadcore met 16gb is dan méér dan voldoende.
totdat je naar het stroomverbruik kijkt. hoeveel e-waste weggooien ook ging kosten, het feit dat ik dagelijks zo'n 10 tot 12 euro weg zo gooien aan electiciteit (vergeleken met een nieuwbouw pc), (cpu van 110w ipv 15w), maakte me wel duidelijk dat die hele milieu-discussie misschien tóch niet zo eenvoudig is als die in beginsel lijkt.

[topio2]

Is gewoon een ROI berekening voor jezelf, door jezelf en onder controle van jezelf en dus altijd beschikbaar. Gaat het m.i. niet over.

[JustFogMaxi]

Bij een beetje bedrijf zijn PC's na 5 jaar exit. Als je dan nog geen compatible PC hebt....

[Renegade666]

Idd. en ik heb het zelf wel draaien op juiste manier op andere HP dozen, dus denk dat het allemaal wel mee valt zakelijk gezien. Denk voornamelijk dat losse moederbord fabrikanten het niet in orde hebben met de oudere mobo's. Maar in het algemeen valt het volgens mij allemaal wel mee.

[mr_evil08]

Komt bij dat er genoeg verouderd laptops/CPU,s zijn die wel een externe TPM 2.0 module hebben, voornamelijk in de zakelijke markt zie je dat zoals de Lenovo T460/T470 ondanks het geen 8e generatie CPU aan boord heeft, de tool kijkt gemakshalf alleen naar de CPU generatie omdat vanaf de 8e TPM 2.0 ingebouwd zit.

De externe TPM 2.0 configuratie werkt ook wel goed op Windows 11 met alle functionaliteiten ingeschakeld, in bedrijfsleven wil je dit echter niet, voor thuis geen probleem.

In het bedrijfsleven upgrade men sowieso geen computers met nieuw OS, vaak worden die machines vervangen en dan pas geleverd met nieuw OS.

[Reactie gewijzigd door mr_evil08 op 25 juli 2024 15:35]

[lenwar]

Uiteraard kan je het omzijlen, maar mocht Microsoft het ineens technisch gezien een harde eis maken na een één of andere kernel-update, dan hang je natuurlijk. Zou toch vervelend zijn als je machine dan spontaan niet meer opstart na een update.

Ik had hem ook even op m'n laptop gezet (( ongeveer 8 jaar oud, geen idee wat voor generatie chip er in zit )), maar het performde toch wel echt merkbaar minder op mijn apparaat, dus had ik maar weer Windows 10 er op gezet.
N.B. Het huis-tuin-keuken-werk ging nog prima, maar met spellen werd het toch wel echt minder.

[sus]

Dat kan *nu* werken, maar Microsoft geeft duidelijk aan dat ze niet kunnen garanderen dat dat in de toekomst ook zo is. Best kans dat je de updates vanaf komend maart bv niet meer kan draaien. "kan" is hier een belangrijk woordje.

en zoals @To_Tall al aangeeft, in een thuissituatie is dat vaak niet zo'n issue om daar met allerlei patches of regtweaks omheen te werken. Maar in een werkomgeving wil je dat allemaal niet. Daar wil je een leverancier om de oren kunnen slaan met een SLA of met een factuur voor herstel - en dat kan niet als je zelf aan het rommelen bent gegaan.

[beerse]

Dat valt wel mee: een operating systeem heeft geen tpm nodig om te draaien. Maar ze moet wel mee kunnen in de boot omgeving. Als dat straks allemaal uefi is zonder compatibiliteits-mode of hoe de oude bios instelling ook heet, dan kunnen systemen die niet met uefi kunnen booten ook niet meer geïstalleerd worden. Een volgende stap is geforceerde secure boot, zoals bijvoorbeeld bij virtualisatie omgevingen. Daarom dus.

[SilentDecode]

Wacht even.. Win7 is nét EoL en dan gaan ze alsnog Secureboot toevoegen? Waar staat dat dan op?

[Remzi1993]

Je leest het artikel dus niet zo goed, ik citeer:

Dat zou al vorig jaar zijn gebeurd. Microsoft voegde de functie toen al toe in KB5017361, de Patch Tuesday-update voor Windows 7 van september 2022. Toen was de functie niet expliciet opgenomen in de releasenotes.

[TheVivaldi]

Klopt, maar alsnog wel een beetje vreemd om dat een paar maanden vóór EOL te doen. De uitrol van Secure Boot bij bedrijven duurt waarschijnlijk langer dan een paar maanden, dus die zitten nu met Secure Boot op een EOL OS.

[Metallize]

Mooi , dan kunnen ze ook even ondersteuning toevoegen voor mn i7700k cpu , met een TPM 2.0 chip op mn moederbord .. maarja , dat zal ook wel EOL zijn

[MeNTaL_TO]

Die werd toch al ondersteund door Windows 10 (ik vermoed dat je met Windows 11 in de war bent?)

[Metallize]

sorry ja inderdaad , windows 11 ... als ze secureboot kunnen inbakken , dan kunnen ze win 11 ook compatible maken met oudere cpu's

[Reactie gewijzigd door Metallize op 25 juli 2024 15:35]

[glennscholten]

Hoe werkt secure boot ten opzichte van UEFI in Windows 7? Het meeste draaide toen nog MBR/BIOS en als ik me niet vergis werd UEFI pas fatsoenlijk ondersteund vanaf Windows 8.