Microsoft laat Smart App Control aan- en uitzetten zonder herinstallatie Windows

Windows 11 krijgt de mogelijkheid om Smart App Control in en uit te schakelen zonder dat daarvoor een herinstallatie van het besturingssysteem nodig is. Microsoft maakt dit mogelijk met de securityupdate van april, die het volgende week uitbrengt.

Smart App Control is een functie in Windows om alleen vertrouwde apps te laten draaien. Deze bescherming tegen malafide apps is volgens Microsoft bedoeld voor de hele levensduur van een apparaat en valt dus alleen in of uit te schakelen bij installatie van Windows. Daar komt later deze maand verandering in voor de 24H2- en 25H2-releases van Windows 11.

Voorspelling van veiligheid

De werking van Smart App Control berust op Microsofts 'intelligente cloudbeveiligingsservice' en of die een betrouwbare voorspelling kan doen over de veiligheid van een app, aldus de uitleg van de Windows-producent. "Als de service denkt dat de app veilig is, laat Smart App Control deze uitvoeren. Als wordt aangenomen dat de app schadelijk of mogelijk ongewenst is, wordt deze door Smart App Control geblokkeerd." Als de beveiligingsfunctie geen goede voorspelling over een app kan doen, controleert zij of de app een geldige digitale handtekening heeft. Wanneer dat het geval is, kan de app alsnog draaien.

De mogelijkheid om Smart App Control aan of uit te zetten, is straks te vinden in het instellingenscherm voor Windows' beveiliging, bij het tabblad voor app- en browserbeheer, meldt Ghacks. Deze verandering zat al in een testrelease van de komende update voor Windows 11.

Smart App Control, Windows 11. Bron: Microsoft

Reacties (27)

[cyble]

Een knopje om uitzonderingen toe te voegen op dat scherm zou ook een stuk handiger zijn.

[R_Zwart]

Is dat nu helemaal niet.mogelijk in Windows? Bij MacOS komen "onveilige" apps bij de security settings te staan en kan je daarvandaan toch toelaten.

[Eagle Creek]

Dat is iets anders - wat je daar noemt is vergelijkbaar met Windows ' "Mark of the Web" (MotW) en kun je inderdaad met een klik (vink in eigenschappen) uitschakelen.

Waar het hier om gaat is is App control en vertrouwde apps. Daarbij wordt een applicatie getoetst en ontstaat een lijst van veilige applicaties.

Het is een doorontwikkeling van functionaliteiten uit medio Windows 7 (uit m'n hoofd) zoals AppLocker (effectief white listing van applicaties).

[Reactie gewijzigd door Eagle Creek op 6 april 2026 10:53]

[Blokker_1999]

AppLocker is toch echt een totaal andere technologie. Dat is letterlijk gewoon een whitelist, lokaal op je systeem, van wat wel en niet vertrouwd is. Redelijk rudimentair, en in de basis ga je dat alleen maar vinden in bedrijfsomgevingen omdat het niet eenvoudig is om dat goed te beheren.

Smart App Control bouwt daarentegen verder op andere technologieen van Microsoft waarbij het vooral het verzamelen van veel informatie is die ervoor zorgt dat zij een bepaling kunnen doen of iets wel of niet vertrouwd moet kunnen worden.

[Mic2000]

Zelf als .NET ontwikkelaar hier ook mee gestruggled, wat mij nu duidelijk is geworden met Smart App Control voor de applicaties die ik ontwikkel:

1. Niet alleen de executable maar elke dll in je applicatie moet je signen (indien nog niet gesigned), anders krijg je alsnog een blokkering. Ook als je de applicatie published als single file, moet je alle dlls die in de single file komen al van te voren signen. Dit kan je in je csproj file zo instellen dat voor het publishen al je files worden gesigned.
2. Een snelkoppeling naar een fully signed applicatie met een extra parameter zoals /open "filename", wordt ook niet geaccepteerd.
3. Een snelkoppeling naar een batch file die dezelfde executable opent met dezelfde parameters, wel toegestaan!
4. Een fully signed applicatie openen vanaf een netwerk schijf? Vergeet het maar.

Smart App Control kan je op dit moment via de GUI maar eenmalig uitzetten totdat je Windows herinstalleert. Echter via het register is dit ten alle tijden gewoon aan / uit te zetten.

edit:
Typo

[Reactie gewijzigd door Mic2000 op 6 april 2026 11:09]

[fastedje]

Op linux RHEL is sit toch echt veel beter gerelged:

Software installeer je normaal via een standaard repo. Die key van de repo moet je dan vertrouwen en accepreren. Hierna controleert de package manager standaard of de gesignde packages niet zijn aaangepast achteraf. Na instqqltie kan je ook controleen welke bestanden zijn aangepast.

Maar om libraries runtime te checken en dan wel of niet te laden is nogal een andere insteek.

[!_Roy_!]

Wat jij beschrijft heb ik precies zo ervaren met applicaties van derden waarvan DLL's niet digitaal ondertekend waren.

[!_Roy_!]

Afgelopen maand al meerdere pc's gehad met Windows 11 waarbij Windows het nodig vond om Smart App Control maar in te schakelen, dit waren geen pc's die recentelijk een schone installatie gehad hebben,

Wat resulteerde in meest wazige foutmeldingen bij het opstarten van applicaties omdat DLL's en EXE's geblokkeerd werden.

Hou mijn hart vast als Windows na deze update zelf te pas en onpas deze functie gaat inschakelen.

[Loller1]

Wat je hier zegt is natuurlijk allemaal jereinste onzin...

Smart App Control kan niet ingeschakelt worden als het niet aan stond bij het installeren van Windows. Windows 11 gaat dus ook niet zomaar die functie inschakelen. Dat het überhaubt aangezet kan worden zal pas gaan vanaf de komende update in april. In de meest courante productie versie van Windows 11 is de nodige infrastructuur daar gewoon nog niet voor aanwezig.

Het idee dat functies zoals deze automatisch zouden inschakelen is onzin. Het idee dat functies die publikelijke nog niet eens beschikbaar zijn dat zouden doen is gewoon ronduit lachwekkend. Om dit überhaubt mogelijk te maken moet je al een Windows Insider zijn en dan zijn fouten zoals dat toch echt volledig je eigen verantwoordelijkheid (om maar even in het midden te laten dat er ook in het WIP geen rapporteringen zijn dat dit automatisch zou gebeuren).

[!_Roy_!]

Omdat jij van mening bent dat het onmogelijk is, is het je reinste onzin?
Toch bijzonder dat ik bij meerdere klanten random pc's heb gehad waar Smart App Control toch echt al aanstond.

Het betreffen dan geen pc's waarvan de eindgebruiker zich heeft aangemeld voor Windows Insider Release. (laat staan dat men weet hoe dit moet).

Mooi voorbeeld is dit screenshot (afbeeldingen in een post zetten is niet mogelijk?), dit was begin maart dit jaar. In deze situatie waren alle pc's identiek, en alleen deze pc had Smart App Control ingeschakeld

[IStealYourGun]

Ik vermoed dat het dan gaat om in house ontwikkelde apps? Want we draaien dit al meer dan een jaar zonder issues, enkel onze in house app gaf bij een een update een fout omdat de compile time redelijk recent was, maar dat was op te lossen met een exception.

[!_Roy_!]

In één geval betrof het een applicatie van derden die al gedateerd was, geen digitale ondertekening van DLL's.
Rest waren toch applicaties die goed onderhouden worden door derden.

[Monday]

Ik ben eigenlijk wel benieuwd of dit straks ook in Windows 12 komt, je hoort hier vrijwel niets over terwijl er eerder altijd wel dingen werden gelekt over de nieuwe Windows.

[Blackie85]

Huh? Op het werk een week of twee geleden een programma gehad wat niet wou installeren door smart app control. De helpdesk kon dit gewoon uitzetten, zonder herinstallatie van Windows. Ik snap dit artikel dan ook niet...

[henk717]

Uitzetten was geen probleem, aanzetten wel. Dus als je het uit zou willen zetten voor een programma die je tijdelijk wil gebruiken kon het niet meer aan om een onduidelijke reden. Dat is dus nu aangepast.

[henk717]

Dit is mooi maar ik vind het uberhaupt een slecht idee. We hebben met KoboldCpp al gebruikers gehad die het niet konden starten omdat dit aan stond. De oplossing zou zijn dat we voor een gratis project waar we geen donaties voor vragen een duur certificaat kopen elk jaar op persoonlijke titel of een organisatie moeten starten en hetzelfde doen.

Gaat ons veel te ver dus dat doen we niet. Iedereen mag de software gratis hebben of zelf compileren vanaf de broncode, maar dan moeten ze dit wel uitzetten. Bij android is iedereen boos dat je je bij google moet registreren voor je apps geinstalleerd mogen worden en dit is min of meer hetzelfde maar dan met verschillende providers die je kunt kiezen voor het certificaat.

Dus zet dit gewoon lekker uit. Een virus maker koopt of jat gewoon een certificaat en dan ben je niet veel veiliger dan je was met je antivirus.

[spokje]

Waarom wordt dit zo hard gedownvote. Zo is het toch inmiddels met Windows? Je bent al lang geen power user meer maar gewoon een domme consument die moet dealen met de grillen van MS.

[Blokker_1999]

Ik zou net zeggen dat de reden dat er net vele mensen zijn die maar overal op klikken en denken dat niemand hen kwaad wil doen de reden is dat we dit soort functionaliteit nodig hebben. Er gaat tegenwoordig geen week voorbij en soms zelfs geen dag voorbij voordat er opnieuw een verhaal in het nieuws komt van mensen die al hun spaargeld verloren zijn aan oplichters of hackers. Maar oh nee, bedrijven die je bescherming willen aanbieden, dat gaat blijkbaar weer te ver.

De power user kan nog altijd Windows gebruiken zoals deze dat altijd gedaan heeft. Zowat alles kan uitgeschakeld worden, als je maar weet hoe. En dat is net aan de power user, om te weten hoe en de gevolgen in te schatten.

Maar sommigen willen blijkbaar dat een eenvoudige gebruiker, die niets van technische achtergrond heeft, die niet weet wat men doet ook in staat moet zijn om alle vormen van bescherming uit te schakelen, gewoon omdat iemand anders zegt dat het slecht is. En jij ziet daar het probleem niet mee?

[Firestorm666]

voordat er opnieuw een verhaal in het nieuws komt van mensen die al hun spaargeld verloren zijn aan oplichters of hackers

En dat komt dus al lang niet meer door malafide programma's

1. Trap in een bericht in welke vorm dan ook (phising / social enginering)
   • Je moet je bankkastje vernieuwen want..
   • Hey "echte naam van dochter", ik zit echt in de nood kan je mij "x-bedrag" overmaken?
   • Ik ben van dienst "xyz" we hebben onregelmatigheden ontdekt..."
2. Phisher
   • Laat zijn/haar slachtoffer een volkomen legitiem programma installeren à la teamviewer o.i.d.
3. Het slachtoffer
   • Doet alle acties zoals de instructie zegt: pincode invullen, mfa code ingeven, ....
4. Phisher: kassa kassa

Allemaal volkomen legitiem voor een besturingssysteem of eender welk beveiligingsmaatregel.

Dit kan je het beste vergelijken met een ondoordringbare bunker bouwen, als de sleutelbewaarder een simpele ziel is/financiele problemen heeft/whatever issue heeft. Dan zal die de deur voor je openen. Tot zover "ondoordringbaar"

[Bor]

Het gaat hier om functionaliteit die je zelf moet inschakelen en dat kan ook alleen op een schone installatie van Windows 11. Dat inschakelen is een bewuste actie. De functie gaat niet ineens vanzelf aan. Je hebt dus zelf alle controle als (power) user .

[henk717]

Naar mijn weten klopt dat niet. De default is als het goed is een leer modus welke bepaald of het aan of uit moet staan voor die gebruiker.

[!_Roy_!]

Dan heb ik slecht nieuws voor je. Afgelopen maand bij meerdere klanten telefoontjes gehad dat bijvoorbeeld hun ERP pakket niet meer wilde openen.
Hier was Smart App Ccontrol ook "spontaan" ingeschakeld. na het uitschakelen er van werken de programma's weer zoals het hoort.

De optie om het opnieuw inschakelen of in leer modus zetten zijn dan wel grayed-oud.

[GurbieV]

U koopt dit programma 'as is', bij enige andere wensen mag u naar een ander systeem omkijken.

[rko4u]

Je zit er volledig naast, het programma wordt te pas en te onpas aangepast.

[R_Zwart]

Dan is het nog steeds "as is". Het staat vast ergens in de voorwaarden dat de licensor de functionaliteit ten alle tijde mag aanpassen.

[Ryunoru]

Dat is letterlijk het tegenovergestelde van "as is".