Microsoft schorst accounts van ontwikkelaars WireGuard en VeraCrypt

Microsoft heeft de accounts van de ontwikkelaars van WireGuard en VeraCrypt geschorst. Zij geven aan daardoor geen nieuwe updates meer te kunnen uitbrengen. Het bedrijf heeft niet bekendgemaakt waarom de accounts zijn geschorst.

In een bericht op SourceForge toont Mounir Idrassi, de ontwikkelaar van de opensource-encryptiesoftware VeraCrypt, het bericht dat wordt getoond als hij probeert in te loggen. Daarin staat dat Microsoft heeft vastgesteld dat Idrassi niet aan de vereisten voldoet om te worden geverifieerd. Het softwarebedrijf geeft ook aan dat er geen mogelijkheden zijn om in beroep te gaan.

Idrassi heeft naar eigen zeggen geen waarschuwingen ontvangen. Verschillende pogingen om contact op te nemen met Microsoft hebben niets opgeleverd, ook geen gesprek met een medewerker. De ontwikkelaar kan nog wel updates voor Linux en macOS uitbrengen, maar op die platforms zitten minder gebruikers dan Windows. "Het onvermogen om Windows-versies uit te brengen is dan ook een grote klap voor het project", schrijft hij.

Het bericht is onder meer gedeeld op Hacker News. Daar schrijft Jason Donenfeld, de ontwikkelaar van vpn-software WireGuard, dat hem hetzelfde is overkomen. "Op een dag logde ik in om een ​​update te publiceren, en tot mijn verbazing is mijn account geblokkeerd. Ik zit momenteel in een soort beroepsprocedure van 60 dagen, maar wie weet wat er gebeurt." Hij schrijft dat het door de maatregelen van Microsoft ook niet mogelijk is om een update te publiceren als WireGuard kritieke kwetsbaarheden bevat.

Bron: Zamek/VIEWpress/Getty Images

Reacties (168)

[Stukfruit]

Redelijk bizar.

Van de makers van WireGuard:

WireGuard has some big updates ready to go on Windows, our first on the platform in nearly 4 years. We've done some nice modernizations and improvements, fixed bugs, added features, updated the toolchain, and more. But our release is currently blocked by @Microsoft

The recent thread on Hacker News encouraged me to write this up, rather than just grumbling to myself privately about it as I have the last two weeks.

I logged in to get the WireGuardNT driver signed -- a necessary step for driver authors -- and was greeted by this vague message that the account has been suspended. Looking further into it, it seems like they instituted an identity verification policy, didn't notify me about it, and then I guess they suspended accounts who didn't do the verification. So of course I did the ID card verification immediately, but now an appeal is necessary. The appeals process requires filing a support ticket, but filing a support ticket requires a non-suspended account... Catch-22, eventually resolved by filing one through Azure and getting it rerouted to the right department. That was two weeks ago. Now they've told me there's a 60 day appeal review period. Wish us luck!

It's a little crazy, because what if there was some critical ring 0 RCE vuln that was being exploited in the wild and that needed to be patched immediately? (Just hypothetical; there isn't.) In that case, telling users "sorry, you've got to wait 60 days" would be sort of bad. And users of WireGuard for Windows are also Microsoft Windows users, so I can't see how this is good for Microsoft either. I think it must just be a case of bureaucracy gone slightly off the rails. Happens.

If any Microsofters are able to make this take not-sixty-days, please do get in touch.

[Reactie gewijzigd door Stukfruit op 8 april 2026 19:55]

[duvekot]

Lijkt dat iemand bij Microsoft wakker geworden is:

[embed]
https://x.com/shanselman/status/2041963341695029470
[/embed]

They are looking at it now. Make sure to accept the ToS as well.

[Reactie gewijzigd door duvekot op 8 april 2026 21:42]

[svenslootweg]

Tja, is wel een beetje mosterd na de maaltijd natuurlijk.

Doet me denken aan de Googlers die al jaren rondhangen op "Hacker" "News" waardoor je daar een soort van onbetrouwbare premium support krijgt, want als je een probleem benoemt dat een Googler persoonlijk belangrijk vindt dan gaat er ineens iemand achteraan, maar verder is er niemand te bereiken bij dat bedrijf.

Het lijkt me toch niet wenselijk dat kritieke maatschappelijke infrastructuur (want laten we wel wezen, dat is wat techbedrijven tegenwoordig zijn) op een dergelijke manier beheerd worden, dat je net bij de gratie van een nerd op het goede vakje moet landen voordat er een probleem opgelost wordt. Dat kan toch eigenlijk niet.

[duvekot]

En opgelost:

https://x.com/EdgeSecurity/status/2042185546152161474

All sorted now. WireGuardNT 0.11 will be released soon, with a new WireGuard for Windows out after some testing. Thank you to @shanselman for helping.

[Stukfruit]

Waar zouden we zijn zonder Scott Hanselman

Maar hij haalt ook een interessant punt aan:

Should be fixed in a bit. We've been sending everyone emails since October 2025

Te vinden op:
https://techcommunity.mic...am-begins-october/4455452

Dus deze keer was het geen MAGA maar nalatigheid, hoewel er gezien de reacties ("I don't recall receiving any notification") meer mensen lijken te zijn. Misschien verdwijnen die mailtjes ook te snel tussen de bizarre hoeveelheden spam tegenwoordig na al die datalekken en andere nonsens.

Gelukkig maken ze geen mailfilter

[Blizz]

Ik mag hopen dat ze zoiets voortaan gewoon op de site/je dashboard weergeven en het vereist maken voordat je een nieuwe update kunt pushen. Ik heb nog geen 2 tellen over UX gedacht en ik doe het al beter dan een miljardenbedrijf.

[Stukfruit]

Het blijft Microsoft

* Stukfruit heeft nog steeds moeite met het terugvinden van instellingen in een Office 365

Wacht, tegenwoordig heeft dat wéér een naamsverandering ondergaan en heet het Microsoft 365. Ik begin zelfs moeite te krijgen met het terugvinden van het pakket en m'n accountgegevens

[dasiro]

Als je voor het eerst in 4 jaar iets groots op een platform wil doen en dan pas merkt dat je account suspended is omdat ze niet geverified kon worden moet je niet plots potentiële ring 0 RCE exploits in je software als hypothetisch excuus aandragen. Met de supplychain attacks die ons de laatste weken om de oren vliegen wil je er juist zéker van zijn dat degene die zulke updates wil pushen ook echt is wie hij claimt te zijn VOOR die publiekelijk beschikbaar komen, want anders zijn de MS-haters er als de kippen bij om naar hen te fingerpointen en dat zou dan ook nog eens terecht zijn.

[Niemand_Anders]

Bij de supply chain attacks gaat het meestal om uploads vanaf geverifieerde accounts (meestal token hijack), dus die ga je hiermee niet voorkomen. Je ID is nodig voor leeftijd verificatie welke in steeds meer landen (en Amerikaanse staten) verplicht wordt...

Ik vermoed dat er op het microsoft account geen forward staat ingesteld naar de reguliere email en als je dat email adres niet gebruikt, blijf je ook weg uit die mailbox.

[dasiro]

en daarom moet ze ook geverifieerd worden, want als dat niet zo is, dan is het hek helemaal van de dam en kan DIT het infiltratiepunt worden in de supplychain met een tool die tot op het diepste niveau van een OS rechten krijgt.

[MornixRS]

Neemt niet weg dat Microsoft én je daar tijdig va op de hoogte kan stellen én adequaat zou moeten reageren.

[kodak]

Het feit dat je na 4 jaar een belangrijke update wil doen heeft niet spontaan de betekenis dat het eerder gedaan kon of moest worden. Hooguit dat het beter zou zijn als het eerder ontdekt, of dat men te lang zou hebben gewacht met een update. Het eerste is een wens, het tweede yoon je niet aan.

Maar belangrijker wat betreft kunnen updaten: Het feit dat ze nu niet kunnen inloggen wil niet zeggen dat ze het voige week of vorig jaar ook niet konden.

[jelle810]

Ze hadden Oct 01, 2025 een email op hun account moeten krijgen dat hun informatie moeten doorgeven.

Action Required: Account Verification for Windows Hardware Program Begins October 16, 2025

Dit is de rede waardoor meerdere accounts zijn geblokkeerd. Source: Scot hanselman X post

Hey I love dumping on my company as much as the next guy, because Microsoft does some dumb stuff, but sometimes it's just check emails and verify your accounts.

Not every "WTF micro$oft" moment is a slam dunk. I've emailed VeraCrypt personally and we'll get him unblocked. I've already talked to Jason at WireGuard.

Not everything is a conspiracy, sometimes it's literally paperwork.

[Room42]

Het lijkt me toch sterk dat drie verschillende projecten zo'n mail gemist zouden hebben. Zeker WireGuard, VeraCrypt, en Windscribe zijn geblokkeerd.

[uiltje]

Och, dat kan best. Ik zie ook niet alles in mijn mailbox, te veel shit ondertussen en priority mail werkt ook niet altijd goed - als het al niet in het spamfilter terecht komt. Te veel mensen klikken nog steeds spam aan als ze simpelweg het bericht niet willen lezen. Als IT'er heb je soms > 100 accounts, en je hebt simpelweg niet de tijd om alles te lezen.

[Polderviking]

Het softwarebedrijf geeft ook aan dat er geen mogelijkheden zijn om in beroep te gaan.

Volgens mij wordt het tijd dat bedrijven als Microsoft gewoon het recht ontnomen wordt deze en gene zomaar toegang tot aan diensten te ontzeggen.

Als je er op zoekt wemelt het ook van de verhalen van mensen die toegang tot andere services verliezen omdat er iets is getriggerd op een foto van hun kind ofzo, en het is vervoglens ook godsonmogelijk is om daar een mens naar te laten kijken.

Ze verdienen bakken met geld aan gebruikers, dat vrijblijvende mag er wel een keer af.

[Sissors]

Ik durf wel te stellen dat ze het niet "zomaar" hebben gedaan. Ze zullen een reden ervoor hebben. Of dat nu een false positive is of iets anders, geen idee. Maar ze zullen het niet hebben gedaan omdat ze compleet random voor de grap wat accounts wilde blokkeren.

Overigens snap ik daarnaast ook niet echt waarom ze zonder Microsoft account geen nieuwe Windows versies kunnen uitbrengen. Ja op de Windows store niet, maar buiten dat om moet het toch gewoon kunnen? En uiteraard is dit een probleem (en ben ik het ook ermee eens dat een backup van een foto van je kind in bad een idiote reden is om een account te blokkeren), maar het lijkt mij een stuk kleiner probleem dan een (onterecht) geblokkeerd Google / Apple account als dev voor die mobiele platformen.

Edit_: Hieronder iemand die schrijft dat Wireguard een gesignde driver nodig heeft, dan snap ik het. Maar Veracrypt zal die niet nodig hebben.

[Reactie gewijzigd door Sissors op 8 april 2026 19:33]

[Blokker_1999]

Veracrypt moet kunnen ingrijpen in het bootprocess en zit dus vrij diep in de kernel verweven wanneer deze heel vroeg in het opstartprocess geladen moet kunnen worden. Dat vereist uiteraard een handtekening en goedkeuring van Microsoft.

[The Zep Man]

Veracrypt moet kunnen ingrijpen in het bootprocess

Alleen als je FDE toepast op je Windowspartitie. De driver wordt ook gebruikt om versleutelde containers aan te bieden als drive letters.

[Reactie gewijzigd door The Zep Man op 8 april 2026 19:53]

[pegagus]

Dus even een nieuwe account aanmaken en dan kan het weer wel? Het rare is dat die hele verificatie net zo'n geautomatiseerd proces lijkt te zijn, als het proces wat de account op inactief zet en het hele proces er achteraan.

Je zou toch denken dat je op een bepaald niveua aan de voorkant is regelt als MS met de ontwikkelaars en ook zorgt dat er altijd iemand wederzijds aangesproken kan worden. Nu wordt een ontwikkelaar behandeld als een willekeurige Truus uit Schubbekutteveen.

[zerothe2nd]

De Microsoft account is nodig voor het kunnen ondertekenen van de driver. Dat is sinds Windows 10 (dacht ik) een eis van drivers als ze in Windows willen draaien zonder dat een gebruiker de validatie van driver handtekening uit moet zetten.

[Squixx]

dus het _kan_ wel... het ziet er alleen absoluut niet meer betrouwbaar uit..

Wat zeker met iets als wireguard echt idioot is. Ben benieuwd of dit een staartje krijgt, want wireguard is geen weinig gebruikt stukje software

[R4gnax]

dus het _kan_ wel... het ziet er alleen absoluut niet meer betrouwbaar uit..

Het kan niet, want Microsoft staat het inladen van niet-ondertekende drivers in de kernel niet toe.
Dat is alleen toegestaan als je een speciale 'ontwikkelaarsmodus' aanzet.

[Kalief]

Ik durf wel te stellen dat ze het niet "zomaar" hebben gedaan. Ze zullen een reden ervoor hebben.

Je durft te fantaseren dat 'waar rook is is vuur'.
Maar nee, waar rook is is rook.
En hier is niet eens rook, de rookmelder houdt wijselijk z'n piep.

Als Microsoft een ernstige gemisbruikte kwetsbarheid had geconstateerd had het die van alle daken gecommuniceerd. Maar Microsoft houdt zich stil. Microsoft durft niet te stellen waarom ze dit hebben gedaan.

[Sissors]

Nee, ik durf te stellen dat ze niet compleet random voor de grap accounts blokkeren. Zoals ik had geschreven, wat je toevallig net uit je quote hebt weggelaten, dat die reden best een verkeerde kan zijn (zoals een false positive). Mijn punt is alleen dat ze het niet "zomaar" zullen hebben gedaan.

[SkyStreaker]

Dat is exact hetzelfde zeggen als "hij/zij is wel aangehouden als verdachte, dus hij/zij zal vast wel iets hebben gedaan" en daar heb je dat de maatschappij je al veroordeeld en is het gedaan met je zaak of anderzijds, zelfs al blijk je later onschuldig.
Kritisch denken is nog meer een luxe dan vroeger ten heden dagen. En de huidige media spoort flink versneld (ver)oordelen behoorlijk aan.

[Reactie gewijzigd door SkyStreaker op 8 april 2026 20:22]

[Sissors]

Nee dat is op geen enkele manier vergelijkbaar. En nogmaals, lees eens mijn hele post! Want op zo'n manier discussieren is niet netjes.

Ik schrijf nergens dat deze persoon schuldig aan iets is. Dus ik snap niet waarom je dat wel insinueert. Ik schrijf dat ze hem waarschijnlijk niet compleet willekeurig hebben geblokkeerd. En meerdere keren heb ik nu erbij geschreven dat ik daarmee niet zeg dat ze een (uiteindelijk) geldige reden hebben gehad om ze te blokkeren. Maar als mensen gaan claimen dat Microsoft gewoon compleet willekeurig voor de lol accounts blokkeert? Ja dan mogen die claims wel wat onderbouwing gebruiken.

[pim van H]

Misschien wil MS wel volledige inzage in de broncode, het zijn natuurlijk wel stukjes waar niemand precies achter kan komen.
En met alle schendingen van persoonlijke gegevens in de huidige Windows zou het mij niets verbazen.
Ik vermoed dat juist de encryptie voor MS een onneembare vesting is.
Ze willen graag weten wat iedereen uitspookt, zo'n beetje elke file wordt naar MS gestuurd om te kijken of er "kwaadwillende" code in zit. Maar de schaduwkant daarvan is dat ze alles van je weten.
Maar natuurlijk heeft niemand wat te verbergen...

[Sternis]

Beide projecten zijn volledig open-source.

[Olaf van der Spek]

Ik schrijf dat ze hem waarschijnlijk niet compleet willekeurig hebben geblokkeerd.

Maar wat voegt dat toe? Wat is je punt precies?

[Sissors]

Deze hele discussie begon of Microsoft 'zomaar' accounts blokkeert. En dat was mijn reactie dat ik niet geloof dat ze het gewoon willekeurig doen, maar dat ze vast een reden hebben. Maar die reden kan wel bijvoorbeeld een false positive ergens op zijn.

Waarop iemand reageerde dat ik dus fantaseer dat diegene schuldig is! Waarop ik antwoorde dat ik dat niet schreef, want ik noemde specifiek dat het ook bijvoorbeeld een false positive kan zijn. Waarop iemand reageert dat ik dus schrijf dat diegene schuldig is! Waarop ik antwoorde dat ik dat niet schreef, want ik noemde specifiek dat het ook bijvoorbeeld een false positive kan zijn. (Het scheelt dat ik dit makkelijk kan copy pasten als mensen gewoon mij van exact hetzelfde blijven beschuldigen). En dan vraag jij nu wat mijn punt is. Nou mijn punt is dat ik niet geloof dat Microsoft compleet random mensen blokkeert. Ze zullen er een al dan niet, in hun ogen, valide reden voor hebben gehad. Dus je schiet heel weinig op met het microsoft wettelijk verbieden om 'zomaar' accounts te blokkeren, omdat het mij heel onwaarschijnlijk lijkt dat ze dat doen.

Meer eisen stellen over hoe de beroepsprocedure moet gaan, dat lijkt mij een veel beter idee.

[Olaf van der Spek]

Nee, ik durf te stellen dat ze niet compleet random voor de grap accounts blokkeren.

Klopt, ze gebruiken waarschijnlijk een PRNG..

[latka]

Omdat ze geen openheid van zaken geven geef ik ze het nadeel van de twijfel. Ze blokkeren ook een rechter van het Hooggerechtshof zonder uitleg. We kunnen inmiddels wel stellen dat ms een onbetrouwbare partij is imho.

[Mathijs Kok]

Microsoft durft niet te stellen waarom ze dit hebben gedaan.

Waar haal je dat vandaan? Zullen we niet gewoon even wachten tot we er wat meer over weten voor we roeptoeteren?

[jpsch]

Zal wel door AI geblokkeerd zijn.

[kakanox]

Besef je dat Microsoft jou dus ook uit je eigen pc kan weren als er een algoritme een keutel verkeerd heeft zitten, en je daar dan niets tegen kan doen.

Logisch gevolg is dat ik dit typ vanaf een Linux machine.

[Sissors]

Ligt eraan of je een lokaal account hebt of niet, maar in principe kan Microsoft inderdaad een hoop doen (om het nog niet te hebben over wat bij Android / iOS Google / Apple kan doen, dat is nog een hoop meer). Maar vanwaar denk jij dat ik dat niet besef?

[kakanox]

Ligt eraan of je een lokaal account hebt of niet, maar in principe kan Microsoft inderdaad een hoop doen (om het nog niet te hebben over wat bij Android / iOS Google / Apple kan doen, dat is nog een hoop meer).

Android/iOS is hier offtopic. Ik kon mijn W11 niet meer installeren zonder Microsoft account, op dat punt ben ik afgehaakt. een lokaal account aanmaken na installatie is nog wel mogelijk begrijp ik? Dan moet je je installatie bij wijze van spreke dus beschermen met je leven, om te voorkomen dat je er niet meer in kan als je ooit een herinstallatie doet?

Maar vanwaar denk jij dat ik dat niet besef?

Ik deed geen aannames over wat je al dan niet beseft, het was ongevraagd advies

[theredspecial]

Laat onverlet dat een beroepsmogelijkheid zou moeten bestaan. Heg algoritme is ergens op getriggerd, bij een beroep zou je dan wel akkoord moeten geven dat het betreffende bestand door een mens ingezien kan worden, vermoed ik. Laten we wel zijn, dit soort diensten valt inmiddels bij wijze spreken onder kritieke infrastructuur.

[Mathijs Kok]

Laat onverlet dat een beroepsmogelijkheid zou moeten bestaan.

Maar die is er ook; daar zijn de betrokkenen nu mee bezig en Microsoft heeft al laten weten ermee bezig te zijn.

[Sternis]

Uit de eerste alinea van het artikel:

Het softwarebedrijf geeft ook aan dat er geen mogelijkheden zijn om in beroep te gaan.

[theredspecial]

Zoals Sternis hieronder stelt: die mogelijkheid is er blijkens het artikel niet. Dat ze het in dit geval doen, is mooi. Alleen dat lijkt daarmee gerelateerd aan dit specifieke geval. In mijn optiek moet dit een structurele mogelijkheid zijn, want emailaccounts zijn zo cruciaal tegenwoordig, dat moet niet afhangen van toeval, je mooie glimlach of andere ondoorzichtige factoren.

[Olaf van der Spek]

Maar Veracrypt zal die niet nodig hebben.

Waarom zal Veracrypt dat niet nodig hebben?
Ook executables schijn je tegenwoordig beter te kunnen signed trouwens.

[Sissors]

Ik kende Veracrypt van gewoon een map oid versleutelen, maar ik zie nu dat je ook meer ermee kan, dus als ze daar gesignde drivers voor nodig hebben dan snap ik dat.

[Z80]

Veracrypt kan ook een volledige disk versleutelen. En ook de boot disk. Zelfs een OS upgrade kan met een versleutelde boot disk. Hier zijn dan wel de Microsoft drivers voor nodig.

Klinkt als ontwikkelaar pesten. Veracrypt is een concurrent van bitlocker. En eentje die ze liever kwijt dan rijk zijn. Aangezien bij Veracrypt dicht ook echt dicht is.

[De_Daapse]

Veracrypt is een concurrent van bitlocker

Precies, en zoals bij bijna alles dat concureert met Microsoft is het beter dan wat Microsoft maakt, en als ze dan de macht hebben om het uit te schakelen dan is dat de keuze die ze maken.

[Scriptkid]

I logged in to get the WireGuardNT driver signed -- a necessary step for driver authors -- and was greeted by this vague message that the account has been suspended. Looking further into it, it seems like they instituted an identity verification policy, didn't notify me about it, and then I guess they suspended accounts who didn't do the verification

Volgens wireguard hebben ze zelf gefailed om hun accounts tijdig te verrifieren

[Llopigat]

Nouja ze hebben ook helemaal geen verzoek gehad in die richting. Dusja als je niet weet dat dat van je verwacht wordt...

[Scriptkid]

zijn alle contact gegevens nog wel up 2 date geweest, als jij nooit inlogged en inactive wordt is het natuurlijk ook een duidelijke sign dat je niet actief met je accounts omgaat,

Meschien spam berichten gemarkeerd etc. Daarnaast als je actief developer bent dan volg je de changes van de store dus dan hadden ze waarschijnlijk ook ale nieuwe requirements gezien toen die aangekondigd waren.

[erix4me]

Ik zou bijna denken dat er gewoon overheids bemoeienis is geweest. Ik gok dat de Veracrypt ontwikkelaar gewoon geen backdoor in zijn software wil inbouwen en met MS kan de Amerikaanse overheid wel zo'n deal sluiten.
Ik ben een aantal maanden geleden prive overgestapt op Linux Mint. Had ik 3 keer eerder gedaan maar was iedere keer na een week wel weer terug. Niet dit keer. Ik ben nu om. Ik ben daarnaast ook druk bezig vooral alle online diensten de ik heb te ont-Amerikaniseren.

[batteries4ever]

"In America we trust" of misschien niet zo heel erg meer? Afgezien van Trump & Co. zelf lijkt het erop dat de algemene mentaliteit downward gaat. Als MS iets niet wil b.v. om politieke redenen, dan blokkeren ze ook vrolijk. Erg leuk ook dat je een ongeblokkeerd account nodig hebt om je account te deblokkeren. En erachter komen waarom? Neuh... hebben we maar niet geïmplementeerd. Dit is niet alleen bij MS maar denkelijk bij alle tech giganten het geval. Technisch lijkt me dat best te doen, maar dan moet je het wel willen.

[mhnl1979]

Het probleem is niet de oorzaak. Het probleem is het vage en het feit dat je niet om uitleg kunt vragen. Het gaat altijd via vage constructies, webformulieren en charmtten met medewerkers die je verwijzen naar onbereikbare medewerkers. MS is een ongelooflijk kut bedrijf. Er zou vanuit EU verplicht moeten worden voor dit soort poortwachters om een telefonische helpdesk te hebben en waarvoor geldt dat er richtlijnen zijn waar elk bedrijf zich aan moet houden. Klachten commissie, noem maar op.

[Sfynx]

Ik durf wel te stellen dat ze het niet "zomaar" hebben gedaan. Ze zullen een reden ervoor hebben. Of dat nu een false positive is of iets anders, geen idee. Maar ze zullen het niet hebben gedaan omdat ze compleet random voor de grap wat accounts wilde blokkeren.

Zolang ze niets erover willen loslaten en er geen hoor en wederhoor heeft plaatsgevonden is het volledig gelijk aan een random actie.

[Heroic_Nonsense]

VeraCrypt installeert een driver in kernel space zodat het transparant een volume can encrypten en decrypten. Om op dat niveau een driver te mogen installeren, moet de driver gesigned zijn, en dat signen kan niet zonder Microsoft-account.

[Globefrotter]

Dat een account wordt geblokkeerd om een of andere reden is tot daar aan toe, maar dat er absoluut geen mogelijkheid is om met Microsoft te communiceren hierover is natuurlijk zeer kwalijk. Zo wordt een fout nooit opgelost. Hoor en wederhoor is hiervoor natuurlijk wel essentieel.

[Glashelder]

Ik durf wel te stellen dat ze het niet "zomaar" hebben gedaan.

Het zou echt heel erg schelen als we met zijn allen eens stoppen met dingen te ontkennen die we ons niet voor kunnen stellen. Als je even kort zoekt op bijv. 'microsoft rechtszaak blokkeren account' dan kom je er al heel snel achter dat alles van MS met allerlei automatische processen aan elkaar hangt.

Het is vervolgens ontzettend lastig om een mens te pakken te krijgen om uberhaupt naar je case te laten kijken. Microsoft gaat liever rechtszaken aan (om ze vervolgens te verliezen) dan mensen erop te zetten.

Dus ja, dit gebeurd wel degelijk.

[Sissors]

Ach het zou ook schelen als mensen eerst zouden lezen voor ze weer conclusies trekken. Als ik zeker een keer of 4 hier nu heb geschreven, ik zeg absoluut niet dat ze terecht zijn afgesloten. Ik zeg dat er een reden voor is geweest. Jij schrijft zelf dat er allerlei automatische processen zijn. Geloof jij nu werkelijkwaar dat er in die processen gewoon een random number generator draait, die compleet willekeurig accounts afsluit? Nee natuurlijk niet. Sluiten ze onterecht daardoor accounts af? Ja natuurlijk, dat heb ik nooit ontkend. Mijn punt is alleen dat ze dat niet compleet zomaar doen omdat ze het wel grappig vinden.

[Glashelder]

Als een automatisch proces met enige regelmaat false positives heeft en daardoor accounts afsluit? Sorry maar dat is zonder reden een account afsluiten.

Bedrijven zoals dit zijn zo gigantisch groot dat het zo gewoon geen zak kan schelen wat voor overlast ze veroorzaken, zo lang zij maar wat kosten kunnen besparen. Ik heb er een enorme hekel aan als dat gebagatelliseerd wordt met 'maar er was een reden!'. Nee, die was er niet, een defect automatisch proces dacht dat het nodig was.

[Sissors]

En ik heb een enorme hekel aan mensen die claims maken over wat ik gezegd zou hebben wat ik nooit heb gedaan. Ik bagetaliseer niks. Dat maak jij ervan. Ik ben ondertussen de tel kwijt hoe vaak ik al heb geschreven dat ik zeker niet zeg dat er een valide reden was dat het account is geblokkeerd. Ik schrijf alleen dat als je wetgeving gaat maken dat Microsoft geen accounts voor de lol mag blokkeren, dat je puur populistisch bezig bent wat het goed doet op een Tweakers blijkbaar, maar wat nul impact heeft in werkelijkheid omdat ze het niet voor de lol doen.

Zoals andere ook schrijven, fatsoenlijkere beroeps mogelijkheden eisen zou veel nuttiger zijn.

[CH4OS]

Volgens mij wordt het tijd dat bedrijven als Microsoft gewoon het recht ontnomen wordt deze en gene zomaar toegang tot aan diensten te ontzeggen.

Niet vergeten dat de personen hier de gebruikers zijn van een dienst van Microsoft. Het zou een beetje raar zijn als Microsoft niet de eigen tools en services kan/mag beheren, denk je ook niet? Mind you, het gaat hier om het publiceren van applicaties in de MS Store.

[Reactie gewijzigd door CH4OS op 8 april 2026 19:43]

[Yggdrasil]

Blokkeren met een heel goede reden moet kunnen ja. Maar deze mensen geven aan dat ze géén waarschuwing kregen, geblokkeerd werden en géén mogelijkheid tot bezwaar/review hadden.

Een onafhankelijke review-board is mijns inziens nodig want met de hoeveelheid diensten die tech giganten als Microsoft, Google, Meta aanbieden raak je de toegang tot een groot deel van de moderne wereld kwijt. Foto's, e-mail, bestanden, authenticatie bij allerlei websites, broncode, backups, etc. Dan moet de reden wel heel goed zijn.

[Scriptkid]

je moet even de source openen,

VeraCrypt / Forums / General Discussion: Project Update

Ze zijn dus inactief voor een langere periode, en hebbende enhanced verrificatie voor partners gemist, In de melding staat ook duidelijk dat dit vereist is en het process er rond omheen.

Ze kunnen dus gewoon nieuw partner account aanvragen,

Dus lijkt meer ophef dan het is en het artikel wordt aangedikt met dat er geen en onduidleijke redenen zijn terwijl het gewoon uitgelegt staat.

Zit zelfs een hele docs bij:
Verify Your Account Information - Partner Center | Microsoft Learn

[willieverhoef]

Beheren ja, maar iedereen heeft dezelfde rechten en mag dus niet zomaar gediscrimineerd worden. Dus er mag best een goede reden zijn. Het is alleen schijnbaar lastig deze reden te vinden.

[Scriptkid]

I logged in to get the WireGuardNT driver signed -- a necessary step for driver authors -- and was greeted by this vague message that the account has been suspended. Looking further into it, it seems like they instituted an identity verification policy, didn't notify me about it, and then I guess they suspended accounts who didn't do the verification

volgensmij zegt wiregeuard zelf gefailed te hebben het verrificatie process tijdig uit te voeren na een poos van inactiviteit..

[Sfynx]

Het is natuurlijk wel bezopen dat het dan twee maanden moet duren om dat weer recht te trekken.

[Scriptkid]

Dat zal te maken hebben gok ik met bescherming van malefiede activteiten,

Als je accounts disabled en ze kunnen meteen weer enablen dan is dat interesant voor aanvallers,

Let op het gaat hier niet om normale disable maar disable voor accounts die geen enhanced verrificatie hebben gedaan.


Moet je maar eens gaan kijken hoe veel je moet doen bij apple om iets gepubliseerd te krijgen,

Ik heb zeg een tijdje op steam gepubliseerd , en daar heb je zelfde verhaal allemaal throttles in processen zodat malifide actors optijd tegen gewerkt kunnne worden voordat ze iets uploaden in de store

[Reactie gewijzigd door Scriptkid op 9 april 2026 07:24]

[jbhc]

Ik kan echt met de beste wil van de wereld niet begrijpen waarom je dit aan het verdedigen bent.

Zelfs bij een toko als Odildo of Ziggo kun je nu iemand aan de telefoon krijgen om dingen te regelen maar bij MS is dat godsonmogelijk en jij vind dat de normaalste zaak van de wereld.

[Scriptkid]

Ze zijn toch met iemand bezig , duurt alleen 60 dagen cooldown,

Ik zeg alleen dat je niet kunt stellen dat de partij zelf alles gedaan had om het te voorkomen. Ze claimen dat ze totaal niks wisten inc hoe en wat optelossen of hoe het gekomen is (volgens tweakers) maar dat wordt op de bron sites wel uitgelegd,

Aangezien je IDV gelijk is aan je passpoort kun je dus gewoon een nieuwe IDV aanvragen en door het identificatie process gaan,

Als opnieuwed aanvragen zelfde is als reactivate wat is dan nog het verschil om via SD hoop tijd te besteden aan reactivate. Dit zijn geen accounts die je zo maar even activeerd , maar accounts met full 3rd party authenticated en validated passpoort credentials.

Daarnaast heb je het probleem dat deze partijen dus nooit goed hun IDV hadden laten registren bij invoeren en daarna inactief zijn gegaan, dus hoe ga je dan een NON authenticated entity vertrouwen (Iedereen zou dus het originele account kunnen claimen), Dan moeten ze eerst weer een nieuwe IDV hebben en dan kunnen ze via die nieuwe support in dienen en het process starten om aan te tonen dat ze de eigenaar zijn van de originele apps. En dan ben je weer bij punt 1 maak gewoon nieuwe aan .

Soms zit er gewoon meer achter dan simpleweg waarom wil een partij niet mee werken dit doen ze express.

Ik ken niet het hele MS process maar staat vrijd duidelijk beschreven op aka.ms/partnerverificatie. Ik heb wel het steam process gedaan en dat was soortgelijk spel van lang wachten en veel aanleveren etc totdat je fully trusted en authenticated partner bent en games kunt publiceren.

[Reactie gewijzigd door Scriptkid op 9 april 2026 08:34]

[The Zep Man]

Mind you, het gaat hier om het publiceren van applicaties in de MS Store.

Het gaat om het (niet meer) ondertekenen van drivers.

[CH4OS]

Ah, dat had ik even niet duidelijk op het netvlies, maar dat maakt voor het punt dat ik maak niet heel veel uit.

[R4gnax]

Jawel- dat maakt wel uit.
Microsoft heeft namelijk in het verleden al boetes van de EU gekregen voor het uitsluiten van derden van kernel-toegang of kernel-drivers voor Windows te maken. Ze zullen dus een verdomd goede reden moeten hebben om deze ontwikkelaars ineens de driver-ondertekening te weigeren, want anders gaat het wederom boetes en dwangsommen regenen.

[Reactie gewijzigd door R4gnax op 9 april 2026 00:41]

[Scriptkid]

reden is simple zegt de getroffe partij zelf, ze hebben gefaald het account op tijd te verifieren en actief te houden

[R4gnax]

Reden dat ze dat 'gefaald' hebben is ook simpel: ze zijn nooit door MS ingelicht over het feit dat ze dat moesten doen.

[Scriptkid]

Ook kip en ei ze waren inactief en ligged nooit in dus dan zie je ook meldingen niet.

Daarnaast ben ik zelf ook van mening dat je platform chanves waar je voor onfwikkeld zelf actief zou moeten volgen dus het is halen en brengen van info, en niet alleen halen.

Regering meld jouw ook niet dat je rijbewijs verlopen is als je nooit op je digid inlogged

[The Zep Man]

Regering meld jouw ook niet dat je rijbewijs verlopen is als je nooit op je digid inlogged

Appels en peren. Een regering voorkomt niet dat je die alsnog (opnieuw) kan aanvragen.

[Scriptkid]

Volgens de docs geld voor deze accounts het zelfde.

Of heb jij bewijs sources dat dat niet zo is. Er staat nl dat heg huidiv account niet geactiveerd kan worden omdat het validatie van eigenaar gefailed heeft.

Bij de overheid krijg jij ook niet zelfde rijbewijs terug of zelfde kenteken plaat bij verlies. (staat dan een 1 bij en na 3 keer ben je oom helemaal klaar)

[R4gnax]

Bij de overheid krijg jij ook niet zelfde rijbewijs terug

Je hoeft echter ook niet opnieuw theorie- en rij-examen te doen. Een verlopen rijbewijs kun je gewoon vernieuwen wanneer je wilt.

En verder geldt voor dit soort wijzigingen van voorwaarden in elk geval in Europa dat dienstverleners een actieve informeringsplicht hebben. Ze zijn verplicht je tijdig via een duurzaam medium te informeren. Een email adres dat niet direct onder hun eigen platform valt, voldoet daar voor. Een toast notificatie, popup overlay, of wat dan ook klaarzetten wanneer je opnieuw op een online omgeving onder beheer van de dienstverlener inlogt, voldoet daar niet voor.

[Reactie gewijzigd door R4gnax op 9 april 2026 18:28]

[onetime]

Jawel, gewoon per post. Heb de brief hier liggen.

[Annihlator]

Dat verklaart dat geen nieuwe drivers gesigned kunnen worden, echter werden ook al-gesignde drivers ingetrokken; hier lijkt het mij om te gaan.

[Raymond Deen]

Het nadeel van zo’n App Store wordt nu wel pijnlijk duidelijk.

Vroeger, eigenlijk nog niet zo heel lang geleden, deden de meeste applicaties zelf een check op de beschikbaarheid van updates en kon je als gebruiker dan zeggen: ja, die wil ik wel. Juist vanwege het aspect “veiligheid” werd iedereen gepusht naar die store en nu zorgt een policy die niet helder toegelicht wordt aan de betreffende ontwikkelaar er juist voor dat er géén updates meer geleverd kunnen worden. 🤯

[Uchy]

Onder linux is het gebruik van zo'n centrale store heel prettig, maar daar lees ik nooit over dat mensen er uit worden gekicked. In deze gecentraliseerde commerciële macht heeft het iig de schijn tegen van 'rechtvaardigheid'. Maar wat er echt achter schuilgaat blijft nog gissen. Benieuwd naar het hoe en waarom

[aadje93]

Linux is ook verre van heilig..... ipv een bedrijf met managment organisatie is het 1 persoon die alles kan tegenhouden als die wil...

[Reactie gewijzigd door aadje93 op 8 april 2026 21:33]

[R4gnax]

Het nadeel van zo’n App Store wordt nu wel pijnlijk duidelijk.

Dit heeft niet met een app store te maken. Zelfs als Veracrypt of Wireguard hun software via de eigen website distribueren als losse installer gaat het nog niet werken. Het probleem is namelijk dat ze gebruik maken van modules die op kernel-niveau moeten draaien. En die moeten persè door Microsoft goedgekeurd en ondertekend zijn, want anders weigert de kernel deze in te laden.

[Raymond Deen]

Zoals ik het begrijp, is het certificaat door Microsoft ingetrokken terwijl het nog niet verlopen was, omdat Microsoft bepaalde gegevens van de ontwikkelaar mist.

Natuurlijk weten wij allemaal niet hoe lang dit al speelt en welke communicatie er nou precies wel of niet heeft plaats gevonden voorafgaand aan de intrekking, maar feit blijft wel dat je nu bij beide pakketten potentieel risico loopt dat serieuze zero day bugs gevonden worden die niet gepatcht kunnen worden. Dat vind ik persoonlijk zeer kwalijk.

[Annihlator]

Dat is eigenlijk wel heel vreemd, om een certificaat in te trekken terwijl er ook geen afspraken aan de overeengekomen ToS (De oude dus) gebroken zullen zijn...
Ik hoop dat als dat zo blijkt dat daar wat balletjes over opgegooid worden, ik zou willen aannemen dat iets wat zo'n grote entiteit is als Microsoft's certificate authority, dat die als Gatekeeper beschouwd zouden worden door een DMA; dan hebben ze dus wel zéér goed te verklaren waarom dat gebeurt is.

Iig, volgens mij kan je binnen de EU niet stellen "hey, je accepteert mijn nieuwe ToS niet, dus de oude overeenkomst stopt nu." en dat zou m.i. al helemaal niet moeten kunnen bij iets dat zo'n diepe impact kan leveren als Microsoft's CA.

[Caelestis]

Ik zit te wachten tot het gebeurt met Secureboot keys. De verificatie servers zitten allemaal bij MS en ik zie steeds meer mensen secureboot gebruiken op linux...

[N8w8]

Linux securebooten heeft niks te maken met MS servers.
Wel kiezen de meeste mensen ervoor om de in firmware ingebouwde MS certificaten daarvoor te gebruiken, want dat is makkelijk.
Maar als je je eigen certificaten gebruikt heeft secureboot ook daar niks meer mee te maken.

[Don Key]

Heeft WEL met MS servers te maken.
Immers secure boot gebruik vereist een geldige certificaat ondertekend en uitgegeven door... jawel Microsoft. (en validated door dezelfde Microsoft.

Ubuntu bv heeft een cert hiervoor bij Microsoft aangevraagd (jaren geleden al) en gekregen. (dus ubuntu wordt als geldig gezien binnen secureboot certs.

[Reactie gewijzigd door Don Key op 8 april 2026 21:34]

[N8w8]

De certificaten/ondertekeningen zitten in firmware, en worden gebruikt/gevalideerd door je eigen CPU/TPM, zonder server of andere systemen in beheer/eigendom van MS.
Secureboot vereist een geldig certificaat, maar niet per se van MS, je kan ook je eigen certificaten installen.
Alleen omdat de meeste PCs Windows draaien, hebben die meestal de MS certificaten ingebouwd, en als standaard ingesteld.
En omdat de meeste PCs de MS certificaten ingesteld hebben, hebben veel distro's inderdaad hun boot laten ondertekenen door MS. Zodat het meteen werkt zonder dat je aan de ingebouwde certificaten hoeft te rommelen.
Maar je kan dus ook je eigen certificaat maken/installen en daarmee zelf bootloaders/kernels ondertekenen naar keuze. Dan speelt MS geen enkele rol meer hierin.
Bijv Arch heeft geen door MS ondertekende boot, dus moet je voor secure boot per se zelf ondertekenen, zie hier.

[Don Key]

Certificaat werkt alleen als MS het ondertekend/goedkeurd. (da's het grote probleem ook)
hun moeten dus goedkeuring geven, dan pas mag het in the tpm chip.

Dit is echt zo.. zoek maar op. (eigen certicaten werken niet zomaar voor OS installaties, wel voor andere zaken er bovenop)

[jb044]

Het is wel gedoe en je kunt dit herhalen bij iedere update van de UEFI firmware. Je zou kunnen stellen dat het fijn zou zijn als een onafhankelijke entiteit verantwoordelijk zou zijn voor het uitgeven van certificaten, maar dan nog blijven het hoepels waardoor de opensource community moet springen of je moet een soort Let's Encrypt voorstellen wat het principe van secure boot redelijk onderuit zou halen. De mogelijkheid om een eigen cert toe te voegen is dan the next best thing en aangezien het een handeling vereist en ook nog bevestiging door de gebruiker bij de eerste boot is het nog steeds secure

[N8w8]

idd, zo werkt het gewoon.
Het hele idee van secureboot is dat juist NIET zomaar alles kan booten (zoals malware).
Daarbij moet er een autoriteit zijn die beoordeelt wat kan booten.

Wil je niet zelf die autoriteit zijn, dan moet je dat uitbesteden.
Ik kan me geen gegronde klachten herinneren over hoe MS zich gedraagt als autoriteit, en ook geen initiatieven voor een alternatief.
Daarom lijkt het mij dat de mensen die Linux secureboot ontwikkelen/implementeren, MS gewoon een acceptabele autoriteit vinden.
Makkelijk is het iig zeker.

Als de OSS community dat niet meer wilt uitbesteden aan MS, dan zijn ze vrij zelf een autoriteit op te zetten.
Dat itt MS, zo'n alternatieve autoriteit (in beginne) niet standaard in alle PCs zit, is dan wel een extra hoepel voor ons ja.
Maar dat is ook logisch als de meeste PCs met Windows worden gebruikt/geleverd.
Linux PC vendors zijn iig vrij om die nieuwe autoriteit in hun firmware te zetten (Windows vendors mss ook maar geen verstand van).
En als de vendor het niet doet, kunnen users dat altijd nog zelf instellen (al is dat wel een hoepel natuurlijk).
Maar dan moet er wel eerst een zijn.

[Reactie gewijzigd door N8w8 op 10 april 2026 16:02]

[jb044]

-offtopic-

Het valt me overigens wel op dat mijn kernel alleen wil booten met secure boot aan als ik de pub key van de key waarmee ik mijn kernel onderteken opneem in mijn UEFI store. Kernel modules die ik met andere keys onderteken worden alleen door de Linux kernel zelf gecontrolleerd, als in: modules die ondertekend zijn met de dkms key of standaard module key laden als ik de pub keys toevoeg aan de custom kernel, anders krijg ik een foutmelding maar het is niet nodig deze ook aan de UEFI store toe te voegen. Werkt dit bij Windows ook zo of controlleert die kernel drivers wel dmv de TPM module?

Just curious

[N8w8]

Poeh nee hoe dat in het OS (Windows/Linux) allemaal precies moet, weet ik weinig van.
Ik had me hier vooral in verdiept, zodat ik zelf nieuwe MS certs (oude verlopen binnenkort) in oude PCs kan zetten.
Daarvoor moet je wel aan de PK/KEK/db/dbx rommelen, maar aan het OS hoef je verder niks te doen.
Zelf gebruik ik overigens geen Windows, maar Debian ondertekend door MS, zonder extra kernel modules.
Dus op dat nivo heb ik nog niks zelf hoeven ondertekenen.

[jbhc]

"Want dat is makkelijk" is wel een beetje kort door de bocht.

MS is de enige die certificaten uit kan geven. Iets wat natuurlijk te bizar voor woorden is maar iedereen maar normaal schijnt te vinden.

Natuurlijk kun je ook zelf een certificaat aan de UEFI toevoegen maar hoeveel mensen die over willen stappen van windows naar iets anders scrik je op deze manier af denk je?

[cricque]

Tsja ik moet van mijn ICT verzekering (zakelijk) secure boot draaien ... Ik ben ook verplicht om een anti virus te gebruiken ... Stel dat ik ooit wat voorheb en dat ze toch mijn computer zouden controleren mag ik de schadevergoeding vergeten. Maar bij verzekeringen snappen ze dit al helemaal niet. Is trouwens bij een grote Europese bank die ook verzekeringen doet. Maar hier hebben ze echt geen kaas van gegeten. Het is gewoon te belachelijk voor woorden. Ik gebruik 99% van de tijd gewoon dus linux en heel af en toe eens een game onder Windows. En als je een beetje shooter wilt spelen dan zit je dus vast aan Windows, uiteraard niet allemaal maar als je battlefield/cod wilt spelen dan is het Windows en dan zit je dus met dual boot. Ik gebruik nota bene linux sinds 97 ofzo ... En sinds begin jaren 2000 thuis als daily driver en buiten consultancy of les geven is het linux gewoon. Veel gemakkelijker en voor mij veel sneller in gebruik

[R4gnax]

De verificatie servers zitten allemaal bij MS

SecureBoot maakt tijdens het opstarten geen gebruik van verificatie servers.

Microsoft kan vziw op geen enkele wijze een sleutel onklaar maken via een algemeen pad wat altijd uitgevoerd wordt. Als jij een sleutel die nodig is om een bepaalde Linux bootloader te doen werken handmatig aan jouw UEFI toegevoegd hebt, dan kan die niet zomaar auto-magisch door MS verwijderd worden door enkel je PC aan te zetten en de UEFI op te laten starten.

Microsoft kan Windows zo ingericht hebben dat zij middels hun Key-Exchange Key (KEK) die soort van werkt als een meestersleutel, sleutels die in de UEFI geregistreerd zijn kan ontregistreren en dusdoende onklaar kan maken, maar verder niet.
En zelfs dat kun je op veel moederborden blokkeren door de SecureBoot key storage geforceerd in read-only modus te zetten.

[Caelestis]

Je beveiliging is net zo sterk als je zwakste schakel.
Als de certificaat geen problemen kan creëren waarvoor heb je het dan nodig? Ze doen het voor de lol?
Waarom zou je MS vragen of de key goed is om je Linux distro te starten?
De enige reden dat men het toch probeert is vanwege brakke kernel level anti-cheat software wat nooit toegang zal krijgen tot de Linux kernel. Verder voegt het werkelijk helemaal niks toe aan Linux.

[R4gnax]

Als de certificaat geen problemen kan creëren waarvoor heb je het dan nodig? Ze doen het voor de lol?
Waarom zou je MS vragen of de key goed is om je Linux distro te starten?

Secureboot sleutels worden op het moederbord van je PC opgeslagen en ondertekende bootloaders worden volledig lokaal tegen die opgeslagen sleutels vergeleken. Bootloaders kunnen weldegelijk nog steeds falen om te laden, als ze tegen geen enkele sleutel kunnen valideren.

Deze validatiesleutels zijn de andere helft van een sleutelpaar waar ook signeersleutels in zitten. Die signeersleutels zijn door (o.a.) Microsoft gebruikt om bootloaders te ondertekenen. Ooit. Voorafgaand aan de uitgifte van die bootloaders. Maar Microsoft's servers hoeven he-le-maal niet elke keer bij het opstarten van jouw systeem daar tussen te zitten.

(Zou wat zijn- zou je ook nooit een systeem zonder internetverbinding kunnen opstarten.)

[Caelestis]

Zou wat zijn- zou je ook nooit een systeem zonder internetverbinding kunnen opstarten

Ik heb het ook niet over opstarten. Dat gebeurt gewoon in de achtergrond terwijl je live bent en bij een herstart kan je de OS niet meer bereiken.
De enige mogelijkheid wat je hebt om MS te ontlopen is als je een eigen cert server bouwt.
(maar dat accepteert de anti-cheat tools niet)
Of je legt de man-in-the-middel kwetsbaarheid bij een ander partij.

Als je de moeite zou nemen om het cert proces te omzeilen dan is secureboot volledig nutteloos. Dan kan je beter gewoon het secureboot vinkje uitzetten in je bios. Zonder certs is het Secureboot.

Dus nogmaals.
Waarom zou je MS vragen of de key goed is om je Linux distro te starten?

[R4gnax]

Waarom zou je MS vragen of de key goed is om je Linux distro te starten?

Het antwoord daarop blijft: non sequitur.
Er is geen verificatie-server. Niet bij MS. Nergens.

De enige mogelijkheid wat je hebt om MS te ontlopen is als je een eigen cert server bouwt.

Je hebt geen eigen server nodig. Je hebt een code-signing certificaat nodig waarvan je de public verification key in de EFI van je moederbord zet, en waarvan je de private key gebruikt om je bootloader te ondertekenen. That's it.

Als je de moeite zou nemen om het cert proces te omzeilen dan is secureboot volledig nutteloos.

Secureboot is niet bedoeld om op te leggen dat de eindgebruiker enkel door fabrikanten goedgekeurde bootloaders kan draaien. Het is bedoeld om te garanderen dat het systeem zelf niet door malware aangetast kan worden om een geinfecteerde bootloader te starten. De malware-auteur beschikt nl. niet over de juiste signing key om die geinfecteerde bootloader te ondertekenen en dus zal SecureBoot deze weigeren te laten doorstarten.
Het is niet een DRM oplossing.

[damouze]

Dat laatste klopt niet helemaal. Ja, het officiele doel is om de beveiliging van een computer of server op te schroeven. Echter, in de praktijk komt het uiteindelijk toch neer op een soort vendor lock-in en niemand gaat mij ervan overtuigen dat dit niet op zijn minst in de achterhoofden der grote heren van M$ gespeeld heeft. Ik heb een aantal keren een key moeten toevoegen aan een UEFI BIOS en het was op zijn zachtst gezegd niet eenvoudig en het luisterde heel nauw. En in de praktijk resulteert dat er dus in dat veel gangbare Linux distromakers (zoals bijv. Canonical) een signing key hebben aangevraagd bij Microsoft. Microsoft kan die key dus gewoon intrekken en bij de eerstvolgende update van je BIOS start je computer niet meer op.

Als je echt onafhankelijk wilt zijn moet je dus je eigen chain of trust opbouwen, inclusief (private) root key, een signing key, certificaten etc. Dat is niet triviaal.

[Caelestis]

Secureboot is niet bedoeld om op te leggen dat de eindgebruiker enkel door fabrikanten goedgekeurde bootloaders kan draaien. Het is bedoeld om te garanderen dat het systeem zelf niet door malware aangetast kan worden om een geinfecteerde bootloader te starten.

"Niet bedoeld" is niet hetzelfde als "Kan niet" je kan wel doen alsof er geen cert servers zijn maar dat wijzigt niks.
Secureboot is enkel bedoeld om je EFI te beveiligen, niet andersom. Het gaat erom dat er gecheckt wordt of je UEFI geïnfecteerd is. Je OS staat daar helemaal los van. Ze weten dat je UEFI geen verbinding maakt met internet dus de verificatie gebeurt op OS level ipv BIOS level.

Linux heeft dit niet nodig want het kan niet lastig gevallen worden door EFI.

[R4gnax]

Secureboot is enkel bedoeld om je EFI te beveiligen, niet andersom. Het gaat erom dat er gecheckt wordt of je UEFI geïnfecteerd is. Je OS staat daar helemaal los van. Ze weten dat je UEFI geen verbinding maakt met internet dus de verificatie gebeurt op OS level ipv BIOS level.

Linux heeft dit niet nodig want het kan niet lastig gevallen worden door EFI.

Wow. Ben je een LLM? Want letterlijk alles wat je hier schrijft is confidently wrong.

Er wordt niet gecontroleerd of je UEFI geïnfecteerd is. Er wordt gekeken of de digitale ondertekening van de bootloader van je OS vertrouwd wordt. Dat doet de UEFI firmware en niet het OS, want het OS draait op dat moment nog niet. Helemaal nog niet - want het gebeurt zelfs nog voordat de bootloader gestart mag worden. Als de bootloader ondertekend is met een certificaat dat geen overeenkomstige platformsleutel heeft in de UEFI, of als de ondertekening niet cryptografisch verifieerbaar overeenkomt met de daadwerkelijke binaire payload van de bootloader (dwz als er aan gemort is) dan zal de UEFI deze niet vertrouwen en weigeren de bootloader en daarmee het OS te starten.

[Reactie gewijzigd door R4gnax op 9 april 2026 18:35]

[Caelestis]

Ja Co-Pilot

[Annihlator]

Klópt.
Échter;

Als jij een modern win11 systeem hebt en het standaard-account aanmaakt door in te loggen via MS, wordt de schijf encrypted met een bitlocker-sleutel die automatisch gebackupped wordt op jouw account.
Als echter MS de account-toegang (en daarmee systeem login) intrekt, heb je een encrypted disk, zonder user-level access, en voor 99% zeker geen manueel gebackupte bitlocker key.
Dan zit je voor zover ik kan verzinnen in een complete datagijzelingssituatie (een derde heeft er iig voor gezorgd, danwel direct danwel indirect, dat jij geen toegang meer hebt tot jouw data)

[R4gnax]

Als echter MS de account-toegang (en daarmee systeem login) intrekt, heb je een encrypted disk, zonder user-level access,

Klopt, in zoverre dat je niet het OS in kunt met die ene account.
Maar je schijf kan nog gewoon ontsleuteld worden. En vziw kun je altijd nog het recovery environment in en de root administrator account tijdelijk aanzetten om een nieuwe (lokale!) gebruikersaccount te kunnen aanmaken.

De sleutel daarvoor zit namelijk standaard in de TPM. De sleutel die in je MS account ligt opgeslagen is enkel een backup daarvan.

Verder is SecureBoot geen Bitlocker - maar maakt Bitlocker wel gebruik van SecureBoot om de boot-cycle veilig te houden. De bootloader is namelijk niet encrypted. Dat kan ook niet - die moet in the clear ingeladen kunnen worden, want juist de bootloader bevat een eerste boot-level implementatie van Bitlocker die de sleutel uit de UEFI kan trekken (of een password prompt kan tonen) zodat de vroege stadia van de bootloader de rest van het OS in kunnen laden. Daarna neemt een filesystem filter-driver het estafette stokje daarvoor van de bootloader over.

SecureBoot zorgt er voor dat malware de bootloader niet kan aanpassen om jouw Bitlocker sleutel te lichten. Het voorkomt een MitM aanval op de encryptie van Bitlocker op bootniveau.

[Reactie gewijzigd door R4gnax op 9 april 2026 18:45]

[Hans1990]

Dat recht mogen ze mij houden, maar wel met controle dat dit goed wordt ingezet. Sommige zaken zijn natuurlijk wel dermate urgent dat ze direct actie mogen ondernemen.

Waar wat mij betreft wel iets aan gedaan mag worden, is dat moderne tech bedrijven volledig verschuilen als een internet bedrijf. Ooit geprobeerd bij Google of Meta een mens te bereiken? Sja vergeet het maar, terwijl ze notabene een OS maken voor mobieltjes en 1 van de populairste communicatie apps maken. Allemaal tools om mensen overal in verbinding te brengen, maar zelf (voor consumenten) onbereikbaar.

Het lastige is dat je om (zowat) geen enkel tech instantie heen kan. Ook Google en Apple beheren hun eigen appstores, en kunnen zonder pardon apps weg halen als ze het niet zint. En open source dan? Ook daar geldt m.i. in princiepe hetzelfde. Je pakt een Linux distro, en hebt daar een (team van) maintainers zitten die packages en repositories beheren. Als die iets tegen staan kunnen ze dat verwijderen. Want dat hebben zij besloten.

Gelukkig kan je daar nog op een mailinglist en/of vrijheid van keuze als je het niet bevalt... Maar ook dat is niet zonder "moeite".

Dit is cliche aan hoe de grootste techliefhebbers van tech tegelijk ook de grootste mopperaars kunnen zijn over tech ...

[piccollo1985]

Je pakt een Linux distro, en hebt daar een (team van) maintainers zitten die packages en repositories beheren. Als die iets tegen staan kunnen ze dat verwijderen. Want dat hebben zij besloten.

Daar heb je een verscheel in dat de project kan zijn eigen repo creëren en instructies geven om de 3th party repo toe te voegen an user packaget manager.

[WillySis]

Met dat recht heb ik niet zo'n probleem, maar wel met het ontbreken van enige vorm van informatie en beroep.

In de meeste landen is het verplicht om altijd een mogelijkheid tot beroep aan te bieden, maar in Amerika ontbreekt dat (in elk geval voor de tech-sector). Bijna alle big-tech bedrijven misbruiken de macht die ze daardoor hebben ook om zonder enige waarschuwing accounts te blokkeren, waarna het (mede door die blokkering) heel lastig is om informatie te krijgen over de rede van blokkering en het is niet eens altijd mogelijk om een account weer te laten herstellen. Dat gedrag is puur minachting van klanten en misbruik van hun macht. Je kan via een rechter proberen je account te laten herstellen, maar zelfs als je achteraf weer aan alle voorwaarden voldoet is de kans op succes via die weg zeker niet gegarandeerd. De meeste platformen hebben in de kleinen lettertjes wel ergens staan dat zij, zonder opgaaf van redenen, mensen of bedrijven mogen weigeren.

[Mathijs Kok]

In de meeste landen is het verplicht om altijd een mogelijkheid tot beroep aan te bieden, maar in Amerika ontbreekt dat (in elk geval voor de tech-sector).

Hoe kom je daarbij? Als ik een klant weiger, is er geen enkele wet die mij verplicht uit te leggen waarom ik dat doe. En dat is maar goed ook, want ik heb echt geen zin om al die spammers en bots te moeten uitleggen waarom ik ze blokkeer.

[R4gnax]

In Europa zijn die wetten er dus wel.
Zie de Digital Services Act en de Digital Markets Act.

[WillySis]

Een klant (die nooit klant is geweest) mag bijna overal, mits niet gebaseerd op profilering (rasisme). Een klant blokkeren mag meestal ook, maar dan moet je in Europa wel een vorm van beroep bieden waar men minimaal kan vragen waarom men geblokkeerd is en wat men moet doe om weer toegelaten te worden. Bij herhaaldelijk overtreden van de regels mag je overgaan tot definitief blokkeren.

Bots zullen de beroep mogelijkheid nooit proberen. Die worden gewoon vervangen. De grootschalige spammers zullen waarschijnlijk ook snel hun verlies nemen en gewoon met een nieuw account verder gaan. Een deel van de mensen die door de grote platformen geblokkeerd wordt, wordt onterecht geblokkeerd, of weten serieus niet dat ze een regel overtreden. Dat laatste kan gemakkelijk omdat regels in de tijd gewoon veranderen en slecht worden gecommuniceerd. Ook meldingen van anderen maken dat accounts automatisch geblokkeerd kunnen worden, terwijl de meldingen volledig onterecht kunnen zijn en alleen maar ingediend worden om iemand bewust te treiteren of een concurrent uit te schakelen.

[Annihlator]

Platformen zo groot als dit kunnen m.i. makkelijk onder de gatekeeper-bepalingen vallen van de DMA; dan worden wel degelijk best wel wat verplichtingen daarin opgelegd!

[Raymond Deen]

Dit is echter niet weigeren van een nieuw, maar blokkeren van een bestaande klant.

Wanneer je account geblokkeerd wordt, heb je een groot probleem. Meestal kun je dan ook niet bij veel andere zaken, omdat die allemaal aan dat account hangen. Van al je logins het e-mailadres aanpassen is ten eerste héél erg veel werk en ten tweede zelfs niet eens altijd mogelijk.

[kondamin]

Dit is niet het zelfde als toegang verliezen tot je microsoft account.
Deze mensen kunnen geen updates meer publiceren voor populaire software.

Het is heel erg belangrijk dat Microsoft developers/software kan uitsluiten van hun drivers en certificaten.
Als een 3de partij plots malware injecteert in veracrypt en iedereen installeert de nieuwste besmette versie is heel de gebruikers base die deze versie installeerde hun systeem naar de haaien.

Microsoft zou echter wel meer werk moeten maken om contacteerbaar te zijn voor developers indien zo'n drastische maatregels genomen worden.

Ik vermoed dat ""copilot" voor de uitsluitingen er voor een of andere reden zal tussen zitten

[aadje93]

Iets met een recent gevalletje van een software update die niet helemaal goed ging.

[michelr]

En hoeveel verhalen van mensen die geen problemen ondervinden, of is dit gevalletje Baader-Meinhof-fenomeen? Ik zou afwachten wat er aan de hand is, ipv allerlei wilde speculaties erop loslaten.

[Reactie gewijzigd door michelr op 8 april 2026 22:00]

[Mar9]

Op Instagram gebeurt hetzelfde soms dan wordt je account geblokkeerd maar er is geen mogelijkheid om contact met ze te nemen…

[Mathijs Kok]

[...]
Volgens mij wordt het tijd dat bedrijven als Microsoft gewoon het recht ontnomen wordt deze en gene zomaar toegang tot aan diensten te ontzeggen.

Dus Microsoft heeft dan niet meer het recht om te bepalen wie er gebruik kan maken van HUN services? Dat is een mooi idee, maar een Amerikaanse rechter maakt daar in een half uur gehakt van omdat er geen wet is die dat mogelijk maakt. En die wet komt er niet omdat ondernemers het recht hebben om klanten te weigeren. Dat soort dingen kan in Rusland, niet in de VS.

[Raymond Deen]

Hier in Nederland (en ik denk ook heel veel andere landen ook) is het gewoon al zo dat internet en een e-mailaccount als een basisbehoefte worden gezien; zonder die twee kun je amper nog meedoen in de maatschappij. Je wordt zelfs aan alle kanten gestraft als je zaken op papier wilt afhandelen; dan betaal je ineens een paar euro per maand meer vanwege “extra kosten”.

[Annihlator]

Hun services, mogelijk. Het recht om in te loggen op MIJN EIGEN COMPUTER, óngeacht of dat middels hun software is of niet? Datagijzeling.

Ik wil zo graag zien dat datagijzeling in de EU hóóg opgenomen wordt óók als dit (vermeend) legitieme redenen betreft, tot op het punt dat als ze dat niet wel héél eenduidig onderbouwen en een normaal controleproces/contactproces op toe staan, ze zondermeer als schuldig aangemerkt wordt.

Zoals inderdaad bijvoorbeeld iemand z'n onedrive die onherroepelijk afgesloten wordt door automatische detectie; nog ongeacht of dat achteraf een false-positive zou blijken of niet, een controle/contactproces moet daar op afgedwongen kunnen worden, ook door een-iedere jan-met-de-pet. En bovendien; binnen een redelijkere termijn dan 30 (!!!) dagen.

Dit mede versterkt omdat een win11 machine met kordate TPM ook nog eens en-default de schijf bitlockert met een sleutel gekoppeld aan het account; de toegang tot die data wordt je dus óók ontnomen.

[Reactie gewijzigd door Annihlator op 9 april 2026 17:28]

[Stoney3K]

Op zich is dat blokkeren van diensten niet zo'n probleem mits er ok een duidelijke en toegankelijke beroepsprocedure is. Nu zijn de consequenties aan één kant te groot (als je PC aan je Microsoft account is gekoppeld kom je zelfs je Windows niet meer in) en aan de andere kant verschuilen ze zich achter "Algemene voorwaarden. Over de uitslag kan niet worden gecorrespondeerd."

[kozue]

Begrijp ik nou goed dat je tegenwoordig op Windows geen software meer kunt publiceren zonder toestemming van MS? Lijkt me een redelijk kwalijke zaak, met zoiets krijgt MS volledige controle over wat jij wel en niet met je PC kunt doen. Dat soort mobiel-style lockdown shit zitten we op de PC echt niet op te wachten. Of gaat het hier alleen om publiceren via de MS store?

[Saeverix]

Volgens mij gaat het in het geval van deze apps om de bijhorende Drivers. In recente Windows versies is het verplicht om Drivers te signeren.

[ShadLink]

Het gaat iig bij VeraCrypt over het digitaal ondertekeken van de drivers. Iets wat idd via Microsoft loopt.

[kondamin]

het gaat niet over eender welke software, het gaat over software die heel diepe toegang heeft tot je windows installatie, driver signing en toegang tot de bootloader.

Microsoft zal niemand stoppen een gewoon programmaatje te schrijven om je boekhouding of weet ik veel wat te doen met minimale toegang

[baseoa]

Microsoft zal niemand stoppen een gewoon programmaatje te schrijven om je boekhouding of weet ik veel wat te doen met minimale toegang

Godzijdank kan malware dan niet bij je drivers maar alleen bij je boekhouding https://xkcd.com/1200/

En administratorrechten, waarmee je naar het block device van je SSD kan schrijven en die check eruit patchen, is vast oké dan? Ik hoef immers ook geen ondertekening te halen bij Microsoft om Linux te installeren. Als je zo de opstartprocedure kan aanpassen dan kan elk stuk malware dat toch ook zolang je "sgoed" klikt in die uac-prompt?

[Reactie gewijzigd door baseoa op 8 april 2026 22:34]

[AnonymousGerbil]

Microsoft zal niemand stoppen een gewoon programmaatje te schrijven om je boekhouding of weet ik veel wat te doen met minimale toegang

Nóg niet, nee.

Maar je ziet bij alle "big tech" bedrijven dat ze stapje voor stapje de boel dicht timmeren. Zo moet je, bijv., voor goegel's androïde binnenkort al op je knietjes langs komen, ook voor zo een boekhoud-programmatje.

[Polderviking]

Daar sturen ze al jaren op aan dat je op Windows alleen maar die App winkel van ze gebruikt.
Nog nooit een laptop gezien in "S Mode"?

[baseoa]

Nee? Nog nooit van gehoord, laat staan gezien. Waar zou je zoiets tegen kunnen komen? Herken je de computers in de bus als draaiend op Windows S om minder voor de licentie te betalen in ruil voor zo'n afgezwakte versie of zo? Het doet me denken aan die oude ARM Windows builds, (hoe heette dat ook al weer?) waar je vanalles niet mee kon, wat natuurlijk volledig flopte omdat niemand daarop zat te wachten

[Reactie gewijzigd door baseoa op 8 april 2026 22:26]

[Toet3r]

Beetje raar wel dat Microsoft geen reden voor het blokeren geeft. Lijkt me toch vrij normaal. Nu weten ze ook niet wat ze eventueel fout hebben hebben gedaan. Of zou microsoft weer bezig zijn om de aanzienlijke macht die het heeft te misbruiken.

[Blokker_1999]

Er zal ongetwijfeld ergens een communicatie zijn geweest die men gemist heeft. Microsoft heeft extreem veel platformen en gebruikers die men op de hoogte moet houden en voor professionele communicatie ben je meestal aangewezen op een berichtencentrum. Daar moet je dan zelf uitfilteren wat van toepassing is op jouw persoonlijk, gewoon omdat het onmogelijk is om op een correcte manier iedereen individueel op de hoogte te houden.

En als je dan, zoals bij WireGuard, jarenlang niet aanmeld en niet omkijkt naar de omgeving, dan loop je natuurlijk het risico van berichten rondom aangepaste verificatie te missen.

Zelfs als je dagelijks berichten leest mis je trouwens dingen. Meestal wordt je ook tijdig in een portaal gewaarschuwd als je daarin aanmeld, maar ook dat vereist natuurlijk dat je regelmatig gaat aanmelden.

Het is dus eenvoudig om te zeggen dat MS geen reden geeft, maar we moeten dan wel heel het verhaal kennen. Wat is er veranderd, hoe is dit gecommuniceerd en waarom hebben deze projecten dat niet gemerkt? Want dit soort dingen komt zelden uit de lucht vallen.

[trab_78]

Wat de reden ook is en of die legitiem is of niet: de gebruiker in kwestie wordt in het ongewisse gelaten. Dat is kwalijk. Bij de melding dat je account geblokkeerd is, zou een reden vermeld moeten worden. Of het zou op z’n minst makkelijk moeten zijn die te achterhalen.

Nog kwalijker is, dat er geen redelijke manier is om contact op te nemen en instructies te krijgen hoe je je account kan heractiveren.

Het blokkeren van accounts is op zich het probleem niet. De onmogelijkheid om informatie te krijgen en het account binnen een redelijke termijn weer te activeren is het probleem hier.

[jpfx]

Als je iemand kan blokkeren, kan je ook met hem communiceren lijkt mij.

[SunnieNL]

Ik.zat mij dus dat ook al af te vragen. 4 jaar waarschijnlijk niet meer ingelogd, dan had ik als microsoft ook het account afgesloten.

Kreeg nog niet zo lang eenzelfde soort mailtje van github omdat ik al een jaar niet meer was ingelogd.

[Niema]

En om verder te gaan op deze account verwijder theorie na inactiviteit vind de wetgeving ook vaak dat een account verwijderd moet worden na inactiviteit als interpretatie van bijvoorbeeld de AVG privacywetgeving https://commission.europa...it-necessary-update-it_en

[Raymond Deen]

Ik ben benieuwd waar die 4 jaar vandaan komen. Ik heb namelijk een WireGuard client op Windows draaien vanuit de store en die is gewoon recent.

[SunnieNL]

De driver hoeft waarschijnlijk niet altijd geüpdatet te worden. Als die niet veranderd hoeft die ook niet opnieuw signed te worden

[FiberSam]

Helaas.. dit is de norm. Argumentatie geeft redenen om MS aan te klagen omdat ze de argumenten niet hard kunnen onderbouwen. Geen argumentatie is daardoor de veilige route voor MS. Dit is vrij standaard. Veel dienstverleners doen dit. Ik heb het zelf al eens meegemaakt bij een bank. Je hebt gewoon geen idéé.

Dit geeft idd vooral aan dat we te afhankelijk zijn van dit soort aanbieders.

[Mathijs Kok]

Als je denkt dat Microsoft het doet om zijn macht te misbruiken, moet je ook een reden bedacht hebben waarom Microsoft dat doet. Dat lijkt bij alle mensen die hier een zware mening hebben, te ontbreken. Ik snap niet waarom dit soort opmerkingen moeten. Waarom niet gewoon even afwachten tot we er wat meer over weten?

[Scriptkid]

I logged in to get the WireGuardNT driver signed -- a necessary step for driver authors -- and was greeted by this vague message that the account has been suspended. Looking further into it, it seems like they instituted an identity verification policy, didn't notify me about it, and then I guess they suspended accounts who didn't do the verification

[Hetisweergezell]

Zonder verdere context lijkt het er bijna op dat men externe vpn oplossingen wil blokkeren zodat de vpn functionaliteit die overblijft een mooi achterdeurtje kan bevatten zodat de Amerikaanse overheid lekker mee kan kijken. Maargoed, ik hoop dat het een storm in een glas water is en dat het wel weer goed komt. Ik gebruik zelf wireguard om via vpn toegang te krijgen tot mijn thuis netwerk en dat werkt heel fijn (en gelukkig niet op Windows, gebruik alleen Android clients...).

[Jippelskea!]

Als dat inderdaad de reden is dan zullen partijen zoals Tailscale die hun diensten hebben opgebouwd rondom Wireguard binnenkort hetzelfde kunnen verwachten lijkt mij. Tenzij een eigen implementatie van het Wireguard protocol hebben gemaakt en zouden meewerken aan dergelijke praktijken. Laten we hopen dat het om een misverstand gaat dat snel verholpen wordt.

[Tyrian]

Hierom dien je jezelf niet afhankelijk te maken van accounts van grote platforms als Microsoft. Je brengt je hierdoor in een grote afhankelijkheidspositie.

[Wildfire]

Tsja... wat moet je dan in een geval als dit? Dus als je software ontwikkelt voor Windows en je driver signing nodig hebt? Dat kan maar op één manier dus dan heb je geen keus - behalve compleet te stoppen met het ontwikkelen van software voor Windows.

[Reactie gewijzigd door Wildfire op 9 april 2026 01:17]

[michelr]

Ja, maak jezelf afhankelijk van toko's als ChipSoft. Potatoe, potato.

[franssie]

Opmerkelijk ... Ik gebruik beide omdat ik op Windows, Linux en MacOs werk.

Vraag me af wat de beweegredenen van Microsoft zijn.

[AW_Bos]

Dit zijn veel gebruikte applicaties, waarvan ik mij niet kan indenken dat er echt serieus een probleem mee aan de hand is. Het klinkt als een false-positive.

[baseoa]

Dat snapt zelfs Microsoft als ze naar de situatie zouden kijken. Deze projecten hebben het voordeel van beroemdheid waardoor de absurditeit op één slag duidelijk is en het nieuwswaardig wordt, wat Microsoft weer triggert om het op te lossen.

Het probleem is dat je op twee vingers na kan tellen hoe dit afloopt als je niet deze bekendheid hebt. Daar gaat je softwareproduct als mkb-bedrijf

[Reactie gewijzigd door baseoa op 8 april 2026 22:38]

[Vaevictis_]

Ja dit is de-platform risk. Je kunt zonder argument geweigerd worden, vooral dat je geen uitleg krijgt of in beroep kunt gaan is mensonterend. Ik meen me dat er ooit een uitspraak is geweest waarbij gebruikers niet zomaar geweigerd mogen worden althans in de EU.