Почему Microsoft не публикует исходный код Windows XP

Информатек Диджитал » Ресурсы » Почему Microsoft не публикует исходный код Windows XP

На форумах и в социальных сетях постоянно возникает вопрос: почему Microsoft не публикует исходный код Windows XP? Ностальгия по этой системе, определившей целое поколение, сочетается с желанием создавать современные клоны, оптимизированные для относительно нового оборудования, без необходимости прибегать к взломам или невозможным драйверам. И, кроме того, до сих пор свежа память о той масштабной утечке, которая перевернула всё с ног на голову.

Правда в том, что, хотя многие могут посчитать это очевидным и безобидным шагом, открытие XP для всех пользователей не так просто. Существуют технические, юридические, связанные с кибербезопасностью и деловые причины , которые делают эту идею нецелесообразной сегодня. И попутно стоит вспомнить, что произошло с известной утечкой кода, какие риски она представляла и что могут сделать те, кто до сих пор вынужденно использует XP.

Предложение сообщества: Open XP, почему бы и нет?

Среди энтузиастов некоторые предлагают столь же простой вариант, как публикация исходного кода XP в общественном достоянии или под лицензиями, подобными GPL. Аргумент убедителен: система, созданная на основе XP , ретро снаружи, но удобная в использовании внутри, с плавной поддержкой машин 2012-2016 годов и достойными графическими драйверами, могла бы найти свою нишу. Если существуют такие проекты, как Haiku OS, говорят они, что мешает появиться хорошо настроенной «свободной XP»?

Оптимизм подкрепляется убеждением, что это не повредит Microsoft: большинство обычных пользователей не хотят устаревшего программного обеспечения , особенно если оно было намеренно «заморожено». XP — это ветеран, которому более двух десятилетий, и он едва ли выживет, за исключением некоторых стран или очень специфических секторов (даже упоминался случай Армении). Говорят даже о запуске петиции с целью оказать давление на Редмонд. Также отмечается, что компания когда-то выпускала исторический код в составе MS-DOS.

Ключевой момент этой идеализированной концепции кроется в том, что часто упускается из виду: Windows XP, по которой мы скучаем, имеет общие черты с текущими версиями Windows , интегрирует лицензированные компоненты сторонних разработчиков и является частью экосистемы с юридическими, вспомогательными и коммерческими обязательствами. Это не самодостаточный продукт, который можно открыть без последствий.

Важно также различать понятия «утечка» и «выпуск». Хотя часть кода XP была распространена без разрешения , это не делает его использование законным и не позволяет никому создавать производные версии без дальнейших разбирательств; напротив, разработка на этой основе — это именно то, что запрещает закон.

Наследие кода и коммерческие тайны

Windows XP — это не изолированная система. Она разделяет архитектуру, модули и API с более поздними версиями, такими как Windows 10, 11 и серверные версии. Публикация её кода раскрыла бы алгоритмы, внутренние компоненты и инженерные подходы, которые всё ещё используются. Это позволило бы получить информацию для конкурентов… а также для злоумышленников, подорвав безопасность существующих платформ.

Эта техническая преемственность — не прихоть: обратная совместимость является основой экосистемы Windows . В течение многих лет Microsoft поддерживала устаревшие уровни и подсистемы, чтобы гарантировать бесперебойную работу старого программного обеспечения. При открытии XP обнаруживались компоненты, которые по-прежнему поддерживают функции или совместимость на современных компьютерах и которые по своей природе не должны быть доступны бесплатно.

Не следует забывать и о «коммерческих секретах»: проектных решениях, оптимизациях и решениях давних проблем, составляющих ядро ​​системы. Их публикация не только снижает конкурентное преимущество, но и возвращает конфиденциальную информацию в сообщество, которая может быть использована для атак на элементы, всё ещё находящиеся в производстве.

Кибербезопасность: уязвимости, утечки и атаки

Хотя доля рынка XP относительно невелика, этот процент вводит в заблуждение: "менее 1%" означает миллионы устройств . И многие из них — не домашние компьютеры. По-прежнему можно найти банкоматы, POS-терминалы, промышленное оборудование и медицинское оборудование, работающие на вариантах XP, особенно на встроенных версиях, таких как POSReady 2009, которые получали исключительную поддержку до 2019 года.

Когда исходный код попадает в сеть, ситуация ухудшается: злоумышленник может тщательно изучить систему , обнаружить ранее неизвестные уязвимости и использовать их, даже несмотря на отсутствие официального механизма обновления (Microsoft прекратила поддержку XP в 2014 году, за исключением нескольких экстренных случаев). Два показательных случая, для которых были приняты меры по смягчению последствий из-за их глобальной серьезности, — это CVE-2017-0144, лежащая в основе программы-вымогателя WannaCry, и CVE-2019-0708.

Вдобавок ко всему этому, существует практическая проблема: большинство современных решений в области безопасности не поддерживают XP . Даже производители, которые ранее выпускали совместимые продукты, прекращают поддержку этих версий из-за технической нецелесообразности. Этот пробел оставляет организации, зависящие от XP, без современной защиты, если только они не прибегнут к очень специфическим средствам защиты для встроенных систем.

Означает ли это, что простой просмотр кода автоматически выявляет уязвимости в Windows 10? Не совсем. Защитные механизмы в последних версиях (DEP, ASLR и другие средства защиты) повышают планку . Но существуют дублирующиеся фрагменты кода, и они упрощают поиск взаимосвязей. Например, в XP до SP3 было распространенным явлением преобразование переполнения буфера в удаленное выполнение кода; сегодня это не так просто, но карты системы помогают уточнить идентификацию потенциальных уязвимостей.

Лицензии, патенты и компоненты третьих лиц

Ещё одним непреодолимым препятствием является юридический аспект. XP интегрирует компоненты, права на которые принадлежат третьим сторонам : DRM, криптографические компоненты, подпадающие под действие экспортных правил, драйверы, шрифты и модули, защищенные специальными контрактами. Выпуск всего пакета вступил бы в конфликт с патентами, международными соглашениями и коммерческими обязательствами, которые Microsoft не может нарушить без огромных юридических рисков.

Даже если бы компания захотела открыть доступ только к своим «собственным» частям, разборка и проверка каждого внешнего фрагмента с целью его перезаписи или удаления была бы титаническим, дорогостоящим и чреватым ошибками процессом. И в конечном итоге оставался бы вопрос о том, какая часть «сердца» современной Windows случайно оказывается под угрозой.

Поддержка, контроль и репутация

Предположим на мгновение, что XP — это свободное программное обеспечение. Появились бы форки, поддерживаемые сообществом и компаниями, и их установили бы в государственных учреждениях, промышленных предприятиях и банках … а в случае серьезного инцидента, кто бы нес ответственность? Microsoft увидела бы, как ее бренд ассоциируется с неудачами в производных продуктах, не зависящих от нее. Без официальной поддержки и цепочки обновлений репутация экосистемы могла бы пострадать.

Кроме того, координация открытого дерева патчей для такой сложной системы была бы невозможна без централизованного руководства . Любое решение, касающееся безопасности или совместимости, могло бы привести к фрагментации ландшафта «свободной XP», создавая путаницу как для пользователей, так и для разработчиков.

Бизнес-модель и каннибализация

Распространение XP также противоречило бы бизнес-стратегии Microsoft. Существует корпоративное программное обеспечение, которое по-прежнему использует XP ; если появится поддерживаемая сообществом версия, её доступность затруднит миграцию на Windows 11 или будущие версии, а также повлияет на продажи лицензий и облачных сервисов, связанных с современными системами.

Иными словами, компания будет конкурировать сама с собой: бесплатная версия XP станет недорогой альтернативой для организаций с ограниченным бюджетом, что усложнит переход к моделям подписки и централизованного управления, которые сегодня составляют значительную часть бизнеса.

Что случилось с большой утечкой кода XP?

В конце сентября 2020 года тайна вскрылась: на 4chan появился торрент объемом около 43 ГБ, содержащий исторические материалы Microsoft . Среди перечисленных элементов были MS-DOS 3.30 и 6.0, Windows NT 3.5 и 4, Windows 2000, несколько веток Windows CE (3, 4 и 5), Windows Embedded 7 и Embedded CE, а также ядро ​​NT 5.x. Примерно в то же время распространился еще один пакет размером 2,97 ГБ, ZIP-файл, напрямую приписываемый коду Windows XP и Windows Server 2003.

Несколько инженеров — некоторые из которых связаны с Microsoft — и эксперты по безопасности проанализировали файлы и определили, что они представляют собой существенные фрагменты , хотя и неполные. Было обнаружено, что такие компоненты, как ядро ​​и проводник Windows, можно скомпилировать для получения бинарных файлов, идентичных коммерческим версиям, в то время как ключевые элементы, такие как winlogon.exe и многочисленные драйверы, отсутствовали, что препятствовало восстановлению полной системы без их замены.

Пользователь, известный как NTDEV, сумел собрать рабочие установки Windows Server 2003, комбинируя просочившиеся шрифты с отсутствующими бинарными файлами . Его видеоролики в конечном итоге были удалены из-за претензий Microsoft по поводу авторских прав, что многие расценили как дополнительное доказательство подлинности материала. Были также публичные подтверждения, например, от специалиста по безопасности Грега Линареса, подтверждающие подлинность утечки.

Шум сопровождался неприятным фоновым шумом: в пакете появились конспирологические документы о Билле Гейтсе , не имеющие отношения к каким-либо техническим вопросам. И, конечно же, распространение украденных материалов не делает их использование безвредным: помимо исторического любопытства, загрузка и изучение этого кода подвергает пользователей юридическим и этическим рискам, а также способствует распространению эксплойтов.

• Системы, перечисленные в мегаторренте: MS-DOS 3.30 и 6.0; Windows NT 3.5 и 4; Windows 2000; Windows CE 3, 4 и 5; Windows Embedded 7; Windows Embedded CE; NT 5.x.
• Дополнительный пакет: ZIP-файл размером 2,97 ГБ, относящийся к Windows XP и Windows Server 2003.

Как Microsoft нумерует версии Windows: от 5.x до 10.0

Утечка информации помогла возродить исторический интерес: линейка NT 5.x включала Windows 2000 (5.0), XP (5.1), XP 64-бит и Server 2003/2003 R2 (5.2) . Vista ознаменовала переход к версии 6.0, и эта числовая ветвь поддерживалась внутри компании для Server 2008, Server 2012 и даже для коммерчески известных Windows 7 и 8, несмотря на их названия.

Столь обсуждаемая «Windows 9» так и не появилась в окончательном варианте, а Windows 10 получила версию 10.0, чтобы привести маркетинговое название в соответствие с внутренним номером версии. На серверной стороне версии 2016 и 2019 также обозначены как 10.0. Эта преемственность подтверждает, что часть наследия XP может продолжать существовать под современными оболочками.

Если вы продолжите использовать XP: реалистичные меры сдерживания

Некоторые организации из-за проблем совместимости с критически важным оборудованием или программным обеспечением не могут отказаться от XP в одночасье. В таких случаях приоритетной задачей является уменьшение поверхности атаки . Первоочередная рекомендация — перейти на самую современную операционную систему (как минимум Windows 7, если более масштабное обновление невозможно), но если это невозможно, то необходимо внедрить меры безопасности.

Встраиваемые системы и терминалы, такие как банкоматы или POS-системы, специализированные решения, например Kaspersky Embedded Systems Security, обеспечивают средства контроля, адаптированные для XP Embedded и ее семейства, с централизованным управлением через Kaspersky Security Center. Эти инструменты предназначены для команд с ограниченными ресурсами и очень специфическими функциями.

• Используйте последние совместимые версии программного обеспечения которые все еще поддерживают XP; такие браузеры, как Chrome, прекратили это делать в 2016 году, а Firefox — в 2018 году.
• Применение белых списков (Управление приложениями): разрешает только необходимые процессы и устраняет ненужные программы для сокращения векторов.
• По возможности изолируйте себя от ИнтернетаЕсли доступ критически важен, используйте самую последнюю версию браузера, доступную для XP.
• Фильтрация трафика с помощью веб-шлюзов для блокировки нежелательных запросов (например, Kaspersky Security для интернет-шлюзов).

Эти меры не делают XP «современной» защищенной системой, но они могут стать решающим фактором между инцидентом и контролируемой средой . Ключевым моментом является предположение, что регулярных обновлений не будет, и соответствующие действия с использованием сегментации сети, минимизации уязвимостей и мониторинга.

Сработает ли петиция об открытии XP? И как насчёт проектов типа Haiku?

Идея сбора подписей, чтобы заставить Microsoft выпустить XP, звучит неплохо в интернете, но она игнорирует реальные технические и юридические барьеры . Даже если отбросить патенты и сторонние компоненты, стоимость очистки, аудита и выпуска кода, настолько взаимозависимого с современными версиями Windows, будет непомерно высокой… и потенциально опасной для собственной экосистемы компании.

Сравнивать её с Haiku OS также некорректно. Haiku — это свободная переработка BeOS , а не оригинальный код BeOS, открытый для общественности. Это различие имеет решающее значение: переписывание с нуля позволяет избежать конфликтов интеллектуальной собственности и обеспечивает независимое развитие. Для «свободной XP» наиболее жизнеспособным путем была бы бинарная или API-совместимая переработка, что потребовало бы десятилетий человеко-лет и сотрудничества с производителями оборудования для разработки графических драйверов и поддержки на системах 2012-2016 годов.

Поэтому, вместо того чтобы ждать официального релиза, дальнейший путь предполагает миграцию или сегментацию , а для встроенных систем — использование специализированных решений в области безопасности при планировании технологической модернизации.

Если посмотреть на ситуацию в целом, становится ясно, почему Microsoft не хочет открывать исходный код XP: устаревший код в современных системах Windows, риски безопасности для миллионов устройств, юридические сложности с третьими сторонами, проблемы с поддержкой и каннибализация бизнеса создают серьезный барьер. А утечка 2020 года, включающая торренты общим объемом 43 ГБ и ZIP-файл размером 2,97 ГБ, содержащий части XP и Server 2003, подтверждает неприятную правду: тщательное изучение такой распространенной операционной системы без разрешения увеличивает риски для тех, кто все еще ее использует, и, как следствие, для современных платформ. Между тем, те, кто по необходимости все еще привязан к XP, вынуждены снизить свою уязвимость, внедрить строгий контроль и ускорить планы миграции, разработав четкую стратегию.