- Registrado
- 17 Feb 2007
- Mensajes
- 678
- Puntuación de reacción
- 1.026
- Puntos
- 93
Hide and Seek with Windows 10. Testing programs to disable surveillance and increase privacy
More than three years have passed since the release of Windows 10, and the problem of leaking user data to Microsoft servers has not been resolved. Moreover, it was aggravated by a forced reset of the privacy settings and restarting the disabled update service. In this article, we will compare several utilities for managing spyware components of the OS and see how effective they are on modern builds of Windows 10.
Microsoft has never hidden that it collects information about users, just before, it was limited to florid phrases about sending "some information to improve the user experience." After entry into force European data protection regulation and a number of other laws, the company's lawyers had to disclose details. Here you can read about what data is collected, where it is transferred, how it is processed and in what cases it is disclosed.
Microsoft got out to consumers by allegedly giving them the opportunity to independently configure the type and amount of transmitted data. To do this, you need to install update package (for those with a build below 15063.0) and use the privacy screen. It is advisable to do this at the installation stage.
Privacy screen when installing Windows 10
As conceived, the user has the feeling that if everything is turned off, then the data will not leak. However, this is a deliberate illusion. Let's run a sniffer and see how things are in reality.
Testing technique
All tests were carried out in parallel on two test builds of Windows 10 Pro - 1709 and 1803. To make the testing conditions identical, each anti-spyware program was deployed in virtual clones. The screenshots in the article first show a snapshot of work in 1709 and then in 1803, unless otherwise noted. The auxiliary utilities were Wireshark 2.6.3 64 bit, TCPView v. 3.05 and Regshot v. 2.1.0.17.
In all tested programs, the maximum blocking settings were selected. If some function or application is not blocked, then there will be an undefined error. It will be unclear: whether this unlocked item leads to data leakage, or the program could not disable some function. The ideal result is a network traffic dump without Microsoft IP addresses. Let's see who can cope with this task, but first, let's check the standard privacy management functions in Windows.
Checking your privacy settings
If you leave the default settings, then after loading the OS, you immediately see a large flow of outgoing traffic to Microsoft addresses.
Monitoring network traffic with default privacy settings
Now we turn off everything that turns off on the privacy screen. The result is obvious.
Monitor network traffic with trimmed telemetry transmission
However, even after switching all the checkboxes to the deny position, some data is immediately sent to the Microsoft Azure cloud platform, and in Singapore. In the Wireshark logs, I noticed the IP addresses of Microsoft network nodes from around the world. Apparently this is how load balancing works. The connection with them is not permanent (I got in touch, transmitted what was needed and terminated the connection). The pool of addresses is very large. I double-checked them and made sure that almost all of them belong to Microsoft or its partner networks.
Compare programs
For comparison, we selected the following anti-spyware programs: Blackbird 1.0.28, Destroy Windows 10 Spying 1.0.1.0, DoNotSpy10 4.0, O&O ShutUp10 1.6.1399, Disable Win Tracking 3.2.1 and WPD 1.2.940. All of these applications have one goal - to prevent Microsoft from obtaining any data in a known way. They are not devoid of various goodies such as blocking updates. Here is a rough list of what to expect from such utilities:
How do these utilities generally work?
An attempt to achieve maximum privacy with the help of such programs can lead to the fact that the necessary components stop working, Windows activation will fail, the OS will behave unstable or not boot at all. We strongly recommend that you do not limit yourself to the built-in backup tools, but use third-party programs to create a complete disk image. With him, it is guaranteed that there will be an opportunity to return the system to its original state, no matter what happens to it during the experiments.
Blackbird 1.0.28
https://www.getblackbird.net
The program works in console mode. It initially has only three functions:
Blackbird interface
After scanning, a very large list of "shortcomings" that need to be corrected is displayed.
Scan to Blackbird
There are really many points in it, but there are very controversial points. For example, the first thing I did was to cut my eye on the W32Time blocking point. If the computer is in the domain, then how to synchronize the time with the server?
Let's move on to the block list. Press A on the main screen of the program and see this picture.
List of applications and services to block Blackbird
Please note that in build 1803 several new features have been added, so 78 points are subject to blocking, not 70, as in 1709. Here is a good example why I chose two Windows 10 releases for the test.
Difference in Windows 10 builds in Blackbird
There is no Windows Update service in the list of components that Blackbird can disable. The shutdown itself is inconvenient: there are no ready-made settings profiles, each item has to be selected separately.
After completing the actions in build 1709, we managed to disable all the "tracking" functions, the program did a great job. On build 1803, one feature was never disabled, and for some reason their total number became 79.
Blackbird didn't fully handle build 1803
Two days of observing the behavior of operating systems showed that after Blackbird was running, outgoing traffic decreased significantly. However, the build 1803 test computer was constantly streaming data to IP 104.25.219.21. Shodan says it is owned by renowned cloud provider Cloudflare. As far as I know, Microsoft has been renting hosting for virtual statistics servers for a long time. There was no other similar network activity, except for downloading updates.
Blackbird generally coped with blocking tracking functions, but both test builds became inoperative due to it. The Start menu does not open. Edge and IE won't launch. The app store and mail try to start, but immediately close. There are messages in the notification panel that cannot be opened. In general, it is impossible to live with such a disfigured operating system. Although the updates were installed without problems!
When restoring from a backup created by Blackbird, it didn't get any better. In build 1709, Windows activation flashed and two registry errors appeared. After a reboot, not a single issue was fixed. Build 1803 could not start Blackbird at all to restore from a backup, starting to swear at a file system error (although everything was fine with the file system).
Errors when restoring a backup
The conclusion is obvious. Blackbird belongs to our former heading "Western Construction".
Destroy Windows 10 Spying 1.0.1.0
https://github.com/Nummer/Destroy-Windows-10-Spying
Destroy Windows 10 Spying is a program that is most likely already heard by everyone who wondered how to disable the transfer of their data to Microsoft. They say that after version 1.0.1.0 the developer changed and the Trojan began to be inserted into new releases. Therefore, we will use the latest official version released by Nummer.
Version 1.0.1.0 was written in April 2018. It started on my assemblies and defined them correctly. Among other things, the program has a function to disable Windows updates, which I also used.
Destroy Windows 10 Spying 1.0.1.0
All changes are made by pressing the big button "Destroy Windows Spying NOW!" The program operates in three stages: disabling spyware services, adding known IP addresses to the firewall rules, and writing the URLs of the Microsoft statistics collection servers to the host. This is followed by a reboot with all changes applied.
The results of DWS work upset me.
Dump Wireshark after DWS
Outgoing traffic to the "left" addresses decreased, but there was still active communication with the IP addresses we did not need. The version of the program is outdated, and in new Windows assemblies it does not really fulfill its function. However, the utility does not cripple the OS like Blackbird does. My virtual computers survived after DWS. Within three days, no software problems were identified. Immediately after the reboot, build 1709 hung a couple of times, but it cost a little, and everything was restored.
With Windows Update blocking, DWS also worked crookedly. After four or five Windows restarts, svhost appeared in the TCPView logs again, which, as if nothing had happened, continued to deliver updates. I also noticed a very close dialogue between build 1709 and the IP address of a server on the Akamai Technologies network that is collaborating with Microsoft, and a strong increase in SSDP packets. Probably, Windows itself went through alternate ways to send data when its own servers were partially unavailable.
DoNotSpy10 4.0
DoNotSpy10 "pXc-coding
Another popular program with a user-friendly interface. For each item, the developer has made a small description, so it's easy to figure it out - just tick the boxes and go!
DoNotSpy10 interface
This program provides the ability to make a system rollback point before applying changes (not a backup of settings, but a system rollback point). In my opinion, with the number of functions in it, they overdid it a little - there are a lot of all sorts of features. I applied everything to the maximum, and the result of the work surprised me. After four hours of inactivity, the systems began to reboot on their own. It turned out that during this time, "blocked" updates were rolled out quietly. Wireshark collected almost 400 thousand packets per hour, which was not observed with other programs. Most of the packets were addressed exactly where DoNotSpy10 should have prevented them from being sent. On top of that, licenses from both operating systems were dropped.
DoNotSpy10 will surely appeal to masochists and disappoint everyone else.
O&O ShutUp10 1.6.1399
O&O ShutUp10 -Free antispy tool for Windows 10
This program of German developers O&O Software has a user-friendly interface and several settings profiles. You can apply only the recommended ones or all at once in one click. Also among the pluses I will note the import and export of registry settings. Practice has shown that this is a very important point. Machine translation into Russian hurts the eye, but it is enough to understand the prompts that pop up when you click on the line to disable the function.
In the program window, a column with the name "Recommended?" Has been made, and in it items marked "NO". At first it seems that these are some particularly dangerous tweaks, but among them are auto-updates.
I want to note one important detail right away: in build 1709, the program offers to change 97 points, and in 1803 - already 100. The added three points are in the section "Application confidentiality" and prohibit access to documents, images and videos.
Difference of O&O ShutUp10 on different builds of Windows 10
When choosing the first "tracking" function, the program issued a warning that the system has disabled the function of creating restore points. Another plus in karma!
As in all previous tests, I chose the "ultra" setting to get the most out of the program. Immediately before the closure of O&O ShutUp10 warned that if updates are rolled onto the computer (and according to the developers, they will still roll), then you will have to restart the program and return the settings. Why not completely block their installation?
Second German warning
Another small observation (this is a nitpick, but the perfectionist inside me is indignant): after a warning, the program offers to reboot, but it cannot reboot either in build 1709 or build 1803. Both had to be manually rebooted.
Immediately after the next OS boot and before starting Wireshark, TCPView showed an unpleasant picture. Again processes communicate with MS addresses!
The ban only worked partially
The Wireshark dump was not happy either. Session setup and data transfer are clearly visible, although not so many packets are sent.
Dump traffic Windows 10 1803
As expected, svhost downloads updates, although I turned them off in O&O ShutUp10 by specifying two Windows Update-related items.
After five to eight hours, Internet access was lost. It was restored by rebooting the network adapter, but the next check for updates in Windows failed.
Updates failed
A day later, two parameters were changed: "Prevent applications from running in the background" and "Disable telemetry (3 of 3)" were disabled. At 1709 this was not the case.
O&O ShutUp10
Two days after using the O&O ShutUp10, the flight is normal and the overall picture is good. Occasionally, the addresses of Microsoft servers from different countries slip through the network traffic. In build 1803, they are mainly communicated with by backgroundTaskHost, dasHost.exe and svhost (the latter keeps a stable connection throughout the entire work), and in 1709, only svhost. In addition, in build 1803, after each program restart, the "Prevent applications from running in the background" option is disabled (this behavior has not been noticed in 1709) and certain parameters that O&O ShutUp10 previously disabled or blocked are automatically restored. It turns out that she conquered Windows 10 1709, but 1803 is too tough for her.
Resetting the settings was painless. There is not much to talk about here.
There are no complaints about the operating systems themselves after using O&O ShutUp10. Several times I was surprised by the faster work (with rogue resources allocated to one main and two guest OS, this is very noticeable to me).
Disable Win Tracking
10se1ucgo / DisableWinTracking
Disable Win Tracking 3.2.1 is another small and simple utility with a spartan interface. It was updated at the beginning of the year, but nothing is said about support for different Windows builds.
Disable Win Tracking
The Services item has two modes to choose from: delete services and disable them (I chose to delete). Actions are performed with two services: DiagTrack (diagnostic data collection monitoring service) and dmwappushsvc (WAP Push Message routing service). Everything else is pretty simple and straightforward. When highlighting some of the items, the utility will carefully warn that if you disable some functions, there will be consequences and some applications may stop working.
INFO
DiagTrack was originally distributed as an optional update KB3022345. This "spyware" service could not have been installed at all or removed by standard means, but at the end of 2015, the cunning Microsoft renamed it Connected User Experiences and Telemetry and sewed it into the system as a mandatory component.
Press GO, and upon completion we are given a detailed report on the work done. It is curious to look through and see what the program does.
After three days of testing, the next updates were installed. The dmwappushsvc service reappeared in the list but was in a disabled state. According to the results of network monitoring: the addresses of Microsoft and Akamai in the logs have not gone anywhere. My operating systems regularly contacted them, but the traffic decreased. The actions of Disable Win Tracking did not affect the stability of the OS, but Skype stopped working. The intrusion into the system was minimal: adding rules for the built-in firewall and several registry edits.
Windows Privacy Dashboard
WPD
The last utility I would like to take apart is WPD 1.2.940. At the time of this writing, the current release was on October 11, 2018, but the tracking component blocking rules were used on September 16. Declared support for Windows 10 up to 1809. The functions of the program are divided into three sections: privacy management, creating firewall rules and removing installed programs ("garbage", as the developers called them).
Privacy management disables rules in the scheduler, some services, and changes the registry. Firewall rules are created based on the selected privacy mode: Spy and Extra. When you select the latter, OneDrive, Skype, Live and the like are blocked (the program warns about this). As in all cases, I tried to squeeze everything out of this utility except uninstall applications.
For four days of tests, I did not find any complaints about the OS - both test operating systems worked stably. I am satisfied with the program no less than O&O ShutUp10. After working with WPD, the logs were left with a minimum number of connections to the servers of Microsoft and its partners, and the packages themselves were very small.
Most of the changes WPD makes to the registry. This is what the result looks like in Windows 1803.
Fragment of changes in the registry after WPD
I compared the registry snapshots with the Regshot program. It would be tedious to list all the changed keys. I think the number in the "Deleted / New Parameters" line speaks for itself.
New registry keys
The program has created one firewall rule by registering a bunch of IP addresses in it.
Firewall rule
In general, WPD has performed quite well.
Disable tracking manually
Let's try to do some of the actions of the described programs manually. Let's execute the main locks that I mentioned above. All actions are at your own peril and risk! Before editing the registry, I recommend creating a backup
Disable user activity recording
The Timeline function is responsible for this. We go into the registry editor (regedit), go along the path HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ System. Create a 32-bit DWORD with a value of 0 and the name EnableActivityFeed.
Disable the "keylogger"
It's about the same dmwappushsvc service. Go along the HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ dmwappushsvc branch and assign dmwappushsvc the value 4 (here you can also turn off DiagTrack immediately).
Disable telemetry
It should be clarified here that modern Windows assemblies do not allow you to completely disable telemetry without losing significant system functions. There are three options for configuring the transfer of collected data: Basic Setting, Advanced, and Full Data. There is also a "Security" section, but it is present only in Enterprise. Through the registry, we can set the minimum level of telemetry collection: HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ DataCollection (if there is no DataCollection parameter, you need to create it). Create a 32-bit DWORD called AllowTelemetry and assign it the value 1.
Disable location data collection
Go to the HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ DeviceAccess \ Global \ {BFA794E4-F964-4FDB-90F6-51056BFE4B44} branch and assign the Allow value to this parameter.
Disable Cortana
In the HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ Windows Search key, set the Allow Cortana parameter to 0.
Disable OneDrive
Find or create a 32-bit DWORD parameter DisableFileSync at HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ Skydrive and set it to 1.
Turn off sending telemetry in the task scheduler
In addition to telemetry, the scheduler has a bunch of initially created tasks that take up resources and work without the user's knowledge. They mainly collect telemetry data for the "User Experience Improvement Program" and the SmartScreen cloud protection service.
You can turn off this whole poorhouse with the following commands:
schtasks / Change / TN "Microsoft \ Windows \ AppID \ SmartScreenSpecific" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Application Experience \ ProgramDataUpdater" / Disable schtasks / Change / TN "Microsoft \ Windows \ Application Experience \ Microsoft Compatibility Appraiser" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Autochk \ Proxy" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Customer Experience Improvement Program \ Consolidator" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Customer Experience Improvement Program \ KernelCeipTask" / Disable
schtasks / Change / TN "Microsoft \ Windows \ CloudExperienceHost \ CreateObjectTask" / Disable
schtasks / Change / TN "Microsoft \ Windows \ DiskDiagnostic \ Microsoft-Windows-DiskDiagnosticDataCollector" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Maintenance \ WinSAT" / Disable
schtasks / Change / TN "Microsoft \ Windows \ NetTrace \ GatherNetworkInfo" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Shell \ FamilySafetyMonitor" / Disable
schtasks / Change / TN "Microsoft \ Office \ OfficeTelemetryAgentFallBack" / Disable
schtasks / Change / TN "Microsoft \ Office \ OfficeTelemetryAgentLogOn" / Disable
Block sending data to Microsoft servers
There are many resources on the Internet that regularly update the lists of addresses of Microsoft "spyware" servers. For example, on aeronet.cz you can find the main list. The easiest way is to add them to hosts and create deny rules in the firewall.
Windows Firewall Rules
I've used both methods. Windows reached one of the blocked addresses after an hour of operation, but the network packet size turned out to be zero.
Attempt to connect to a blocked address
Some security experts believe that Windows system processes (including spyware) can bypass the restrictions in the hosts and in the built-in firewall. In theory, URL blocking in hosts can be bypassed by direct IP access, IP blocking in a software firewall can be bypassed through dnsapi.dll and interception of NDIS-level protocol creation functions by other Windows kernel components. However, during my mini experiment, I did not notice any spurious traffic. After blocking in hosts and firewall rules, attempts to establish a connection with the "spy" servers continued, but outgoing packets were zero, and there were no incoming packets at all.
Blocking updates
For dessert I decided to show one more small program, the purpose of which is only to block updates (which most programs could not do, although the function was declared). it StopUpdates10 2.0.32 ...
StopUpdates10
The program interface is limited to one button. Click, restart, test.
During two days of testing, the program prevented the download of updates, although Windows diligently (and unsuccessfully) tried to find them. Slightly annoying Windows messages about component installation error.
Error message
After two days of inactivity and a dozen reboots, I tried to manually check for updates, which also ended in failure. The list of installed updates contained only those updates that had been downloaded before the program was launched.
findings
We have reviewed six programs for disabling tracking and privacy settings in current builds of Windows 10. There are a lot of such utilities. Their authors copy the work of each other (Fork me on GitHub!), Trying to make the lists of changeable parameters and blocked addresses as large as possible. They rarely bother to check them (especially long-term), and problems with the operating system usually do not appear immediately after applying tweaks. This is a time bomb.
The development of most anti-spyware utilities for Windows 10 stalled in 2016-2017 due to the constant arms race. Microsoft frequently changes the IP addresses of its servers, rents cloud services from Cloudflare, and redirects some of its traffic to the Akamai Technologies partner network. In fact, it owns a very dynamic pool of IP addresses and several large networks. You will not have time to track and block everything. In addition, the same URL is often used to connect to different IP addresses or a multifunction server, which is needed for the normal operation of other (non-spyware) Windows components.
You can also add network addresses for Microsoft data collectors manually, simply by finding such lists on GitHub and in the specialized forums. You need to download them, merge them, edit them, check them (the hardest part) and only then apply the "dry residue". You will have to do a lot of routine work in order for the result to be stable at least for some time. Then Windows updates will come out, new network addresses will be added, your painstakingly created list will become outdated, and everything will have to start over.
Of the programs tested, only O&O ShutUp10 and WPD have more or less coped with their task, although their work can hardly be called ideal. Some of the privacy settings are changed by the standard tools of Windows 10 itself, but not all settings are displayed in the interface. If the utility is able to change some additional and "deep" - it makes sense. You just need to work very carefully with it, carefully select the blocked parameters and make backups before using them.
Source
More than three years have passed since the release of Windows 10, and the problem of leaking user data to Microsoft servers has not been resolved. Moreover, it was aggravated by a forced reset of the privacy settings and restarting the disabled update service. In this article, we will compare several utilities for managing spyware components of the OS and see how effective they are on modern builds of Windows 10.
Microsoft has never hidden that it collects information about users, just before, it was limited to florid phrases about sending "some information to improve the user experience." After entry into force European data protection regulation and a number of other laws, the company's lawyers had to disclose details. Here you can read about what data is collected, where it is transferred, how it is processed and in what cases it is disclosed.
Microsoft got out to consumers by allegedly giving them the opportunity to independently configure the type and amount of transmitted data. To do this, you need to install update package (for those with a build below 15063.0) and use the privacy screen. It is advisable to do this at the installation stage.
Privacy screen when installing Windows 10
As conceived, the user has the feeling that if everything is turned off, then the data will not leak. However, this is a deliberate illusion. Let's run a sniffer and see how things are in reality.
Testing technique
All tests were carried out in parallel on two test builds of Windows 10 Pro - 1709 and 1803. To make the testing conditions identical, each anti-spyware program was deployed in virtual clones. The screenshots in the article first show a snapshot of work in 1709 and then in 1803, unless otherwise noted. The auxiliary utilities were Wireshark 2.6.3 64 bit, TCPView v. 3.05 and Regshot v. 2.1.0.17.
In all tested programs, the maximum blocking settings were selected. If some function or application is not blocked, then there will be an undefined error. It will be unclear: whether this unlocked item leads to data leakage, or the program could not disable some function. The ideal result is a network traffic dump without Microsoft IP addresses. Let's see who can cope with this task, but first, let's check the standard privacy management functions in Windows.
Checking your privacy settings
If you leave the default settings, then after loading the OS, you immediately see a large flow of outgoing traffic to Microsoft addresses.
Monitoring network traffic with default privacy settings
Now we turn off everything that turns off on the privacy screen. The result is obvious.
Monitor network traffic with trimmed telemetry transmission
However, even after switching all the checkboxes to the deny position, some data is immediately sent to the Microsoft Azure cloud platform, and in Singapore. In the Wireshark logs, I noticed the IP addresses of Microsoft network nodes from around the world. Apparently this is how load balancing works. The connection with them is not permanent (I got in touch, transmitted what was needed and terminated the connection). The pool of addresses is very large. I double-checked them and made sure that almost all of them belong to Microsoft or its partner networks.
Compare programs
For comparison, we selected the following anti-spyware programs: Blackbird 1.0.28, Destroy Windows 10 Spying 1.0.1.0, DoNotSpy10 4.0, O&O ShutUp10 1.6.1399, Disable Win Tracking 3.2.1 and WPD 1.2.940. All of these applications have one goal - to prevent Microsoft from obtaining any data in a known way. They are not devoid of various goodies such as blocking updates. Here is a rough list of what to expect from such utilities:
- disable recording of user activity;
- disable sending data about keyboard input;
- Disable sending handwriting samples;
- disabling the collection of diagnostic data (telemetry);
- disabling the collection of location data;
- Disable and reset personal Cortana preferences
- disabling Internet access for Windows Media DRM;
- disable app access to account information, calendar, messages, camera, microphone, and location;
- (optional) Disable Windows Update Service for other products.
How do these utilities generally work?
- Modifies the registry keys responsible for privacy settings.
- Add URLs of network nodes known to the authors of the program to the file% WINDIR% \ System32 \ drivers \ etc \ hosts, to which Microsoft sends data.
- Adds deny rule sets to Windows Firewall that block connections to known Microsoft IP addresses.
- Stop "tracking" services.
- Remove spyware scheduler jobs.
- In the hardcore version, system files and directories responsible for "spy" functions are deleted.
An attempt to achieve maximum privacy with the help of such programs can lead to the fact that the necessary components stop working, Windows activation will fail, the OS will behave unstable or not boot at all. We strongly recommend that you do not limit yourself to the built-in backup tools, but use third-party programs to create a complete disk image. With him, it is guaranteed that there will be an opportunity to return the system to its original state, no matter what happens to it during the experiments.
Blackbird 1.0.28
https://www.getblackbird.net
The program works in console mode. It initially has only three functions:
- scan the system and display all (according to the developer) detected problems;
- start the lock manager;
- make a backup of the settings. I would like to highlight this function. Not every program allows you to do this, so if something went wrong, we just restore the settings to the lock and work on. The backup is placed in the program folder, and when it is done, the program changes one of its functions from "Back up" to "Restore from backup".
Blackbird interface
After scanning, a very large list of "shortcomings" that need to be corrected is displayed.
Scan to Blackbird
There are really many points in it, but there are very controversial points. For example, the first thing I did was to cut my eye on the W32Time blocking point. If the computer is in the domain, then how to synchronize the time with the server?
Let's move on to the block list. Press A on the main screen of the program and see this picture.
List of applications and services to block Blackbird
Please note that in build 1803 several new features have been added, so 78 points are subject to blocking, not 70, as in 1709. Here is a good example why I chose two Windows 10 releases for the test.
Difference in Windows 10 builds in Blackbird
There is no Windows Update service in the list of components that Blackbird can disable. The shutdown itself is inconvenient: there are no ready-made settings profiles, each item has to be selected separately.
After completing the actions in build 1709, we managed to disable all the "tracking" functions, the program did a great job. On build 1803, one feature was never disabled, and for some reason their total number became 79.
Blackbird didn't fully handle build 1803
Two days of observing the behavior of operating systems showed that after Blackbird was running, outgoing traffic decreased significantly. However, the build 1803 test computer was constantly streaming data to IP 104.25.219.21. Shodan says it is owned by renowned cloud provider Cloudflare. As far as I know, Microsoft has been renting hosting for virtual statistics servers for a long time. There was no other similar network activity, except for downloading updates.
Blackbird generally coped with blocking tracking functions, but both test builds became inoperative due to it. The Start menu does not open. Edge and IE won't launch. The app store and mail try to start, but immediately close. There are messages in the notification panel that cannot be opened. In general, it is impossible to live with such a disfigured operating system. Although the updates were installed without problems!
When restoring from a backup created by Blackbird, it didn't get any better. In build 1709, Windows activation flashed and two registry errors appeared. After a reboot, not a single issue was fixed. Build 1803 could not start Blackbird at all to restore from a backup, starting to swear at a file system error (although everything was fine with the file system).
Errors when restoring a backup
The conclusion is obvious. Blackbird belongs to our former heading "Western Construction".
Destroy Windows 10 Spying 1.0.1.0
https://github.com/Nummer/Destroy-Windows-10-Spying
Destroy Windows 10 Spying is a program that is most likely already heard by everyone who wondered how to disable the transfer of their data to Microsoft. They say that after version 1.0.1.0 the developer changed and the Trojan began to be inserted into new releases. Therefore, we will use the latest official version released by Nummer.
Version 1.0.1.0 was written in April 2018. It started on my assemblies and defined them correctly. Among other things, the program has a function to disable Windows updates, which I also used.
Destroy Windows 10 Spying 1.0.1.0
All changes are made by pressing the big button "Destroy Windows Spying NOW!" The program operates in three stages: disabling spyware services, adding known IP addresses to the firewall rules, and writing the URLs of the Microsoft statistics collection servers to the host. This is followed by a reboot with all changes applied.
The results of DWS work upset me.
Dump Wireshark after DWS
Outgoing traffic to the "left" addresses decreased, but there was still active communication with the IP addresses we did not need. The version of the program is outdated, and in new Windows assemblies it does not really fulfill its function. However, the utility does not cripple the OS like Blackbird does. My virtual computers survived after DWS. Within three days, no software problems were identified. Immediately after the reboot, build 1709 hung a couple of times, but it cost a little, and everything was restored.
With Windows Update blocking, DWS also worked crookedly. After four or five Windows restarts, svhost appeared in the TCPView logs again, which, as if nothing had happened, continued to deliver updates. I also noticed a very close dialogue between build 1709 and the IP address of a server on the Akamai Technologies network that is collaborating with Microsoft, and a strong increase in SSDP packets. Probably, Windows itself went through alternate ways to send data when its own servers were partially unavailable.
DoNotSpy10 4.0
DoNotSpy10 "pXc-coding
Another popular program with a user-friendly interface. For each item, the developer has made a small description, so it's easy to figure it out - just tick the boxes and go!
DoNotSpy10 interface
This program provides the ability to make a system rollback point before applying changes (not a backup of settings, but a system rollback point). In my opinion, with the number of functions in it, they overdid it a little - there are a lot of all sorts of features. I applied everything to the maximum, and the result of the work surprised me. After four hours of inactivity, the systems began to reboot on their own. It turned out that during this time, "blocked" updates were rolled out quietly. Wireshark collected almost 400 thousand packets per hour, which was not observed with other programs. Most of the packets were addressed exactly where DoNotSpy10 should have prevented them from being sent. On top of that, licenses from both operating systems were dropped.
DoNotSpy10 will surely appeal to masochists and disappoint everyone else.
O&O ShutUp10 1.6.1399
O&O ShutUp10 -Free antispy tool for Windows 10
This program of German developers O&O Software has a user-friendly interface and several settings profiles. You can apply only the recommended ones or all at once in one click. Also among the pluses I will note the import and export of registry settings. Practice has shown that this is a very important point. Machine translation into Russian hurts the eye, but it is enough to understand the prompts that pop up when you click on the line to disable the function.
In the program window, a column with the name "Recommended?" Has been made, and in it items marked "NO". At first it seems that these are some particularly dangerous tweaks, but among them are auto-updates.
I want to note one important detail right away: in build 1709, the program offers to change 97 points, and in 1803 - already 100. The added three points are in the section "Application confidentiality" and prohibit access to documents, images and videos.
Difference of O&O ShutUp10 on different builds of Windows 10
When choosing the first "tracking" function, the program issued a warning that the system has disabled the function of creating restore points. Another plus in karma!
As in all previous tests, I chose the "ultra" setting to get the most out of the program. Immediately before the closure of O&O ShutUp10 warned that if updates are rolled onto the computer (and according to the developers, they will still roll), then you will have to restart the program and return the settings. Why not completely block their installation?
Second German warning
Another small observation (this is a nitpick, but the perfectionist inside me is indignant): after a warning, the program offers to reboot, but it cannot reboot either in build 1709 or build 1803. Both had to be manually rebooted.
Immediately after the next OS boot and before starting Wireshark, TCPView showed an unpleasant picture. Again processes communicate with MS addresses!
The ban only worked partially
The Wireshark dump was not happy either. Session setup and data transfer are clearly visible, although not so many packets are sent.
Dump traffic Windows 10 1803
As expected, svhost downloads updates, although I turned them off in O&O ShutUp10 by specifying two Windows Update-related items.
After five to eight hours, Internet access was lost. It was restored by rebooting the network adapter, but the next check for updates in Windows failed.
Updates failed
A day later, two parameters were changed: "Prevent applications from running in the background" and "Disable telemetry (3 of 3)" were disabled. At 1709 this was not the case.
O&O ShutUp10
Two days after using the O&O ShutUp10, the flight is normal and the overall picture is good. Occasionally, the addresses of Microsoft servers from different countries slip through the network traffic. In build 1803, they are mainly communicated with by backgroundTaskHost, dasHost.exe and svhost (the latter keeps a stable connection throughout the entire work), and in 1709, only svhost. In addition, in build 1803, after each program restart, the "Prevent applications from running in the background" option is disabled (this behavior has not been noticed in 1709) and certain parameters that O&O ShutUp10 previously disabled or blocked are automatically restored. It turns out that she conquered Windows 10 1709, but 1803 is too tough for her.
Resetting the settings was painless. There is not much to talk about here.
There are no complaints about the operating systems themselves after using O&O ShutUp10. Several times I was surprised by the faster work (with rogue resources allocated to one main and two guest OS, this is very noticeable to me).
Disable Win Tracking
10se1ucgo / DisableWinTracking
Disable Win Tracking 3.2.1 is another small and simple utility with a spartan interface. It was updated at the beginning of the year, but nothing is said about support for different Windows builds.
Disable Win Tracking
The Services item has two modes to choose from: delete services and disable them (I chose to delete). Actions are performed with two services: DiagTrack (diagnostic data collection monitoring service) and dmwappushsvc (WAP Push Message routing service). Everything else is pretty simple and straightforward. When highlighting some of the items, the utility will carefully warn that if you disable some functions, there will be consequences and some applications may stop working.
INFO
DiagTrack was originally distributed as an optional update KB3022345. This "spyware" service could not have been installed at all or removed by standard means, but at the end of 2015, the cunning Microsoft renamed it Connected User Experiences and Telemetry and sewed it into the system as a mandatory component.
Press GO, and upon completion we are given a detailed report on the work done. It is curious to look through and see what the program does.
After three days of testing, the next updates were installed. The dmwappushsvc service reappeared in the list but was in a disabled state. According to the results of network monitoring: the addresses of Microsoft and Akamai in the logs have not gone anywhere. My operating systems regularly contacted them, but the traffic decreased. The actions of Disable Win Tracking did not affect the stability of the OS, but Skype stopped working. The intrusion into the system was minimal: adding rules for the built-in firewall and several registry edits.
Windows Privacy Dashboard
WPD
The last utility I would like to take apart is WPD 1.2.940. At the time of this writing, the current release was on October 11, 2018, but the tracking component blocking rules were used on September 16. Declared support for Windows 10 up to 1809. The functions of the program are divided into three sections: privacy management, creating firewall rules and removing installed programs ("garbage", as the developers called them).
Privacy management disables rules in the scheduler, some services, and changes the registry. Firewall rules are created based on the selected privacy mode: Spy and Extra. When you select the latter, OneDrive, Skype, Live and the like are blocked (the program warns about this). As in all cases, I tried to squeeze everything out of this utility except uninstall applications.
For four days of tests, I did not find any complaints about the OS - both test operating systems worked stably. I am satisfied with the program no less than O&O ShutUp10. After working with WPD, the logs were left with a minimum number of connections to the servers of Microsoft and its partners, and the packages themselves were very small.
Most of the changes WPD makes to the registry. This is what the result looks like in Windows 1803.
Fragment of changes in the registry after WPD
I compared the registry snapshots with the Regshot program. It would be tedious to list all the changed keys. I think the number in the "Deleted / New Parameters" line speaks for itself.
New registry keys
The program has created one firewall rule by registering a bunch of IP addresses in it.
Firewall rule
In general, WPD has performed quite well.
Disable tracking manually
Let's try to do some of the actions of the described programs manually. Let's execute the main locks that I mentioned above. All actions are at your own peril and risk! Before editing the registry, I recommend creating a backup
Disable user activity recording
The Timeline function is responsible for this. We go into the registry editor (regedit), go along the path HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ System. Create a 32-bit DWORD with a value of 0 and the name EnableActivityFeed.
Disable the "keylogger"
It's about the same dmwappushsvc service. Go along the HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ dmwappushsvc branch and assign dmwappushsvc the value 4 (here you can also turn off DiagTrack immediately).
Disable telemetry
It should be clarified here that modern Windows assemblies do not allow you to completely disable telemetry without losing significant system functions. There are three options for configuring the transfer of collected data: Basic Setting, Advanced, and Full Data. There is also a "Security" section, but it is present only in Enterprise. Through the registry, we can set the minimum level of telemetry collection: HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ DataCollection (if there is no DataCollection parameter, you need to create it). Create a 32-bit DWORD called AllowTelemetry and assign it the value 1.
Disable location data collection
Go to the HKEY_CURRENT_USER \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ DeviceAccess \ Global \ {BFA794E4-F964-4FDB-90F6-51056BFE4B44} branch and assign the Allow value to this parameter.
Disable Cortana
In the HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ Windows Search key, set the Allow Cortana parameter to 0.
Disable OneDrive
Find or create a 32-bit DWORD parameter DisableFileSync at HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Microsoft \ Windows \ Skydrive and set it to 1.
Turn off sending telemetry in the task scheduler
In addition to telemetry, the scheduler has a bunch of initially created tasks that take up resources and work without the user's knowledge. They mainly collect telemetry data for the "User Experience Improvement Program" and the SmartScreen cloud protection service.
You can turn off this whole poorhouse with the following commands:
schtasks / Change / TN "Microsoft \ Windows \ AppID \ SmartScreenSpecific" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Application Experience \ ProgramDataUpdater" / Disable schtasks / Change / TN "Microsoft \ Windows \ Application Experience \ Microsoft Compatibility Appraiser" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Autochk \ Proxy" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Customer Experience Improvement Program \ Consolidator" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Customer Experience Improvement Program \ KernelCeipTask" / Disable
schtasks / Change / TN "Microsoft \ Windows \ CloudExperienceHost \ CreateObjectTask" / Disable
schtasks / Change / TN "Microsoft \ Windows \ DiskDiagnostic \ Microsoft-Windows-DiskDiagnosticDataCollector" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Maintenance \ WinSAT" / Disable
schtasks / Change / TN "Microsoft \ Windows \ NetTrace \ GatherNetworkInfo" / Disable
schtasks / Change / TN "Microsoft \ Windows \ Shell \ FamilySafetyMonitor" / Disable
schtasks / Change / TN "Microsoft \ Office \ OfficeTelemetryAgentFallBack" / Disable
schtasks / Change / TN "Microsoft \ Office \ OfficeTelemetryAgentLogOn" / Disable
Block sending data to Microsoft servers
There are many resources on the Internet that regularly update the lists of addresses of Microsoft "spyware" servers. For example, on aeronet.cz you can find the main list. The easiest way is to add them to hosts and create deny rules in the firewall.
Windows Firewall Rules
I've used both methods. Windows reached one of the blocked addresses after an hour of operation, but the network packet size turned out to be zero.
Attempt to connect to a blocked address
Some security experts believe that Windows system processes (including spyware) can bypass the restrictions in the hosts and in the built-in firewall. In theory, URL blocking in hosts can be bypassed by direct IP access, IP blocking in a software firewall can be bypassed through dnsapi.dll and interception of NDIS-level protocol creation functions by other Windows kernel components. However, during my mini experiment, I did not notice any spurious traffic. After blocking in hosts and firewall rules, attempts to establish a connection with the "spy" servers continued, but outgoing packets were zero, and there were no incoming packets at all.
Blocking updates
For dessert I decided to show one more small program, the purpose of which is only to block updates (which most programs could not do, although the function was declared). it StopUpdates10 2.0.32 ...
StopUpdates10
The program interface is limited to one button. Click, restart, test.
During two days of testing, the program prevented the download of updates, although Windows diligently (and unsuccessfully) tried to find them. Slightly annoying Windows messages about component installation error.
Error message
After two days of inactivity and a dozen reboots, I tried to manually check for updates, which also ended in failure. The list of installed updates contained only those updates that had been downloaded before the program was launched.
findings
We have reviewed six programs for disabling tracking and privacy settings in current builds of Windows 10. There are a lot of such utilities. Their authors copy the work of each other (Fork me on GitHub!), Trying to make the lists of changeable parameters and blocked addresses as large as possible. They rarely bother to check them (especially long-term), and problems with the operating system usually do not appear immediately after applying tweaks. This is a time bomb.
The development of most anti-spyware utilities for Windows 10 stalled in 2016-2017 due to the constant arms race. Microsoft frequently changes the IP addresses of its servers, rents cloud services from Cloudflare, and redirects some of its traffic to the Akamai Technologies partner network. In fact, it owns a very dynamic pool of IP addresses and several large networks. You will not have time to track and block everything. In addition, the same URL is often used to connect to different IP addresses or a multifunction server, which is needed for the normal operation of other (non-spyware) Windows components.
You can also add network addresses for Microsoft data collectors manually, simply by finding such lists on GitHub and in the specialized forums. You need to download them, merge them, edit them, check them (the hardest part) and only then apply the "dry residue". You will have to do a lot of routine work in order for the result to be stable at least for some time. Then Windows updates will come out, new network addresses will be added, your painstakingly created list will become outdated, and everything will have to start over.
Of the programs tested, only O&O ShutUp10 and WPD have more or less coped with their task, although their work can hardly be called ideal. Some of the privacy settings are changed by the standard tools of Windows 10 itself, but not all settings are displayed in the interface. If the utility is able to change some additional and "deep" - it makes sense. You just need to work very carefully with it, carefully select the blocked parameters and make backups before using them.
Source
Original message
Прятки с Windows 10. Тестируем программы для отключения слежки и повышения приватности
С выхода Windows 10 прошло уже три с лишним года, а проблема слива пользовательских данных на серверы Microsoft так и не решена. Более того, она усугубилась принудительным сбросом настроек приватности и перезапуском отключенной службы обновлений. В этой статье мы сравним несколько утилит для управления «шпионскими» компонентами ОС и посмотрим, насколько они эффективны на современных сборках Windows 10.
В Microsoft никогда не скрывали, что собирают сведения о пользователях, просто раньше ограничивались витиеватыми фразами об отправке «некоторых сведений в целях улучшения пользовательского опыта». После вступления в силу Европейского регламента по защите данных и ряда других законов юристам компании пришлось раскрыть подробности. Вот здесьможно почитать о том, какие данные собираются, куда передаются, как обрабатываются и в каких случаях раскрываются.
Перед потребителями в Microsoft выкрутились тем, что якобы дают возможность самостоятельно настроить тип и количество передаваемых данных. Для этого необходимо установить пакет обновлений (для тех, у кого билд ниже 15063.0) и воспользоваться экраном конфиденциальности. Желательно сделать это еще на этапе установки.
Экран конфиденциальности при установке Windows 10
По задумке, у пользователя возникает ощущение, что если все отключено, то данные утекать не будут. Однако это намеренно создаваемая иллюзия. Давай запустим сниффер и посмотрим, как обстоят дела в действительности.
Методика тестирования
Все тесты проводились параллельно на двух тестовых сборках Windows 10 Pro — 1709 и 1803. Чтобы условия тестирования были идентичны, каждая «антишпионская» программа была развернута в клонах виртуалки. На скриншотах в статье сначала приводится снимок работы в 1709, а затем в 1803, если не указано иное. В качестве вспомогательных утилит использовались Wireshark 2.6.3 64 bit, TCPView v. 3.05 и Regshot v. 2.1.0.17.
Во всех тестируемых программах выбирались настройки блокировки по максимуму. Если какую-то функцию или приложение не заблокировать, то возникнет неопределенная погрешность. Будет непонятно: то ли это незаблокированный пункт приводит к сливу данных, то ли какую-то функцию программе не удалось отключить. Идеальный результат — это дамп сетевого трафика без IP-адресов Microsoft. Посмотрим, кто как справится с этой задачей, но для начала проверим штатные функции управления приватностью в Windows.
Проверка настроек приватности
Если оставить настройки по умолчанию, то после загрузки ОС сразу виден большой поток исходящего трафика на адреса Microsoft.
Мониторинг сетевого трафика с дефолтными настройками приватности
Теперь отключаем все, что отключается на экране приватности. Результат налицо.
Мониторинг сетевого трафика с обрезанной передачей телеметрии
Однако даже после переключения всех флажков в запрещающее положение некоторые данные сразу отправляются в облачную платформу Microsoft Azure, причем в Сингапуре. В логах Wireshark я заметил IP-адреса сетевых узлов Microsoft из разных стран мира. Видимо, так работает балансировка нагрузки. Соединение с ними не постоянное (вышел на связь, передал что надо и оборвал соединение). Пул адресов очень большой. Я их перепроверил и убедился, что почти все они принадлежат Microsoft или ее партнерским сетям.
Сравнение программ
Для сравнения мы отобрали следующие «антишпионские» программы: Blackbird 1.0.28, Destroy Windows 10 Spying 1.0.1.0, DoNotSpy10 4.0, O&O ShutUp10 1.6.1399, Disable Win Tracking 3.2.1 и WPD 1.2.940. У всех этих приложений одна цель — не дать Microsoft получить какие-либо данные известным путем. Не лишены они и разных плюшек типа блокировки обновлений. Вот примерный список того, что следует ожидать от таких утилит:
Как вообще работают эти утилиты?
Попытка добиться максимальной приватности с помощью подобных программ может привести к тому, что перестанут работать и нужные компоненты, слетит активация Windows, ОС будет вести себя нестабильно или вообще не загружаться. Настоятельно рекомендуем не ограничиваться встроенными в них средствами резервного копирования, а использовать сторонние программы для создания полного образа диска. С ним гарантированно останется возможность вернуть систему в исходное состояние, что бы с ней ни случилось в ходе экспериментов.
Blackbird 1.0.28
https://www.getblackbird.net
Программа работает в консольном режиме. У нее изначально всего три функции:
Интерфейс Blackbird
После сканирования выдается очень большой список «недочетов», которые надо исправить.
Сканирование в Blackbird
Пунктов в нем и вправду много, но есть очень спорные моменты. К примеру, первым делом резанул глаз пункт блокировки службы W32Time. Если комп будет в домене, то как синхронизировать время с сервером?
Перейдем к списку блокировки. Нажимаем А на главном экране программы и видим такую картинку.
Список приложений и служб для блокировки Blackbird
Обрати внимание, что в билде 1803 добавлены несколько новых функций, поэтому блокировке подлежит 78 пунктов, а не 70, как в 1709. Вот наглядный пример, почему для теста я выбрал два релиза Windows 10.
Разница в билдах Windows 10 в Blackbird
В списке компонентов, которые может отключить Blackbird, нет службы Windows Update. Само отключение сделано неудобно: нет готовых профилей настроек, каждый пункт приходится выбирать отдельно.
После выполненных действий в сборке 1709 удалось отключить все «следящие» функции, программа справилась на ура. На сборке 1803 одна функция так и не была отключена, причем их общее количество почему-то стало 79.
Blackbird не полностью справилась со сборкой 1803
Два дня наблюдений за поведением операционных систем показали, что после работы Blackbird исходящий трафик стал меньше в разы. Однако тестовый комп со сборкой 1803 постоянно передавал данные на IP 104.25.219.21. Shodan говорит, что он принадлежит известному облачному провайдеру Cloudflare. Насколько мне известно, Microsoft давно арендует у него хостинг для виртуальных серверов сбора статистики. Больше подобной сетевой активности не отмечалось, если не считать скачивания обновлений.
С блокировкой следящих функций Blackbird в целом справилась, но обе тестовые сборки из-за нее пришли в нерабочее состояние. Меню «Пуск» не открывается. Edge и IE не запускаются. Магазин приложений и почта пытаются запуститься, но сразу закрываются. В панели уведомлений висят сообщения, которые нельзя открыть. В общем, жить с настолько изуродованной операционкой невозможно. Хоть обновления установились без проблем!
При восстановлении из созданного Blackbird бэкапа лучше не стало. В сборке 1709 слетела активация Windows и появились две ошибки реестра. После перезагрузки ни одна проблема так и не была устранена. Сборка 1803 вообще не смогла запустить Blackbird для восстановления из бэкапа, начав ругаться на ошибку файловой системы (хотя с ФС все было в порядке).
Ошибки при восстановлении бэкапа
Вывод очевиден. Blackbird место в нашей бывшей рубрике «Западлостроение».
Destroy Windows 10 Spying 1.0.1.0
https://github.com/Nummer/Destroy-Windows-10-Spying
Destroy Windows 10 Spying — программка, которая, скорее всего, уже на слуху у каждого, кто задавался вопросом, как отключить передачу своих данных в Microsoft. Поговаривают, что после версии 1.0.1.0 сменился разработчик и в новые релизы начали вшивать троян. Поэтому воспользуемся последней официальной версией, которую выпустил Nummer.
Версия 1.0.1.0 написана в апреле 2018 года. На моих сборках она запустилась и определила их правильно. Помимо прочего, в программе есть функция отключения обновлений Windows, которой я заодно и воспользовался.
Destroy Windows 10 Spying 1.0.1.0
Все изменения вносятся при нажатии большой кнопки «Destroy Windows Spying NOW!». Работа программы проходит в три этапа: отключение «шпионских» сервисов, добавление известных IP-адресов в правила брандмауэра и прописывание URL серверов сбора статистики Microsoft в файл host. Затем следует перезагрузка с применением всех изменений.
Результаты работы DWS меня огорчили.
Дамп Wireshark после DWS
Исходящий трафик по «левым» адресам стал меньше, но по-прежнему наблюдалось активное общение с ненужными нам IP-адресами. Версия программы устарела, и в новых сборках Windows свою функцию она толком не выполняет. Однако утилита и не калечит операционку, как это делает Blackbird. Мои виртуальные компьютеры после DWS выжили. В течение трех дней никаких программных неполадок выявлено не было. Сразу после перезагрузки сборка 1709 зависала пару раз, но обошлось малой кровью, и все восстановилось.
С блокировкой Windows Update программа DWS тоже сработала криво. После четырех-пяти перезапусков Windows в логах TCPView снова засветился svhost, который как ни в чем не бывало продолжил доставлять обновления. Еще я обратил внимание на очень тесный диалог сборки 1709 с IP-адресом сервера в сети Akamai Technologies, сотрудничающей с Microsoft, и сильное увеличение пакетов SSDP. Возможно, винда сама перебирала запасные способы отправить данные, когда собственные серверы оказались частично недоступны.
DoNotSpy10 4.0
DoNotSpy10 » pXc-coding
Еще одна популярная программа с удобным интерфейсом. Для каждого пункта разработчик сделал небольшое описание, поэтому разобраться в ней просто — расставляй галочки, и вперед!
Интерфейс DoNotSpy10
Эта программа предоставляет возможность сделать точку отката системы до применения изменений (не бэкап настроек, а именно системную точку отката). На мой взгляд, с количеством функций в ней немного перестарались — очень уж много всяких фич. Применил я все по максимуму, и результат работы меня удивил. После четырех часов простоя систем они начали самостоятельно перезагружаться. Оказалось, что за это время по-тихому накатились «заблокированные» обновления. Wireshark собрал почти 400 тысяч пакетов за час, чего с другими программами не наблюдалось. Большинство пакетов было адресовано именно туда, куда DoNotSpy10 должна была запретить их отсылать. Вдобавок ко всему слетели лицензии с обеих ОС.
Программа DoNotSpy10 наверняка понравится мазохистам и разочарует всех остальных.
O&O ShutUp10 1.6.1399
O&O ShutUp10 -Free antispy tool for Windows 10
Эта программка немецких разработчиков O&O Software имеет удобный интерфейс и несколько профилей настроек. Можно применить только рекомендуемые или все сразу в один клик. Также среди плюсов отмечу импорт и экспорт параметров реестра. Как показала практика, это очень важный момент. Машинный перевод на русский режет глаз, но его достаточно для понимания подсказок, которые всплывают при нажатии на строку отключения функции.
В окне программы сделана колонка с названием «Рекомендовано?», а в ней пункты с пометкой «НЕТ». Сначала кажется, что это какие-то особо опасные твики, но среди них перечислены и автообновления.
Сразу хочу отметить одну важную деталь: в сборке 1709 программа предлагает изменить 97 пунктов, а в 1803 — уже 100. Добавленные три пункта находятся в разделе «Конфиденциальность приложений» и запрещают доступ к документам, изображениям и видео.
Различие O&O ShutUp10 на разных сборках Windows 10
При выборе первой же «следящей» функции программа выдала предупреждение о том, что в системе отключена функция создания точек восстановления. Еще один плюс в карму!
Как и во всех предыдущих тестах, я выбрал настройки «ультра», чтобы по максимуму использовать возможности программы. Сразу перед закрытием O&O ShutUp10 предупредила, что если на комп накатятся (а по мнению разработчиков, они все равно накатятся) обновления, то придется запускать программу заново и возвращать настройки. Почему бы тогда полностью не заблокировать их установку?
Второе немецкое предупреждение
Еще одно небольшое наблюдение (это придирка, но перфекционист внутри меня негодует): после предупреждения программа предлагает перезагрузиться, но не может выполнить перезагрузку ни в сборке 1709, ни в сборке 1803. Обе пришлось ребутить вручную.
Сразу после следующей загрузки ОС и до запуска Wireshark TCPView показал неприятную картину. Опять процессы общаются с адресами MS!
Запрет сработал только частично
Дамп Wireshark тоже не порадовал. Явно видна установка сессии и передача данных, хотя пакетов отправляется и не так много.
Дамп трафика Windows 10 1803
Как и ожидалось, svhost подкачивает обновления, хотя я отключил их в O&O ShutUp10, указав два связанных с Windows Update пункта.
Через пять-восемь часов пропал доступ к интернету. Вернуть его удалось перезагрузкой сетевого адаптера, но следующая проверка наличия обновлений в Windows закончилась неудачей.
Ошибка обновлений
Спустя сутки изменились два параметра: были отключены «Запретить выполнение приложений в фоновом режиме» и «Отключение телеметрии (3 из 3)». На 1709 подобного не наблюдалось.
O&O ShutUp10
Через два дня после использования O&O ShutUp10 полет нормальный и картина в целом радует. Изредка в сетевом трафике проскакивают адреса серверов Microsoft из разных стран. В сборке 1803 с ними общаются в основном backgroundTaskHost, dasHost.exe и svhost (последний держит устойчивое соединение на протяжении всей работы), а в 1709 — только svhost. Кроме того, в сборке 1803 после каждого перезапуска программы отключается параметр «Запретить выполнение приложений в фоновом режиме» (за 1709 такого поведения не замечено) и автоматически восстанавливаются отдельные параметры, которые O&O ShutUp10 ранее выключила или заблокировала. Получается, что Windows 10 1709 она покорила, а вот 1803 ей пока не по зубам.
Возврат настроек прошел безболезненно. Тут и говорить особо не о чем.
К работе самих ОС после использования O&O ShutUp10 никаких нареканий нет. Несколько раз был удивлен более быстрой работой (с нищебродскими ресурсами, выделенными на одну основную и две гостевые ОС, мне это очень сильно заметно).
Disable Win Tracking
10se1ucgo/DisableWinTracking
Disable Win Tracking 3.2.1 — еще одна небольшая и простая утилита со спартанским интерфейсом. Обновилась она в начале года, но про поддержку разных билдов Windows ничего не сказано.
Disable Win Tracking
Пункт Services имеет на выбор два режима: удалить службы и отключить их (я выбирал удалить). Действия производятся с двумя службами: DiagTrack (сервис контроля за сбором диагностических данных) и dmwappushsvc (служба маршрутизации WAP Push Message). Все остальное довольно просто и понятно. При выделении части пунктов утилита заботливо предупредит, что, если отключаешь какие-то функции, будут последствия и некоторые приложения могут перестать работать.
INFO
Изначально DiagTrack распространялся как опциональное обновление KB3022345. Этот «шпионский» сервис можно было вообще не устанавливать или удалить штатными средствами, но в конце 2015 года хитрецы из Microsoft переименовали его в Connected User Experiences and Telemetry и зашили в систему как обязательный компонент.
Нажимаем GO, и после завершения нам выдается подробный отчет о проделанной работе. Любопытно полистать и посмотреть, что все же программа делает.
Через три дня теста установились очередные обновления. Служба dmwappushsvc снова появилась в списке, но была в отключенном состоянии. По результатам мониторинга сети: адреса Microsoft и Akamai в логах никуда не делись. Мои операционки регулярно выходили с ними на связь, но трафика стало меньше. На стабильности работы ОС действия Disable Win Tracking никак не отразились, а вот Skype перестал работать. Вмешательства в систему оказались минимальные: добавление правил для встроенного файрвола и несколько правок реестра.
Windows Privacy Dashboard
WPD
Последняя утилита, которую хотелось бы разобрать, — WPD 1.2.940. На момент написания статьи текущий релиз был от 11 октября 2018 года, но правила блокировки следящих компонентов в нем использовались от 16 сентября. Заявлена поддержка Windows 10 вплоть до 1809. Функции программы разбиты на три раздела: управление конфиденциальностью, создание правил файрвола и удаление установленных программ («мусор», как их назвали разработчики).
Управление конфиденциальностью отключает правила в планировщике, некоторые службы и вносит изменения в реестр. Правила файрвола создаются исходя из выбранного режима приватности: Spy и Extra. При выборе последнего блокируются OneDrive, Skype, Live и подобное (об этом программа предупреждает). Как и во всех случаях, я постарался выжать из этой утилиты все, кроме удаления приложений.
За четыре дня тестов я не выявил нареканий в работе ОС — обе тестовые операционки работали стабильно. Я доволен программой не меньше, чем O&O ShutUp10. После работы WPD в логах осталось минимальное количество соединений с серверами Microsoft и ее партнеров, а сами пакеты были очень маленькие.
Большую часть изменений WPD вносит в реестр. Вот как выглядит результат ее работы в Windows 1803.
Фрагмент изменений в реестре после WPD
Снимки реестра я сравнивал программой Regshot. Перечислять все измененные ключи было бы слишком утомительно. Думаю, что цифра в строке «Удаленные/Новые параметры» говорит сама за себя.
Новые ключи реестра
Программа создала одно правило файрвола, прописав в него кучу IP-адресов.
Правило файрвола
В общем, WPD отработала весьма неплохо.
Отключаем слежку вручную
Давай попробуем сделать вручную часть действий описанных программ. Выполним основные блокировки, о которых я говорил выше. Все действия — на свой страх и риск! Перед редактированием реестра рекомендую создать резервную копию
Отключаем запись активности пользователя
За это отвечает функция Timeline. Заходим в редактор реестра (regedit), идем по пути HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System. Создаем 32-разрядный DWORD со значением 0 и названием EnableActivityFeed.
Отключаем «кейлоггер»
Речь о той самой службе dmwappushsvc. Идем по ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dmwappushsvc и присваиваем dmwappushsvc значение 4 (здесь же можно сразу выключить и DiagTrack).
Отключаем телеметрию
Тут надо пояснить, что современные сборки Windows не позволяют полностью отключить телеметрию без потери существенных функций системы. Есть три варианта настройки передачи собранных данных: «Базовая настройка», «Расширенная» и «Полные данные». Еще есть раздел «Безопасность», но он присутствует только в Enterprise. Через реестр мы можем задать минимальный уровень сбора телеметрии: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollection (если параметра DataCollection нет, его нужно создать). Создаем DWORD 32 бит c названием AllowTelemetry и присваиваем ему значение 1.
Отключаем сбор данных о местоположении
Идем по ветке HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\DeviceAccess\Global\{BFA794E4-F964-4FDB-90F6-51056BFE4B44} и присваиваем этому параметру значение Allow.
Отключаем Cortana
В ключе HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Windows Search параметру Allow Cortana присваиваем значение 0.
Отключаем OneDrive
По адресу HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Skydriveнаходим или создаем параметр DisableFileSync типа DWORD 32 бит и присваиваем ему значение 1.
Выключаем отправку телеметрии в планировщике задач
Помимо телеметрии, в планировщике есть куча изначально созданных задач, которые отнимают ресурсы и работают без ведома пользователя. В основном они собирают телеметрические данные для «программы по улучшению пользовательского опыта» и сервиса облачной защиты SmartScreen.
Отключить всю эту богадельню можно следующими командами:
schtasks /Change /TN "Microsoft\Windows\AppID\SmartScreenSpecific" /Disable
schtasks /Change /TN "Microsoft\Windows\Application Experience\ProgramDataUpdater" /Disable schtasks /Change /TN "Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser" /Disable
schtasks /Change /TN "Microsoft\Windows\Autochk\Proxy" /Disable
schtasks /Change /TN "Microsoft\Windows\Customer Experience Improvement Program\Consolidator" /Disable
schtasks /Change /TN "Microsoft\Windows\Customer Experience Improvement Program\KernelCeipTask" /Disable
schtasks /Change /TN "Microsoft\Windows\CloudExperienceHost\CreateObjectTask" /Disable
schtasks /Change /TN "Microsoft\Windows\DiskDiagnostic\Microsoft-Windows-DiskDiagnosticDataCollector" /Disable
schtasks /Change /TN "Microsoft\Windows\Maintenance\WinSAT" /Disable
schtasks /Change /TN "Microsoft\Windows\NetTrace\GatherNetworkInfo" /Disable
schtasks /Change /TN "Microsoft\Windows\Shell\FamilySafetyMonitor" /Disable
schtasks /Change /TN "Microsoft\Office\OfficeTelemetryAgentFallBack" /Disable
schtasks /Change /TN "Microsoft\Office\OfficeTelemetryAgentLogOn" /Disable
Блокируем отправку данных на серверы Microsoft
В интернете есть множество ресурсов, на которых регулярно обновляют списки адресов «шпионских» серверов Microsoft. К примеру, на aeronet.cz можно найти основной перечень. Проще всего добавить их в hosts и создать запрещающие правила в файрволе.
Правила брандмауэра Windows
Я использовал оба метода. На один из заблокированных адресов Windows вышла уже спустя час работы, но размер сетевого пакета оказался нулевым.
Попытка соединения с заблокированным адресом
Некоторые эксперты по безопасности считают, что системные процессы Windows (включая «шпионские») могут обходить запреты в hosts и во встроенном файрволе. Теоретически блокировку URL в hosts можно обойти прямым обращением по IP, а блокировку IP в программном брандмауэре — через dnsapi.dll и перехват функций создания протоколов на уровне NDIS другими компонентами ядра Windows. Однако в ходе своего мини-эксперимента я не заметил паразитного трафика. После блокировки в hosts и правилами файрвола попытки установить соединение со «шпионскими» серверами продолжались, но исходящие пакеты были нулевыми, а входящих не было вовсе.
Блокируем обновления
На десерт решил показать еще одну небольшую программку, предназначение которой — лишь блокировать обновления (что большинство программ так и не смогли сделать, хотя функция была заявлена). Это StopUpdates10 2.0.32.
StopUpdates10
Интерфейс программы ограничивается одной кнопкой. Нажимаем, перезагружаем, тестируем.
За два дня тестов программа не допустила скачивания обновлений, хотя Windows усердно (и безуспешно) пыталась их найти. Немного раздражали сообщения Windows об ошибке установки компонентов.
Сообщение об ошибке
После двух дней простоя и десятка перезагрузок я попробовал проверить наличие обновлений вручную, что также закончилось неудачей. В списке установленных были только те обновления, которые успели скачаться до запуска программы.
Выводы
Мы рассмотрели шесть программ для отключения слежки и настроек приватности в актуальных сборках Windows 10. Подобных утилит очень много. Их авторы копируют наработки друг у друга (Fork me on GitHub!), стремясь сделать списки изменяемых параметров и блокируемых адресов как можно больше. Они редко утруждают себя их проверкой (особенно продолжительной), а проблемы с операционкой обычно появляются не сразу после применения твиков. Это бомба замедленного действия.
Развитие большинства «антишпионских» утилит для Windows 10 остановилось в 2016–2017 годах из-за постоянной гонки вооружений. Microsoft часто меняет IP-адреса своих серверов, арендует облачные в Cloudflare и перенаправляет часть трафика в партнерскую сеть Akamai Technologies. По факту ей принадлежит очень динамичный пул айпишников и несколько крупных сетей. Все не успеешь отследить и заблокировать. К тому же один URL часто используется для соединения с разными IP-адресами или многофункциональным сервером, который нужен для нормальной работы других (не «шпионских») компонентов Windows.
Добавить сетевые адреса сборщиков данных Microsoft можно и вручную, просто найдя такие списки на GitHub и профильных форумах. Нужно скачать их, объединить, отредактировать, проверить (самая сложная часть) и только потом применить «сухой остаток». Придется делать очень много рутинной работы, чтобы хоть на какое-то время результат был стабильным. Потом выйдут обновления Windows, добавятся новые сетевые адреса, твой кропотливо созданный список устареет, и все придется начинать сначала.
Из протестированных программ более или менее справились со своей задачей только O&O ShutUp10 и WPD, хотя и их работу сложно назвать идеальной. Часть настроек приватности меняется штатными средствами самой Windows 10, но в интерфейсе отображаются далеко не все настройки. Если утилита умеет изменять какие-то дополнительные и «глубокие» — в ней есть смысл. Просто надо очень аккуратно с ней работать, тщательно выбирать блокируемые параметры и делать бэкапы до их применения.
Источник
С выхода Windows 10 прошло уже три с лишним года, а проблема слива пользовательских данных на серверы Microsoft так и не решена. Более того, она усугубилась принудительным сбросом настроек приватности и перезапуском отключенной службы обновлений. В этой статье мы сравним несколько утилит для управления «шпионскими» компонентами ОС и посмотрим, насколько они эффективны на современных сборках Windows 10.
В Microsoft никогда не скрывали, что собирают сведения о пользователях, просто раньше ограничивались витиеватыми фразами об отправке «некоторых сведений в целях улучшения пользовательского опыта». После вступления в силу Европейского регламента по защите данных и ряда других законов юристам компании пришлось раскрыть подробности. Вот здесьможно почитать о том, какие данные собираются, куда передаются, как обрабатываются и в каких случаях раскрываются.
Перед потребителями в Microsoft выкрутились тем, что якобы дают возможность самостоятельно настроить тип и количество передаваемых данных. Для этого необходимо установить пакет обновлений (для тех, у кого билд ниже 15063.0) и воспользоваться экраном конфиденциальности. Желательно сделать это еще на этапе установки.
Экран конфиденциальности при установке Windows 10
По задумке, у пользователя возникает ощущение, что если все отключено, то данные утекать не будут. Однако это намеренно создаваемая иллюзия. Давай запустим сниффер и посмотрим, как обстоят дела в действительности.
Методика тестирования
Все тесты проводились параллельно на двух тестовых сборках Windows 10 Pro — 1709 и 1803. Чтобы условия тестирования были идентичны, каждая «антишпионская» программа была развернута в клонах виртуалки. На скриншотах в статье сначала приводится снимок работы в 1709, а затем в 1803, если не указано иное. В качестве вспомогательных утилит использовались Wireshark 2.6.3 64 bit, TCPView v. 3.05 и Regshot v. 2.1.0.17.
Во всех тестируемых программах выбирались настройки блокировки по максимуму. Если какую-то функцию или приложение не заблокировать, то возникнет неопределенная погрешность. Будет непонятно: то ли это незаблокированный пункт приводит к сливу данных, то ли какую-то функцию программе не удалось отключить. Идеальный результат — это дамп сетевого трафика без IP-адресов Microsoft. Посмотрим, кто как справится с этой задачей, но для начала проверим штатные функции управления приватностью в Windows.
Проверка настроек приватности
Если оставить настройки по умолчанию, то после загрузки ОС сразу виден большой поток исходящего трафика на адреса Microsoft.
Мониторинг сетевого трафика с дефолтными настройками приватности
Теперь отключаем все, что отключается на экране приватности. Результат налицо.
Мониторинг сетевого трафика с обрезанной передачей телеметрии
Однако даже после переключения всех флажков в запрещающее положение некоторые данные сразу отправляются в облачную платформу Microsoft Azure, причем в Сингапуре. В логах Wireshark я заметил IP-адреса сетевых узлов Microsoft из разных стран мира. Видимо, так работает балансировка нагрузки. Соединение с ними не постоянное (вышел на связь, передал что надо и оборвал соединение). Пул адресов очень большой. Я их перепроверил и убедился, что почти все они принадлежат Microsoft или ее партнерским сетям.
Сравнение программ
Для сравнения мы отобрали следующие «антишпионские» программы: Blackbird 1.0.28, Destroy Windows 10 Spying 1.0.1.0, DoNotSpy10 4.0, O&O ShutUp10 1.6.1399, Disable Win Tracking 3.2.1 и WPD 1.2.940. У всех этих приложений одна цель — не дать Microsoft получить какие-либо данные известным путем. Не лишены они и разных плюшек типа блокировки обновлений. Вот примерный список того, что следует ожидать от таких утилит:
- отключение записи активности пользователя;
- отключение отправки данных о вводе с клавиатуры;
- отключение отправки образцов рукописного ввода;
- отключение сбора диагностических данных (телеметрии);
- отключение сбора данных о местоположении;
- отключение и сброс персональных настроек Cortana;
- отключение доступа в интернет для Windows Media DRM;
- отключение доступа приложений к информации об учетной записи, календарю, сообщениям, камере, микрофону и местоположению;
- (опционально) отключение службы обновления Windows для других продуктов.
Как вообще работают эти утилиты?
- Изменяют ключи реестра, отвечающие за настройки приватности.
- Добавляют в файл %WINDIR%\System32\drivers\etc\hosts известные авторам программы URL сетевых узлов, на которые Microsoft сливает данные.
- Добавляют в брандмауэр Windows наборы запрещающих правил, блокирующие подключение к известным IP-адресам Microsoft.
- Останавливают «следящие» службы.
- Удаляют «шпионские» задания планировщика.
- В хардкорном варианте удаляют системные файлы и каталоги, отвечающие за «шпионские» функции.
Попытка добиться максимальной приватности с помощью подобных программ может привести к тому, что перестанут работать и нужные компоненты, слетит активация Windows, ОС будет вести себя нестабильно или вообще не загружаться. Настоятельно рекомендуем не ограничиваться встроенными в них средствами резервного копирования, а использовать сторонние программы для создания полного образа диска. С ним гарантированно останется возможность вернуть систему в исходное состояние, что бы с ней ни случилось в ходе экспериментов.
Blackbird 1.0.28
https://www.getblackbird.net
Программа работает в консольном режиме. У нее изначально всего три функции:
- сканировать систему и вывести все (по мнению разработчика) обнаруженные проблемы;
- запустить менеджер блокировки;
- сделать бэкап настроек. Вот эту функцию хочу особо отметить. Не каждая программа позволяет это сделать, так что, если что-то пошло не так, просто восстанавливаем настройки до блокировки и работаем дальше. Бэкап помещается в папку с программой, и, когда он сделан, программа меняет одну из своих функций с «Бэкапировать» на «Восстановить из бэкапа».
Интерфейс Blackbird
После сканирования выдается очень большой список «недочетов», которые надо исправить.
Сканирование в Blackbird
Пунктов в нем и вправду много, но есть очень спорные моменты. К примеру, первым делом резанул глаз пункт блокировки службы W32Time. Если комп будет в домене, то как синхронизировать время с сервером?
Перейдем к списку блокировки. Нажимаем А на главном экране программы и видим такую картинку.
Список приложений и служб для блокировки Blackbird
Обрати внимание, что в билде 1803 добавлены несколько новых функций, поэтому блокировке подлежит 78 пунктов, а не 70, как в 1709. Вот наглядный пример, почему для теста я выбрал два релиза Windows 10.
Разница в билдах Windows 10 в Blackbird
В списке компонентов, которые может отключить Blackbird, нет службы Windows Update. Само отключение сделано неудобно: нет готовых профилей настроек, каждый пункт приходится выбирать отдельно.
После выполненных действий в сборке 1709 удалось отключить все «следящие» функции, программа справилась на ура. На сборке 1803 одна функция так и не была отключена, причем их общее количество почему-то стало 79.
Blackbird не полностью справилась со сборкой 1803
Два дня наблюдений за поведением операционных систем показали, что после работы Blackbird исходящий трафик стал меньше в разы. Однако тестовый комп со сборкой 1803 постоянно передавал данные на IP 104.25.219.21. Shodan говорит, что он принадлежит известному облачному провайдеру Cloudflare. Насколько мне известно, Microsoft давно арендует у него хостинг для виртуальных серверов сбора статистики. Больше подобной сетевой активности не отмечалось, если не считать скачивания обновлений.
С блокировкой следящих функций Blackbird в целом справилась, но обе тестовые сборки из-за нее пришли в нерабочее состояние. Меню «Пуск» не открывается. Edge и IE не запускаются. Магазин приложений и почта пытаются запуститься, но сразу закрываются. В панели уведомлений висят сообщения, которые нельзя открыть. В общем, жить с настолько изуродованной операционкой невозможно. Хоть обновления установились без проблем!
При восстановлении из созданного Blackbird бэкапа лучше не стало. В сборке 1709 слетела активация Windows и появились две ошибки реестра. После перезагрузки ни одна проблема так и не была устранена. Сборка 1803 вообще не смогла запустить Blackbird для восстановления из бэкапа, начав ругаться на ошибку файловой системы (хотя с ФС все было в порядке).
Ошибки при восстановлении бэкапа
Вывод очевиден. Blackbird место в нашей бывшей рубрике «Западлостроение».
Destroy Windows 10 Spying 1.0.1.0
https://github.com/Nummer/Destroy-Windows-10-Spying
Destroy Windows 10 Spying — программка, которая, скорее всего, уже на слуху у каждого, кто задавался вопросом, как отключить передачу своих данных в Microsoft. Поговаривают, что после версии 1.0.1.0 сменился разработчик и в новые релизы начали вшивать троян. Поэтому воспользуемся последней официальной версией, которую выпустил Nummer.
Версия 1.0.1.0 написана в апреле 2018 года. На моих сборках она запустилась и определила их правильно. Помимо прочего, в программе есть функция отключения обновлений Windows, которой я заодно и воспользовался.
Destroy Windows 10 Spying 1.0.1.0
Все изменения вносятся при нажатии большой кнопки «Destroy Windows Spying NOW!». Работа программы проходит в три этапа: отключение «шпионских» сервисов, добавление известных IP-адресов в правила брандмауэра и прописывание URL серверов сбора статистики Microsoft в файл host. Затем следует перезагрузка с применением всех изменений.
Результаты работы DWS меня огорчили.
Дамп Wireshark после DWS
Исходящий трафик по «левым» адресам стал меньше, но по-прежнему наблюдалось активное общение с ненужными нам IP-адресами. Версия программы устарела, и в новых сборках Windows свою функцию она толком не выполняет. Однако утилита и не калечит операционку, как это делает Blackbird. Мои виртуальные компьютеры после DWS выжили. В течение трех дней никаких программных неполадок выявлено не было. Сразу после перезагрузки сборка 1709 зависала пару раз, но обошлось малой кровью, и все восстановилось.
С блокировкой Windows Update программа DWS тоже сработала криво. После четырех-пяти перезапусков Windows в логах TCPView снова засветился svhost, который как ни в чем не бывало продолжил доставлять обновления. Еще я обратил внимание на очень тесный диалог сборки 1709 с IP-адресом сервера в сети Akamai Technologies, сотрудничающей с Microsoft, и сильное увеличение пакетов SSDP. Возможно, винда сама перебирала запасные способы отправить данные, когда собственные серверы оказались частично недоступны.
DoNotSpy10 4.0
DoNotSpy10 » pXc-coding
Еще одна популярная программа с удобным интерфейсом. Для каждого пункта разработчик сделал небольшое описание, поэтому разобраться в ней просто — расставляй галочки, и вперед!
Интерфейс DoNotSpy10
Эта программа предоставляет возможность сделать точку отката системы до применения изменений (не бэкап настроек, а именно системную точку отката). На мой взгляд, с количеством функций в ней немного перестарались — очень уж много всяких фич. Применил я все по максимуму, и результат работы меня удивил. После четырех часов простоя систем они начали самостоятельно перезагружаться. Оказалось, что за это время по-тихому накатились «заблокированные» обновления. Wireshark собрал почти 400 тысяч пакетов за час, чего с другими программами не наблюдалось. Большинство пакетов было адресовано именно туда, куда DoNotSpy10 должна была запретить их отсылать. Вдобавок ко всему слетели лицензии с обеих ОС.
Программа DoNotSpy10 наверняка понравится мазохистам и разочарует всех остальных.
O&O ShutUp10 1.6.1399
O&O ShutUp10 -Free antispy tool for Windows 10
Эта программка немецких разработчиков O&O Software имеет удобный интерфейс и несколько профилей настроек. Можно применить только рекомендуемые или все сразу в один клик. Также среди плюсов отмечу импорт и экспорт параметров реестра. Как показала практика, это очень важный момент. Машинный перевод на русский режет глаз, но его достаточно для понимания подсказок, которые всплывают при нажатии на строку отключения функции.
В окне программы сделана колонка с названием «Рекомендовано?», а в ней пункты с пометкой «НЕТ». Сначала кажется, что это какие-то особо опасные твики, но среди них перечислены и автообновления.
Сразу хочу отметить одну важную деталь: в сборке 1709 программа предлагает изменить 97 пунктов, а в 1803 — уже 100. Добавленные три пункта находятся в разделе «Конфиденциальность приложений» и запрещают доступ к документам, изображениям и видео.
Различие O&O ShutUp10 на разных сборках Windows 10
При выборе первой же «следящей» функции программа выдала предупреждение о том, что в системе отключена функция создания точек восстановления. Еще один плюс в карму!
Как и во всех предыдущих тестах, я выбрал настройки «ультра», чтобы по максимуму использовать возможности программы. Сразу перед закрытием O&O ShutUp10 предупредила, что если на комп накатятся (а по мнению разработчиков, они все равно накатятся) обновления, то придется запускать программу заново и возвращать настройки. Почему бы тогда полностью не заблокировать их установку?
Второе немецкое предупреждение
Еще одно небольшое наблюдение (это придирка, но перфекционист внутри меня негодует): после предупреждения программа предлагает перезагрузиться, но не может выполнить перезагрузку ни в сборке 1709, ни в сборке 1803. Обе пришлось ребутить вручную.
Сразу после следующей загрузки ОС и до запуска Wireshark TCPView показал неприятную картину. Опять процессы общаются с адресами MS!
Запрет сработал только частично
Дамп Wireshark тоже не порадовал. Явно видна установка сессии и передача данных, хотя пакетов отправляется и не так много.
Дамп трафика Windows 10 1803
Как и ожидалось, svhost подкачивает обновления, хотя я отключил их в O&O ShutUp10, указав два связанных с Windows Update пункта.
Через пять-восемь часов пропал доступ к интернету. Вернуть его удалось перезагрузкой сетевого адаптера, но следующая проверка наличия обновлений в Windows закончилась неудачей.
Ошибка обновлений
Спустя сутки изменились два параметра: были отключены «Запретить выполнение приложений в фоновом режиме» и «Отключение телеметрии (3 из 3)». На 1709 подобного не наблюдалось.
O&O ShutUp10
Через два дня после использования O&O ShutUp10 полет нормальный и картина в целом радует. Изредка в сетевом трафике проскакивают адреса серверов Microsoft из разных стран. В сборке 1803 с ними общаются в основном backgroundTaskHost, dasHost.exe и svhost (последний держит устойчивое соединение на протяжении всей работы), а в 1709 — только svhost. Кроме того, в сборке 1803 после каждого перезапуска программы отключается параметр «Запретить выполнение приложений в фоновом режиме» (за 1709 такого поведения не замечено) и автоматически восстанавливаются отдельные параметры, которые O&O ShutUp10 ранее выключила или заблокировала. Получается, что Windows 10 1709 она покорила, а вот 1803 ей пока не по зубам.
Возврат настроек прошел безболезненно. Тут и говорить особо не о чем.
К работе самих ОС после использования O&O ShutUp10 никаких нареканий нет. Несколько раз был удивлен более быстрой работой (с нищебродскими ресурсами, выделенными на одну основную и две гостевые ОС, мне это очень сильно заметно).
Disable Win Tracking
10se1ucgo/DisableWinTracking
Disable Win Tracking 3.2.1 — еще одна небольшая и простая утилита со спартанским интерфейсом. Обновилась она в начале года, но про поддержку разных билдов Windows ничего не сказано.
Disable Win Tracking
Пункт Services имеет на выбор два режима: удалить службы и отключить их (я выбирал удалить). Действия производятся с двумя службами: DiagTrack (сервис контроля за сбором диагностических данных) и dmwappushsvc (служба маршрутизации WAP Push Message). Все остальное довольно просто и понятно. При выделении части пунктов утилита заботливо предупредит, что, если отключаешь какие-то функции, будут последствия и некоторые приложения могут перестать работать.
INFO
Изначально DiagTrack распространялся как опциональное обновление KB3022345. Этот «шпионский» сервис можно было вообще не устанавливать или удалить штатными средствами, но в конце 2015 года хитрецы из Microsoft переименовали его в Connected User Experiences and Telemetry и зашили в систему как обязательный компонент.
Нажимаем GO, и после завершения нам выдается подробный отчет о проделанной работе. Любопытно полистать и посмотреть, что все же программа делает.
Через три дня теста установились очередные обновления. Служба dmwappushsvc снова появилась в списке, но была в отключенном состоянии. По результатам мониторинга сети: адреса Microsoft и Akamai в логах никуда не делись. Мои операционки регулярно выходили с ними на связь, но трафика стало меньше. На стабильности работы ОС действия Disable Win Tracking никак не отразились, а вот Skype перестал работать. Вмешательства в систему оказались минимальные: добавление правил для встроенного файрвола и несколько правок реестра.
Windows Privacy Dashboard
WPD
Последняя утилита, которую хотелось бы разобрать, — WPD 1.2.940. На момент написания статьи текущий релиз был от 11 октября 2018 года, но правила блокировки следящих компонентов в нем использовались от 16 сентября. Заявлена поддержка Windows 10 вплоть до 1809. Функции программы разбиты на три раздела: управление конфиденциальностью, создание правил файрвола и удаление установленных программ («мусор», как их назвали разработчики).
Управление конфиденциальностью отключает правила в планировщике, некоторые службы и вносит изменения в реестр. Правила файрвола создаются исходя из выбранного режима приватности: Spy и Extra. При выборе последнего блокируются OneDrive, Skype, Live и подобное (об этом программа предупреждает). Как и во всех случаях, я постарался выжать из этой утилиты все, кроме удаления приложений.
За четыре дня тестов я не выявил нареканий в работе ОС — обе тестовые операционки работали стабильно. Я доволен программой не меньше, чем O&O ShutUp10. После работы WPD в логах осталось минимальное количество соединений с серверами Microsoft и ее партнеров, а сами пакеты были очень маленькие.
Большую часть изменений WPD вносит в реестр. Вот как выглядит результат ее работы в Windows 1803.
Фрагмент изменений в реестре после WPD
Снимки реестра я сравнивал программой Regshot. Перечислять все измененные ключи было бы слишком утомительно. Думаю, что цифра в строке «Удаленные/Новые параметры» говорит сама за себя.
Новые ключи реестра
Программа создала одно правило файрвола, прописав в него кучу IP-адресов.
Правило файрвола
В общем, WPD отработала весьма неплохо.
Отключаем слежку вручную
Давай попробуем сделать вручную часть действий описанных программ. Выполним основные блокировки, о которых я говорил выше. Все действия — на свой страх и риск! Перед редактированием реестра рекомендую создать резервную копию
Отключаем запись активности пользователя
За это отвечает функция Timeline. Заходим в редактор реестра (regedit), идем по пути HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System. Создаем 32-разрядный DWORD со значением 0 и названием EnableActivityFeed.
Отключаем «кейлоггер»
Речь о той самой службе dmwappushsvc. Идем по ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dmwappushsvc и присваиваем dmwappushsvc значение 4 (здесь же можно сразу выключить и DiagTrack).
Отключаем телеметрию
Тут надо пояснить, что современные сборки Windows не позволяют полностью отключить телеметрию без потери существенных функций системы. Есть три варианта настройки передачи собранных данных: «Базовая настройка», «Расширенная» и «Полные данные». Еще есть раздел «Безопасность», но он присутствует только в Enterprise. Через реестр мы можем задать минимальный уровень сбора телеметрии: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollection (если параметра DataCollection нет, его нужно создать). Создаем DWORD 32 бит c названием AllowTelemetry и присваиваем ему значение 1.
Отключаем сбор данных о местоположении
Идем по ветке HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\DeviceAccess\Global\{BFA794E4-F964-4FDB-90F6-51056BFE4B44} и присваиваем этому параметру значение Allow.
Отключаем Cortana
В ключе HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Windows Search параметру Allow Cortana присваиваем значение 0.
Отключаем OneDrive
По адресу HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Skydriveнаходим или создаем параметр DisableFileSync типа DWORD 32 бит и присваиваем ему значение 1.
Выключаем отправку телеметрии в планировщике задач
Помимо телеметрии, в планировщике есть куча изначально созданных задач, которые отнимают ресурсы и работают без ведома пользователя. В основном они собирают телеметрические данные для «программы по улучшению пользовательского опыта» и сервиса облачной защиты SmartScreen.
Отключить всю эту богадельню можно следующими командами:
schtasks /Change /TN "Microsoft\Windows\AppID\SmartScreenSpecific" /Disable
schtasks /Change /TN "Microsoft\Windows\Application Experience\ProgramDataUpdater" /Disable schtasks /Change /TN "Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser" /Disable
schtasks /Change /TN "Microsoft\Windows\Autochk\Proxy" /Disable
schtasks /Change /TN "Microsoft\Windows\Customer Experience Improvement Program\Consolidator" /Disable
schtasks /Change /TN "Microsoft\Windows\Customer Experience Improvement Program\KernelCeipTask" /Disable
schtasks /Change /TN "Microsoft\Windows\CloudExperienceHost\CreateObjectTask" /Disable
schtasks /Change /TN "Microsoft\Windows\DiskDiagnostic\Microsoft-Windows-DiskDiagnosticDataCollector" /Disable
schtasks /Change /TN "Microsoft\Windows\Maintenance\WinSAT" /Disable
schtasks /Change /TN "Microsoft\Windows\NetTrace\GatherNetworkInfo" /Disable
schtasks /Change /TN "Microsoft\Windows\Shell\FamilySafetyMonitor" /Disable
schtasks /Change /TN "Microsoft\Office\OfficeTelemetryAgentFallBack" /Disable
schtasks /Change /TN "Microsoft\Office\OfficeTelemetryAgentLogOn" /Disable
Блокируем отправку данных на серверы Microsoft
В интернете есть множество ресурсов, на которых регулярно обновляют списки адресов «шпионских» серверов Microsoft. К примеру, на aeronet.cz можно найти основной перечень. Проще всего добавить их в hosts и создать запрещающие правила в файрволе.
Правила брандмауэра Windows
Я использовал оба метода. На один из заблокированных адресов Windows вышла уже спустя час работы, но размер сетевого пакета оказался нулевым.
Попытка соединения с заблокированным адресом
Некоторые эксперты по безопасности считают, что системные процессы Windows (включая «шпионские») могут обходить запреты в hosts и во встроенном файрволе. Теоретически блокировку URL в hosts можно обойти прямым обращением по IP, а блокировку IP в программном брандмауэре — через dnsapi.dll и перехват функций создания протоколов на уровне NDIS другими компонентами ядра Windows. Однако в ходе своего мини-эксперимента я не заметил паразитного трафика. После блокировки в hosts и правилами файрвола попытки установить соединение со «шпионскими» серверами продолжались, но исходящие пакеты были нулевыми, а входящих не было вовсе.
Блокируем обновления
На десерт решил показать еще одну небольшую программку, предназначение которой — лишь блокировать обновления (что большинство программ так и не смогли сделать, хотя функция была заявлена). Это StopUpdates10 2.0.32.
StopUpdates10
Интерфейс программы ограничивается одной кнопкой. Нажимаем, перезагружаем, тестируем.
За два дня тестов программа не допустила скачивания обновлений, хотя Windows усердно (и безуспешно) пыталась их найти. Немного раздражали сообщения Windows об ошибке установки компонентов.
Сообщение об ошибке
После двух дней простоя и десятка перезагрузок я попробовал проверить наличие обновлений вручную, что также закончилось неудачей. В списке установленных были только те обновления, которые успели скачаться до запуска программы.
Выводы
Мы рассмотрели шесть программ для отключения слежки и настроек приватности в актуальных сборках Windows 10. Подобных утилит очень много. Их авторы копируют наработки друг у друга (Fork me on GitHub!), стремясь сделать списки изменяемых параметров и блокируемых адресов как можно больше. Они редко утруждают себя их проверкой (особенно продолжительной), а проблемы с операционкой обычно появляются не сразу после применения твиков. Это бомба замедленного действия.
Развитие большинства «антишпионских» утилит для Windows 10 остановилось в 2016–2017 годах из-за постоянной гонки вооружений. Microsoft часто меняет IP-адреса своих серверов, арендует облачные в Cloudflare и перенаправляет часть трафика в партнерскую сеть Akamai Technologies. По факту ей принадлежит очень динамичный пул айпишников и несколько крупных сетей. Все не успеешь отследить и заблокировать. К тому же один URL часто используется для соединения с разными IP-адресами или многофункциональным сервером, который нужен для нормальной работы других (не «шпионских») компонентов Windows.
Добавить сетевые адреса сборщиков данных Microsoft можно и вручную, просто найдя такие списки на GitHub и профильных форумах. Нужно скачать их, объединить, отредактировать, проверить (самая сложная часть) и только потом применить «сухой остаток». Придется делать очень много рутинной работы, чтобы хоть на какое-то время результат был стабильным. Потом выйдут обновления Windows, добавятся новые сетевые адреса, твой кропотливо созданный список устареет, и все придется начинать сначала.
Из протестированных программ более или менее справились со своей задачей только O&O ShutUp10 и WPD, хотя и их работу сложно назвать идеальной. Часть настроек приватности меняется штатными средствами самой Windows 10, но в интерфейсе отображаются далеко не все настройки. Если утилита умеет изменять какие-то дополнительные и «глубокие» — в ней есть смысл. Просто надо очень аккуратно с ней работать, тщательно выбирать блокируемые параметры и делать бэкапы до их применения.
Источник
