Zusammenfassung:
In letzter Zeit wird die Leistung von Windows 11 immer wieder von Nutzern kritisiert und auch ein Hintergrunddienst namens „Windows Health and Optimized Experiences“ sorgt für Aufmerksamkeit. Zuvor wurde behauptet, dass der Dienst Prozessor-, Temperatur- und Akkuinformationen überwacht und alle 15 Minuten Daten an Microsoft sendet. In diesem Zusammenhang analysierte der Reverse Engineer Xusheng Li seinen Kerndienst whesvc und kam zu dem Schluss, dass der Dienst zwar über recht umfangreiche Systemberechtigungen verfügt, die vorhandenen Skripte jedoch hauptsächlich zur Leistungsdiagnose verwendet werden und keine Anzeichen für ein automatisches Hochladen von Benutzerdaten oder eine Bildschirmüberwachung gefunden wurden.
Microsoft-Ingenieur Scott Hanselman erklärte zuvor, dass der Dienst in der Lage ist, gezielte Leistungsdiagnosedaten zu sammeln, wenn Windows eine Verzögerung oder eine langsame Reaktion erkennt. Relevante Tracking-Informationen werden zunächst lokal gespeichert und Benutzer können wählen, ob sie diese über das „Feedback-Center“ übermitteln möchten. Die umgekehrte Analyse von Xusheng Li bestätigt diese Aussage grundsätzlich, zeigt aber auch, dass die zugrunde liegende Implementierung weitaus komplexer ist als gewöhnliche Leistungsdiagnosedienste.
Die Analyse zeigt, dass der Whesvc-Dienstkörper nicht groß ist und sich die Schlüsselfunktionen hauptsächlich in windiag.dll befinden. Die Dynamic Link Library integriert die Skriptsprache Lua 5.4.7. Microsoft stellt dem System außerdem whesvc_assets.dll zur Verfügung, das 84 kompilierte Lua-Skripte enthält, die jeweils für unterschiedliche Diagnoseszenarien verantwortlich sind.
Xusheng Li stellte fest, dass die Skript-Engine 79 native Funktionen für Skripte mit einer breiten Palette aufrufbarer Funktionen öffnete. Dazu gehören das Lesen und Ändern der Windows-Registrierung, das Durchführen von Dateivorgängen, das Erstellen und Steuern von Prozessen, das Abfragen von WMI (Windows Management Instrumentation), das Sammeln von ETW-Daten (Windows Event Tracing), das Überprüfen von Sicherheitstokens, das Abrufen von Energie- und Temperaturinformationen, das Herunterladen von Symboldateien, das Generieren komprimierter .cab-Pakete und das Initiieren von HTTP-Anfragen.
Darüber hinaus umfasst dieser Mechanismus eine gemeinsame Fremdfunktionsschnittstelle (FFI), die es Skripten ermöglicht, mit nativen DLLs und verschiedenen Windows-Handles zu interagieren. Allein aus Sicht der Fähigkeiten gehen die Berechtigungen dieser zugrunde liegenden Engine tatsächlich weit über das hinaus, was für eine normale Leistungsdiagnose erforderlich ist, was leicht dazu führen kann, dass Benutzer sich Sorgen um Datenschutz und Systemkontrolle machen.
Mächtig zu sein bedeutet jedoch nicht, für unangemessene Zwecke missbraucht zu werden. Reverse-Engineering-Ergebnisse zeigen, dass die meisten von Microsoft mit dem System bereitgestellten Skripte diese Funktionen nur für routinemäßige Diagnoseaufgaben nutzen. Registrierungsbezogene Funktionen werden beispielsweise hauptsächlich zum Speichern eigener Zähler nach Dienstneustarts verwendet; Ein Treiberinformationsmodul kann die Windows-Treiberüberprüfungseinstellungen ändern, diese Funktion muss jedoch durch bestimmte Umgebungsvariablen ausgelöst werden und dient der Speicherüberwachung. Forscher glauben, dass dies einer der invasivsten Whesvc-Operationen im praktischen Einsatz sein könnte.
Einige Skripte rufen auch Microsoft-eigene Tools auf. Beispielsweise startet ein Skript powercfg.exe, um einen Schlafbericht zur Schlafstudie zu erstellen, und ein anderer Pfad ruft wpr.exe auf, um die vom Windows Performance Recorder generierten Leistungsverfolgungsdatensätze zusammenzuführen.
Im Hinblick auf praktische Diagnosefunktionen kann whesvc Trace-Informationen sammeln, wenn eine Anwendung nicht mehr reagiert, Eingabeverzögerungen überwachen und Anomalien anzeigen, Anwendungen identifizieren, die langsam starten, und Systemdienste erkennen, die lange Zeit im Wartezustand bleiben. Das Energiemodul kann zur Fehlerbehebung bei abnormalem Stromverbrauch, zur Analyse von Faktoren, die verhindern, dass der Computer in den Ruhezustand wechselt, und zur Reaktion auf anhaltende Probleme mit dem Stromverbrauch verwendet werden.
Nehmen Sie als Beispiel das Modul „memory_handle_leak“, das speziell zur Behebung von Speicherlecks verwendet wird. Es verfolgt die Speicher- und Handle-Anzahl über mehrere Zeitintervalle und kombiniert sequenzielles Wachstum mit linearen Regressionssteigungen, um zu versuchen, potenzielle Speicherlecks vom normalen Ressourcenwachstum zu unterscheiden.
Die umstrittene Aussage „Daten werden alle 15 Minuten hochgeladen“ wurde in dieser Analyse ebenfalls geklärt. Das system_summary-Modul generiert zwar eine JSON-Systemzusammenfassung von 900 Sekunden oder 15 Minuten, diese Daten werden jedoch standardmäßig lokal gespeichert. Trotz der Netzwerkkommunikationsfähigkeiten des Dienstes fanden die Forscher keine Skriptszenarien, die zufällige HTTP-Anfragen stellen würden; Unter allen 84 Skripten verwies die einzige identifizierte URL auf den öffentlichen Symbolserver von Microsoft, eine Funktion, die Berichten zufolge in regulären Windows-Installationen im Einzelhandel deaktiviert ist.
Deshalb sagte Xusheng Li, er habe gezielt nach möglichem verdächtigen Verhalten gesucht, aber keine Beweise dafür gefunden, dass der Dienst den Bildschirm heimlich aufzeichnen würde, noch habe er festgestellt, dass Diagnose-Tracking-Daten ohne Benutzereingriff automatisch zu Microsoft hochgeladen würden. Der im Internet verbreiteten Aussage, dass „Windows 11 diesen Dienst nutzt, um Benutzer heimlich zu überwachen“, fehlt eine entsprechende technische Grundlage.
Insgesamt hat Microsoft für Windows 11 eine universelle Systemdiagnose-Engine entwickelt, die mit SYSTEM-Berechtigungen ausgeführt wird und Aufgaben wie die Registrierung, Dateien, Prozesse und die Ausführung nativen Codes bewältigen kann. Seine zugrunde liegenden Fähigkeiten sind offensichtlich leistungsfähiger als diejenigen, die für die Fehlerbehebung selbst erforderlich sind, aber die derzeit mit dem System bereitgestellten Skripte beschränken sich immer noch auf den Umfang der Leistungsdiagnose. Mit anderen Worten: Das Berechtigungsdesign von whesvc verdient möglicherweise weitere Aufmerksamkeit, aber die bestehende Analyse stützt seine direkte Einstufung als „Spyware“ nicht.
Kommentare