Te agressieve uitrol van SP2 voor Windows XP brengt grote klanten in problemen

Zoals uit voorgaand artikel blijkt, vereist de hele patch cyclus, van ontwikkeling tot uitrol, een zorgvuldige samenwerking tussen leveranciers en beheerders. Hoe lastig goed patch management is, en wat daarbij allemaal mis kan gaan, heeft het debacle rond Service Pack 2 (SP2) voor Windows XP ons duidelijk laten zien.

De directe aanleiding voor de ontwikkeling van Windows XP Service Pack 2 with Advanced Security Technologies, zoals deze update officieel heet, was de uitbraak van MSBlast een jaar geleden. Deze worm maakte gebruik van een gat in de Remote Procedure Call (RPC) functies van Windows. Daarvoor was weliswaar al bijna een maand lang een patch beschikbaar, maar de meeste gebruikers hadden die niet geïnstalleerd. Een half jaar daarvoor werd de wereld overvallen door de Slammer worm. Deze maakte gebruik van een gat in Microsoft SQL Server waarvoor de patch alweer een half jaar daarvoor beschikbaar was. En hoewel de Sasser worm eerder dit jaar maar twee weken later verscheen dan de patch voor het gat in de Local Security Authority Subsystem Service (LSASS) van Windows dat het misbruikte, had die ook maanden later zijn werk nog gewoon kunnen doen.

Nieuwe functionaliteit

Hieruit moge duidelijk zijn dat Microsoft voor de veiligheid van zijn operating systems niet kan vertrouwen op de patches die het voor zijn klanten uitbrengt. Vandaar dat het bedrijf het over een andere boeg heeft gegooid. Microsoft zegt de veiligheid op dit moment belangrijker te vinden dan het implementeren van nieuwe functionaliteit, en heeft daarom een heleboel werk gestoken in de ontwikkeling van SP2. Deze bevat allerlei nieuwe functionaliteit die de veiligheid van het Windows operating system moet verbeteren: onder andere een eenvoudige firewall, anti-popup's en anti-spyware, en een beveiliging tegen buffer overflows (veelgebruikt door wormen en dergelijke), allemaal in te stellen via het nieuwe Windows Security Center.

Behalve dat de update zelf meerdere malen is uitgesteld, heeft het bedrijf zich voor de ontwikkeling hiervan zoveel inspanningen moeten getroosten dat ook de introductiedatum van Longhorn, de volgende grote versie van Windows, meerdere keren naar achteren is geschoven. Maar ook SP1 voor Windows Server 2003 en de 64 bits versies van Windows XP en Windows Server 2003 zijn hierdoor vertraagd. Woordvoerders van Microsoft spraken bij de introductie dan ook niet zozeer van een patch, alswel van een complete update van het operating system.

Ondanks dat ook Bill Gates zelf deze update karakteriseerde als de grootste Windows update ooit, bracht Microsoft SP2 wel uit met de aanbeveling deze zo snel mogelijk te installeren, het liefst via de Automatic Updates functie van Windows. Hoewel het bedrijf eerder had aangegeven deze functie nooit voor Service Packs te zullen gebruiken, vond het deze veiligheidsaanpassingen kennelijk zo belangrijk dat het besloten heeft voor SP2 hier van af te wijken. Deze Automatic Updates functie installeert patches volautomatisch zodra deze beschikbaar komen. Dit in tegenstelling tot Windows Update en Windows SUS (Software Update Services) Server, die expliciete tussenkomst van de gebruiker respectievelijk beheerder vereisen.

Compatibiliteit

Niet alleen vond Microsoft de beveiliging van Windows zo belangrijk dat het er zijn andere grote development projecten voor op een lager pitje zette, het bedrijf vond deze update ook belangrijker dan de compatibiliteit met bestaande applicaties. Op de web site van Microsoft staan een stuk of vijftig programma's genoemd die na de installatie van SP2 niet meer werken. Daaronder bevinden zich ook pakketten van de Windows leverancier zelf. Bovendien noemt Microsoft nog eens ongeveer 200 andere applicaties die "zich anders gedragen".

Inmiddels is duidelijk geworden dat Microsoft de impact van de zoveel mogelijk geautomatiseerde distributie en installatie van zo'n ingrijpende update als SP2 niet goed heeft ingeschat. Gebruikers en beheerders wisten natuurlijk dat deze update er aan zat te komen, maar niet dat deze de prioriteit "critical" mee zou krijgen en via Automatic Updates zou worden gedistribueerd. Heel veel Microsoft gebruikers blijken deze feature aan te hebben staan. Volgens een onderzoekje van NTBugTraq onder hun bezoekers maakte een kwart van hen daar gebruik van. Gaat het om wat grotere sites (van een paar honderd tot een paar duizend), dan blijkt SUS, waarbij een lokale machine de distributie naar de afzonderlijke clients in een organisatie verzorgt en zo de netwerk bandbreedte spaart, erg populair.

Eerst evalueren

De problemen die SP2 geeft met de bestaande desktop toepassingen was voor IBM reden om direct na de introductie daarvan een interne nota te verspreiden waarin het bedrijf zijn gebruikers adviseert SP2 niet te installeren. IBM wil SP2 eerst door zijn technische afdeling uitvoerig laten testen en aanpassen, alvorens de update uit te rollen naar zijn 380 duizend desktops.

CIO's van andere grote ondernemingen kwamen met exact dezelfde geluiden. Zij blijken liever de kat uit de boom te kijken, en even af te wachten hoe andere bedrijven het er van af brengen. Natuurlijk kunnen deze jongens zich deze houding ook veroorloven. In tegenstelling tot particulieren en kleinere bedrijven hebben zij al een uitgebreid arsenaal aan anti-virus en anti-spam scanners, netwerk security maatregelen en dergelijke in huis.

Omdat SP2 zo'n grote update is met veel nieuwe features, heeft onderzoeksbureau Forrester Research gebruikers dan ook aangeraden om de opwaardering als de introductie van een nieuw operating system te benaderen en niet direct te installeren. Belangrijkste daarbij is dat je moet zorgen images van de vorige installatie beschikbaar te hebben. Volgens de onderzoekers is een commercieel software deployment system daarvoor onontbeerlijk. De imaging tools van de Systems Management Server (SMS) en de Solution Accelerator for Business Desktop Deployment (BDD) van Microsoft ondersteunen Windows XP nog niet of niet volledig. Forrester noemt de leveranciers Altiris en Symantec bij wie men hiervoor wel te rade moet gaan.

Blokkering

Geschrokken door de geluiden vanuit de markt heeft Microsoft net voordat SP2 via de Automatic Updates verspreid zou worden een tool beschikbaar gemaakt. Deze maakt een nieuwe registry key "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate" met de waarde "DoNotAllowXPSP2" aan, waarmee de automatische installatie van SP2 (maar niet van andere patches) wordt geblokkeerd. Bedrijven konden deze tool gebruiken om te voorkomen dat SP2 ongewild toch op hun systemen terecht zou komen. De blokkering werkt echter maar tijdelijk. De registry key zal 120 dagen lang door Automatic Updates en Windows Update worden gerespecteerd. Daarna wordt de update alsnog geïnstalleerd.

Omdat beheerders al lieten weten dat ze aan die paar dagen niet genoeg hadden om de DoNotAllowXPSP2 tool te draaien op alle systemen die ze niet van SP2 wilden voorzien, heeft Microsoft de distributie van SP2 via Automatic Updates met negen dagen uit moeten stellen. Op die manier hadden beheerders en gebruikers meer gelegenheid om de installatie van SP2 op hun Windows XP Professional systemen te voorkomen. Wie de Home Edition gebruikt, kreeg maar twee extra dagen om de registry key te installeren. Eind augustus zou SP2 ook via Windows Update beschikbaar komen. Gebruikers van SUS zouden hun update wel gewoon half augustus binnen krijgen, maar hebben daarmee controle op de distributie hiervan over de systemen in hun bedrijf.

Commotie

Al met al verwachtte Microsoft dat SP2 in de twee maanden volgend op zijn release op zo'n 100 miljoen PC's en desktops zou worden geïnstalleerd, een heel substantieel deel van alle Windows XP systemen in de wereld. Juist omdat het om zo'n enorm groot aantal systemen gaat, duurt het zowiezo wel een paar weken voordat iedereen de SP2 update binnen heeft. Zeker gezien het feit dat SP2 niet bedoeld is om gaten te dichten, maar een hele zwik nieuwe security features introduceert, blijft het echter verbazingwekkend dat Microsoft voor deze veel te agressieve roll-out heeft gekozen.

Aan de andere kant zou SP2 niet nieuw mogen zijn voor beheerders die hun werk serieus nemen. Hopelijk hadden zij al eerder tijd gevonden om naar de eerder uitgebrachte release candidates te kijken en deze op een beperkt aantal systemen uit te proberen. De software update cyclus begint voor beheerders immers al bij het test programma van de software leverancier, die al ver voor de uiteindelijke release test versies, bèta's en release candidates uitbrengt, zodat feedback verwerkt kan worden in de uiteindelijke versie.

Voor nu lijkt alle commotie over SP2 even te zijn bedaard. Wat er gebeurt als over een paar maanden die periode van 120 dagen voorbij is, is nog even afwachten. Een evaluatie fase van een half of heel jaar is voor grote ondernemingen immers een heel gebruikelijke periode alvorens een nieuw systeem in productie wordt genomen. Ondertussen zijn de eerste nieuwe bugs, gaten en patches voor SP2 zelf alweer een feit.