Crowdstrike-krascherna är EU:s fel, påstår Microsoft

Så mycket regler EU kommer med så är det snarare tvärtom nu.

Meh, det kostar ju pengar och då blir det en mindre lyxyacht till cheferna och så kan vi inte ha det!

Skämt åsido men testning är svårare än vad man kanske tror. Vi har en stor legacy på mitt jobb som är mycket svår att testa på ett effektivt sätt. Dessutom är det svårt att hitta duktiga erfarna testare. Och i slutändan så bryr sig ledningen enbart om nya features. Om testerna gör sitt jobb så märks de ju inte och därför svårt för icke tekniska personer att greppa. Lite som med säkerhet.

Näe crowdstrike uppdateringen var inte inbakad i nån ms uppdatering, den gick på sidan.

Om det nu bara varit tillåtet med Windows defender så kunde ju Microsoft själva varit boven och råkat släppa en dålig uppdatering. Det händer den bästa att det blir fel. Olika produkter har olika styrkor och svaghet som man får jämföra med prislappen. Vissa svagheter ger sig tyvärr med tiden, Crowdstrike kommer ha ett minus i protokollet en bra tid frammåt.

Kunde man ha gjort titeln mer clickbait?

I det här fallet har kunderna uppenbart gjort bort sig eftersom de valt att köra ett antivirus i kernel mode, som laddar ner och kör uppenbart ovaliderad byte-kod genom en interpretator som inte kan granskas eftersom det är stängd källkod.

Kunderna behöver lära sig att man inte kan ladda ner och köra vilken binär skit som helst som man inte kan granska eller hålla koll på uppdateringscykeln för. Speciellt i kerneln. Det gäller förstås även Microsofts kod. Det är lika dumt som webbutvecklare som drar in ogranskade npm-paket eller uppdaterar dem utan att veta vad som förändrats, eller laddar kod från tredjeparts URL.

Vill Microsoft införa en begränsning mot detta, utanför EU, så får de väl göra det, och hantera resten av världens konkurrensmyndigheter.

Syftade på artikelns titel som lyder: "Microsoft says EU to blame for the world's worst IT outage"

Men EU beslut var ju egentligen för att förhindra monopol som du nämner.

"the 2009 agreement made to avoid a European competition investigation, had allowed multiple security providers to install software at the kernel level."

Fortfarande inte EU's fel oavsett hur man än vrider och vänder det imo

Du skippar detaljen att buggen i appen i detta fallet brickade servern den kör på. Det är det som är Microsofts fel.

Om en iphone-app hade gjort en iphone oanvändbar hade varenda användare från pol till pol på jordklotet skyllt på Apple direkt.
Likaså om en app hade gjort en androidtelefon oanvändbar, kritiken mot Google hade pågått i veckor efter att man glömt vilken app som råkade fallera.

När en app gör Windows oanvändbart är det som att svära i kyrkan att säga att det är Microsofts fel, även på detta forumet märkligt nog.

Det är givetvis Microsofts fel när Microsofts plattform sänks av en bugg i en app. Microsoft vet detta och har valet att framstå som slarviga eller skylla på EU. Så de skyller på EU.

Att bomma på systemsäkerhet och mjukvarukritikalitet är något helt annat än att nån app kraschar i userspace i en konsumentprodukt. Det finns helt andra krav på certifiering för den här typen av system, inte bara på koden utan på kompilatorer, utvecklingsmiljö, arbetsmetoder, testsystem och framförallt hur dessa hänger ihop i certifierings- och kvalitetsprocesser.

Jag har inte påstått att MS bär allt ansvar, bara att deras ansvar är större än Crowdstrikes, eftersom de är "totalentreprenören" i sammanhanget. Det är min uppfattning, baserat på att jag jobbat med systemsäkerhet och mjukvarukritikalitet. Det är tillåtet att ha annan uppfattning.

MS och Crowdstrike kommer att få betala skadestånd till flygbolagen m fl, men hur mycket blir en deal bakom stängda dörrar.

Det är jag som har påstått att Microsoft bär allt ansvar, och det gör de, men jag pratar om det tekniska.

Rent juridiskt är MS helt friskrivna från allt ekonomiskt ansvar för konsenvenserna. Det står uttryckligen i licensavtalet att man inte har någon som helst rätt under någon omständighet att kräva pengar utöver kostnaden för windows i sig oavsett vad som händer på grund av fel i windows.

Personligen tycker jag det är helt rätt, man kan givetvis inte ens försöka sig på att göra ett operativsystem om man bär ekonomiskt ansvar för allt som det används till om det fallerar. Har inte kollat alla andra OS avtal men jag misstänker att de alla har liknande formuleringar.

Men det är 100% Microsofts ansvar att fixa windows så att detta inte kan hända. De behöver inte göra det ändå förstås men det är ju ingen annan som kan göra det, så det finns inte utrymme för en enda % någon annanstans.

Du kan inte installera en kernel mode driver på en iphone, däremot så måste MS tillåta det i Windows. Det är en rätt stor skillnad.

Din app kan få göra vad som helst även om Windows kan boota efter att den har kraschat. Att blanda in mänskliga rättigheter är helt absurt, det är inte ens i periferin av frågan.

Om detta handlade om mänskliga rättigheter så motsvarar ditt argument att man i frihetens namn skall få elda upp andras hus när man är gäst om man känner för det. Nä, det får man inte och det skall man inte få.

Detta är en defekt i Windows som borde fixas och det är enbart Microsoft som kan fixa Windows.

Tjo! En kommentar från videon pratar något om "N Staging" och CrowdStrikes Falcon-mjukvara kan ignorera dessa vilket då tydligen tog bort ett extra skydd hos företagets företagsmjukvara. Har du någon aning om vad "N-X Staging" är för något?

YouTube-kommentar från videon om CrowdStrike Falcon:

While this is technically what crashed machines it isn't the worst part. 

CS Falcon has a way to control the staging of updates across your environment. 
businesses who don't want to go out of business have a N-1 or greater staging 
policy and only test systems get the latest updates immediately. My work for 
example has a test group at N staging, a small group of noncritical systems 
at N-1, and the rest of our computers at N-2.

This broken update IGNORED our staging policies and went to ALL machine at 
the same time. CS informed us after our business was brought down that this 
is by design and some updates bypass policies. 

So in the end, CS caused untold millions of dollars in damages not just because
they pushed a bad update, but because they pushed an update that ignored 
their customers' staging policies which would have prevented this type of 
widespread damage. Unbelievable.

Mvh,
WKF.

Absolut men det är bara en skillnad inte en förklaring. MS kan lösa detta även om de tillåter kernelmode från 3part och de behöver inte tillåta kernelmode från 3part bara för att de råkade välja den designen för 25 år sedan.

Man skall givetvis ha förståelse för att MS har ett berg av bakåtkompatibilitet att ta hänsyn till men det får inte ursäkta vad som helst av defekter.