W skrócie
Microsoft bez uprzedzenia zablokował konta deweloperskie twórców VeraCrypt i WireGuard, co uniemożliwia im wydawanie podpisanych aktualizacji dla systemu Windows. O ile wersje na Linuxa działają normalnie, o tyle użytkownicy Windows zostali „zamrożeni” na obecnych wydaniach, bez możliwości szybkiego otrzymania poprawek bezpieczeństwa. To szczególnie niepokojące, bo mówimy o narzędziach tworzonych właśnie po to, by chronić prywatność, szyfrować dane i zabezpieczać połączenia VPN.
Co się stało z kontami twórców?
Bez wcześniejszego ostrzeżenia Microsoft usunął konta deweloperskie używane przez twórców VeraCrypt i WireGuard do podpisywania sterowników oraz komponentów przeznaczonych dla Windows. Dotychczas za pomocą tych kont mogli oni wydawać oficjalne, cyfrowo podpisane aktualizacje zgodne z wymaganiami ekosystemu Windows – po ich zablokowaniu cały proces został zatrzymany.
Mounir Idrassi, autor VeraCrypt, opisał sytuację na forum branżowym, wskazując, że konto zostało anulowane po latach używania, bez jakiegokolwiek maila czy ostrzeżenia. Próby skontaktowania się ze wsparciem kończyły się jedynie automatycznymi odpowiedziami i botami, co w praktyce uniemożliwiało szybkie wyjaśnienie sprawy. Podobny problem zgłosił Jason Donenfeld, główny deweloper WireGuard, który również odkrył, że jego konto zostało zawieszone, gdy próbował opublikować rutynową aktualizację.
Dlaczego to jest tak poważne?
Zarówno VeraCrypt, jak i WireGuard to fundamenty ekosystemu bezpieczeństwa dla wielu osób i firm – pierwsze służy do szyfrowania dysków, drugie do budowy bezpiecznych tuneli VPN. Miliony użytkowników polegają na tych narzędziach, by chronić prywatne dane, komunikację oraz dostęp do zasobów firmowych.
Brak możliwości wydawania podpisanych aktualizacji na Windows oznacza, że jeśli pojawi się nowa luka, twórcy nie będą mogli szybko dostarczyć poprawki w sposób akceptowany przez system. Donenfeld zwrócił uwagę, że w hipotetycznym scenariuszu krytycznej podatności umożliwiającej zdalne wykonanie kodu w WireGuard, Microsoft nie miałby możliwości dostarczenia pilnej łatki Windowsowym użytkownikom tego rozwiązania. Taka sytuacja jest sprzeczna z ideą proaktywnego bezpieczeństwa, którą Microsoft podkreśla choćby w dokumentacji dotyczącej aktualizacji zabezpieczeń na oficjalnej stronie Microsoft.
Jak wygląda sytuacja na innych platformach?
Ważne jest rozróżnienie: konta deweloperskie zostały zablokowane w kontekście ekosystemu Windows, natomiast same projekty VeraCrypt i WireGuard nadal mogą być rozwijane i aktualizowane na innych systemach operacyjnych, takich jak Linux. Kod źródłowy obu projektów pozostaje dostępny w publicznych repozytoriach, więc twórcy mogą dalej wprowadzać poprawki i nowe funkcje poza światem Windows.
W praktyce jednak większość użytkowników obu narzędzi działa właśnie na Windows, który pozostaje najpopularniejszym systemem desktopowym. To czyni blokadę szczególnie dotkliwą – najmocniej uderza w największą grupę korzystających. Aktualne informacje o Windowsie i wymaganiach dotyczących podpisywania sterowników można znaleźć w dokumentacji dla deweloperów na stronie Microsoft.
Co może zrobić zwykły użytkownik?
Na ten moment nie istnieje proste, trwałe rozwiązanie dla użytkowników VeraCrypt i WireGuard na Windows – zainstalowane wersje nadal działają, ale nie otrzymają nowych poprawek, dopóki sprawa kont nie zostanie rozwiązana. Bardziej zaawansowani użytkownicy mogą teoretycznie skompilować programy z kodu źródłowego, jednak wymaga to wiedzy technicznej i nie zastępuje wygody automatycznych, podpisanych aktualizacji.
Praktyczne zalecenia na czas „zawieszenia”:
- regularne aktualizowanie samego Windows i innych krytycznych komponentów systemu,
- ograniczenie ekspozycji usług VPN na publiczny internet, szczególnie gdy są oparte na WireGuard w Windows,
- śledzenie oficjalnych kanałów projektów (strony GitHub, mailing listy), by nie przegapić ewentualnych obejść lub komunikatów,
- w środowiskach o wysokich wymaganiach bezpieczeństwa – rozważenie alternatyw lub tymczasowej migracji na platformy, gdzie aktualizacje nie są blokowane.
Dodatkowe zasady bezpieczeństwa w Windows (np. kontrola konta użytkownika, SmartScreen, zasady podpisywania sterowników) są opisane na oficjalnej stronie Windows.
Jakie wyjaśnienia są potrzebne od Microsoft?
Kluczowym problemem nie jest tylko sama blokada, ale również całkowity brak przejrzystej komunikacji ze strony Microsoft. Deweloperzy twierdzą, że nie otrzymali żadnych wyjaśnień ani możliwości szybkiego odwołania, a automatyczne odpowiedzi z systemów wsparcia nie rozwiązały problemu.
W przypadku projektów tak strategicznych dla prywatności i cyberbezpieczeństwa, jak VeraCrypt i WireGuard, brak jasnego dialogu rodzi pytania o sposób, w jaki Microsoft zarządza ryzykiem i relacjami z projektami open source. Społeczność oczekuje:
- konkretnego wyjaśnienia przyczyn blokady,
- informacji, czy doszło do naruszenia zasad, czy był to błąd systemu,
- klarownej ścieżki odwoławczej z terminami i odpowiedzialnymi osobami po stronie Microsoft.
Takie standardy komunikacji Microsoft deklaruje choćby w ramach programów dla deweloperów i zasad publikowania oprogramowania w ekosystemie Windows opisanych w dokumentacji na oficjalnych stronach firmy.
Podsumowanie
Zablokowanie kont deweloperskich twórców VeraCrypt i WireGuard bez jasnego uzasadnienia to poważny cios w zaufanie do ekosystemu bezpieczeństwa na Windows. Najbardziej cierpią zwykli użytkownicy, którzy korzystają z tych narzędzi, by zwiększyć prywatność, a nie martwić się, czy kolejne luki zostaną w ogóle załatane.
Z analitycznego punktu widzenia sytuacja pokazuje, jak bardzo projekty open source są uzależnione od decyzji jednego dostawcy platformy – w tym przypadku Microsoftu. Jeśli firma szybko i transparentnie nie wyjaśni sprawy oraz nie przywróci możliwości wydawania podpisanych aktualizacji, możemy zobaczyć odpływ części bardziej świadomych użytkowników w stronę systemów i rozwiązań, które oferują mniejsze tarcie we współpracy z projektami bezpieczeństwa
