Windows 10 privacy verbeteren: DiagTrack uitschakelen

Alieke van Sommeren
0

Inhoudsopgave

Dat Windows 10 regelmatig contact opneemt met het moederschip, is niet alleen voor voorvechters van privacy een heikel punt. Maar er is gelukkig niet veel voor nodig om die functie het zwijgen op te leggen. Zo kun je de Windows 10 privacy verbeteren.

Om Windows te verbieden diagnostische data te verzenden, is het uitschakelen van de service ‘DiagTrack’ (Connected User Experiences and Telemetry) voldoende. Als je wilt weten wat er precies achter schuilt en of er nog andere manieren zijn om de telemetriefuncties om zeep te helpen, lees dan vooral verder.

Windows en privacy

De drang van Windows 10 om regelmatig diagnostische gegevens naar Microsoft te sturen is iets waar erg veel over wordt gediscussieerd. Microsoft wil zo zorgen dat je systeem stabiel draait en alle noodzakelijke updates kan binnenhalen. Maar veel gebruikers zijn sceptisch. Ze vragen zich af of er informatie bij Microsoft terechtkomt waarmee een gebruiker is te identificeren en gewoontes achterhaald kunnen worden. In de instellingen die Microsoft biedt heb je de optie om de hoeveelheid verzonden data aan te passen en de inhoud daarvan te bekijken. Maar officieel is er geen manier om de telemetrie uit te schakelen. In dit artikel bespreken we een aantal manieren waarmee je via een omweg alsnog alle lijntjes met het moederschip kunt doorknippen.

Windows 10 privacy verbeteren phone home uitschakelen

Bij de oosterburen heeft het Bundes­amt für Sicherheit in der Informationstechnik (Federal Office for Information Security) de telemetrie binnen Windows 10 op de korrel genomen. De bevindingen zijn onder de naam SiSyPHuS Win10 beschikbaar gemaakt. Het doel van de studie was de veiligheid en risico’s van het gebruik van Windows 10 te beoordelen en voorwaarden voor het veilig gebruik van het besturingssysteem te bepalen. Daarbij komen nog nuttige aanbevelingen om Windows 10 dicht te timmeren en veilig te gebruiken. Het eerste deel van het onderzoek is online beschikbaar gemaakt.

Ingebouwde opties

De opties waarmee je de hoeveelheid data kunt beïnvloeden die richting Microsoft wordt gestuurd, zitten onder ‘Instellingen / Privacy / Diagnostische gegevens en feedback’. Je krijgt daar de keuze uit twee detailniveaus: basaal en volledig. De tweede optie staat standaard ingeschakeld en wordt als standaard aangeraden. Die omvat grotendeels gevoelige informatie waaronder een lijst met websites die je via de Microsoft-browser(s) hebt bezocht en statistieken over de apps die je gebruikt. Met de ‘Basaal’-instelling draai je de datakraan een stukje dicht, maar niet helemaal. Microsoft noemt als reden daarvoor dat bepaalde informatie noodzakelijk is om je pc van updates te voorzien. Dat argument lijkt echter een smoesje te zijn, op de reden waarom we dat denken komen we zo terug.

Windows 10 kan in principe het overseinen van diagnostische gegevens nog verder beperken dan in de basale instelling. Dat staat Microsoft alleen toe in de Enterprise- en Education-versies van Windows 10 plus de Server-varianten. In deze besturingssystemen kunnen beheerders het detailniveau op ‘Security’ instellen, maar daarvoor moet er wel aan de policy’s worden gesleuteld. De route die je moet bewandelen in Group Policy Editor is ‘Computer Configuration / Administrative Templates / Windows Components / Data Collection and Preview Builds’. Daarin zie je de optie ‘Allow Telemetry’. Als je die waarde omzet naar ‘Security’ zorg je dat onder andere de Windows Update-service niet babbelt met de servers van Microsoft. Windows checkt die instelling alleen als er op de juiste plekken in de systeemconfiguratie is aangegeven dat de pc zijn updates krijgt via een andere route, bijvoorbeeld een lokale WSUS-server of via System Center Configuration Manager (SCCM).

Sinds Windows 10 versie 1803 is via ‘Diagnostische gegevens en feedback’ na te gaan welke (diagnose)gegevens Windows doorstuurt naar Microsoft. Daarvoor moet je de schakelaar bij het kopje ‘Diag­nostische gegevens weergeven’ omzetten naar ‘Aan’. Op die manier legt Windows tot 1 GB aan kopieën van doorgeseinde telemetriedata vast. Die data is te bekijken via ‘De viewer voor diagnostische gegevens openen’. De eerste keer dat je daar op klikt, word je doorgestuurd naar de Microsoft Store waar je de app ‘Diagnostic Data Viewer’ gratis kunt downloaden. Een fijn overzicht van alle data krijg je met die tool echter niet voorgeschoteld. Vooral als je de instellingen op ‘Volledig’ hebt staan raak je de weg al snel kwijt.

Interne gegevensstroom

Voor het verzamelen, bewerken en doorsturen van diagnostische data leunt de telemetriefunctie op een ingebouwd onderdeel van Windows met de naam ETW (Event Tracing for Windows).

Windows 10 privacy verbeteren phone home uitschakelen Event Tracing

Een schematische weergave van Event Tracing for Windows (ETW).

De schrijvers van de BSI-studie hebben een centrale bouwsteen in de services geïdentificeerd, met de interne naam ‘DiagTrack’, die binnen de instellingen ‘Connected User Experiences and Tele­metry Service’ heet. Die draait in een svchost.exe-sessie, waarbij de code is ondergebracht in het bestand diagtrack.dll in de System32-map.

In de ETW-terminologie worden een Controller en Consumer genoemd. Het Consumer-deel luistert naar twee sessies: Diagtrack-Listener en Autologger-Diagtrack-Listener. De Autologger-sessie wordt al vroeg in het bootproces opgestart en schrijft zijn events in logbestanden in de map %ProgramData%\Microsoft\Diag­nosis\ETLLogs. Als tijdens het verdere verloop van de systeemstart de DiagTrack-service wordt gestart, wordt de Autologger-sessie stopgezet, start DiagTrack zijn eigen op en vangt deze events dan realtime af. En de service leest de ETLLogs-logs uit, bewerkt ze en wist ze daarna.

Doorlezen is gratis, maar eerst even dit:

Dit artikel is met grote zorg samengesteld door de redactie van c’t magazine – het meest toonaangevende computertijdschrift van Nederland en België. Met zeer uitgebreide tests en praktische workshops biedt c’t de diepgang die je nergens online vindt.

Bekijk de abonnementen   Lees eerst verder

De DiagTrack-sevice is uiteindelijk de instantie binnen het besturingssysteem die het netwerkverkeer afhandelt met Micro­softs servers, oftewel de diagnosedata verstuurt. De grootte van de data wordt bepaald door de selectie in Instellingen of Group Policy. Het stuurt indirect aan welke ETW-provider de DiagTrack-sessie integreert. De onderzoekers van het BSI hebben op hun testsysteem bij de instelling ‘Volledig’ 422 providers geteld, bij de instelling op ‘Basaal’ 410 en Security kwam neer op 4. Die getallen zijn echter alleen een indicatie voor het verschil in niveaus, het toewijzen van providers aan telemetrieniveaus ligt niet vast. Het hangt meer af van de inhoud van het bestand %ProgramData%\Microsoft\Diagnosis\DownloadedSettings\utc.app.json. Dat bestand wordt door Windows regelmatig vervangen via automatische downloads. Op die manier verschilt de omvang van de verzonden data van pc tot pc, zelfs al heb je hetzelfde besturingssysteem en een identieke configuratie.

Meer privacy

Om het dataverkeer dan compleet stil te leggen, moet je dus de DiagTrack-service stoppen. De tests van de BSI-experts en onze eigen experimenten tonen aan dat dit mogelijk is zonder dat je systeem instabiel wordt. Updates worden netjes geïnstalleerd, of het nu gaat om signature-updates voor Defender, normale patches of grote functie-updates. De viewer voor diagnostische data werkt zoals verwacht niet meer zodra je DiagTrack uitschakelt. Als je de service na een tijdje weer inschakelt, toont de viewer geen gegevens van de afgelopen (inactieve) tijd. We zijn verder geen andere bijwerkingen tegengekomen.

De service is stop te zetten via het Computerbeheer. Het snelst kom je daar via het menu dat je krijgt na de toetscombinatie Windows+X. Het beheren van de services vind je onder ‘Service en toepassingen / Services’. Een dubbelklik op Connected User Experience and Telemetry opent de eigenschappen van de DiagTrack-service. Met een klik op ‘Stoppen’ en daarna bij Opstarttype kiezen voor ‘Uitgeschakeld’ leg je hem het zwijgen op.

Windows 10 privacy verbeteren DiagTrack service uitschakelen opstarttype

De DiagTrack-service is via zijn eigenschappen uit te schakelen.

De experts van het BSI raden aan om ook nog het opstarten van de ETW-sessie ‘Autologger-Diagtrack-Listener’ te voorkomen. Daarvoor moet je in het register de sleutel HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\AutoLogger-Diagtrack-Listener de waarde 0 geven. Volgens onze ervaringen was dat echter niet nodig. Het bestand dat die sessie aanmaakt, hebben we op onze test­systemen niet meer voorbij zien komen. Zelfs al wordt het bestand aangemaakt, dan is er behalve de DiagTrack-service niets wat er iets mee gaat doen.

Zowel het uitschakelen van de dienst als het uitzetten van de ETW-sessie hebben een upgrade van ons testsysteem van Windows 10 versie 1803 naar 1809 niet overleefd. Na een functie-upgrade moet je die aanpassingen dus opnieuw uitvoeren.

Alternatieve maatregelen

In de studie van het BSI zijn nog meer gedetailleerde adviezen te vinden over hoe je het doorseinen van telemetriedata kunt voorkomen door aanpassen van het netwerkverkeer. Daarbij gaat het om bijvoorbeeld entries in het hosts-bestand (%WinDir%\System32\Drivers\etc\hosts) om verbindingen met de bekende servers van Microsofts telemetrie-back-end om te leiden naar het ongeldige IP-adres 0.0.0.0. Iets vergelijkbaars is ook te regelen met de in Windows ingebouwde firewall of de firewall in je router.

Maar voor dat soort maatregelen geldt dat je ze regelmatig moet gaan bijwerken als Microsoft de namen of IP-adressen van hun servers gaat veranderen.

Conclusie

Het komt er op neer dat als je ongewenst naar huis bellen wilt voorkomen, de maatregelen die je daarvoor moet nemen voor twee situaties bekend zijn. In omgevingen waar Enterprise-versies van Windows 10 draaien en die zelf een infrastructuur hebben voor het verspreiden van updates, is het omzetten van het telemetrieniveau naar Security de optie die je moet hebben. Administrators die dat nog niet afdoende vinden, kunnen de Update-­service van Windows en de op de cloud gebaseerde bescherming van Windows Defender uitzetten.

In vrijwel alle andere gevallen is het uitschakelen van de DiagTrack-service de oplossing. Er is nog een kleine groep die daar niet onder valt, zoals Windows-installaties die met een speciaal contract door Microsoft zelf (of andere partijen) onderhouden worden, waarbij je dan geen rechten hebt om de aanpassingen door te voeren.

De tests van het BSI en onze eigen experimenten kunnen niet uitsluiten dat er op de langere termijn toch nog vervelende consequenties naar boven komen van het gerommel met de telemetrie-opties. We hebben nog geen ervaringen met hotfixes die Microsoft alleen stuurt naar pc’s die last hebben van een exotische bug. Als je systeem altijd perfect stabiel moet draaien en je geen risico wilt lopen, kun je je privacy beter op andere manieren beschermen en de DiagTrack-service met rust laten.

De bewering van Microsoft dat telemetriedata noodzakelijk is om updates uit te kunnen rollen, is in elk geval met succes ontkracht. Onze Windows 10-installaties met een uitgeschakelde DiagTrack-service hebben dezelfde updates binnengekregen als pc’s zonder de aanpassingen die verder identiek zijn. Dat Microsoft de telemetrie-data gebruikt om de stabiliteit van Windows te verbeteren, klinkt erg logisch. Een beetje meer transparantie en de zekerheid dat informatie niet tot jou als gebruiker is te herleiden, zouden gebruikers zeker kunnen waarderen en er eerder toe brengen de telemetriedata te blijven sturen. Dat zou het gegoochel met allerlei instellingen zoals we in dit artikel beschreven hebben overbodig maken.

(Hajo Schulz, c’t magazine)

Lees voor uitgebreide achtergrondinformatie en reviews c't nov/2019

Meer over

Software

Deel dit artikel

Lees ook

Beveiligingscamera installeren – Ezviz W2D plus C3A

Ezviz is de consumentenlijn van Hikvision en brengt dan ook beveiligingsproducten op de markt die eenvoudig te installeren zijn. Bij de Ezviz C3A Duo ...

Malware bekijken zonder risico, via je browser

Met de online sandbox any.run kun je malware bekijken zonder risico, via je browser. Vaak krijg je daar veel informatie mee boven water – en het is no...

Interessant voor jou

0 Praat mee

avatar
  Abonneer  
Laat het mij weten wanneer er