近日,一则关于LG显示器的发现引发了Hacker News社区的广泛讨论。用户在检查Microsoft Store应用库时,意外发现LG OnScreen Control和True Color Pro两款软件被悄然安装,而他们从未手动下载或授权过。
这并非个别现象。深入调查发现,LG将这些软件捆绑在显示器驱动包中,通过Windows Update自动推送。当Windows检测到LG显示器并自动下载驱动时,配套软件也随之潜入系统。整个过程完全静默,不会弹出任何安装提示或用户授权对话框。
不只LG一家
更令人不安的是,LG并非孤例。HN社区用户指出,Razer、Logitech、NVIDIA、甚至Corsair等硬件厂商都在使用相同的渠道。Windows Update本应是操作系统安全补丁和核心驱动的可信通道,如今却成了硬件厂商分发臃肿软件的”特洛伊木马”。
一位开发者评论道:”这不是偶然,而是设计如此。硬件厂商在向微软提交驱动包时就包含了这些附加软件,微软的WHQL认证流程并不拒绝它们。”
技术根源
问题的根源在于Windows驱动分发架构。微软允许硬件厂商将”扩展驱动包”(Extension INF)与核心驱动一起提交。这些扩展包可以触发任意软件的安装,而Windows Update不会区分”必要驱动”和”可选软件”。
用户在设备管理器中看到的只是”LG HDR 4K”之类的设备名称,很难将其与OnScreen Control这样的桌面软件联系起来。即使用户手动卸载,下次Windows Update扫描到更新后仍会重新安装。
社区反应
HN社区的反应既有愤怒也有无奈。高票评论指出:”不惊讶,但依然令人反感。”另一位用户调侃道:”建议的解决方案是——静默卸载Windows,同样无需同意。”
更广泛的讨论指向一个系统性问题:微软需要在驱动分发机制中增加透明度和用户控制权,让用户能够区分”必要的安全驱动”和”厂商附赠软件”,并在后者安装前获得明确的通知和选择权。
一位前微软员工在评论中透露,Windows Update中的”可选更新”(Optional Updates)分类理论上可以承载这类软件,但厂商通常会争取将其放入”重要更新”(Important)或”驱动更新”类别,因为这些类别默认自动安装且用户几乎不会取消勾选。
值得关注的是,这一问题并非Windows独有。macOS通过系统完整性保护(SIP)和驱动扩展框架(DriverKit)在某种程度上限制了厂商的越界行为,但Apple自家的软件捆绑(如iTunes曾随Safari更新推送)也曾引发类似争议。Linux用户则幸运得多——开源驱动生态意味着几乎没有厂商捆绑软件的问题。
对于普通用户而言,最实用的防御措施是定期检查控制面板中的”程序和功能”列表,以及在Microsoft Store的”库”中审计已安装的应用。但大多数用户不会这样做——这正是问题所在。
原文链接: VideoCardz报道 | HN讨论 (499条评论)