微軟表示將改進(jìn)與開發(fā)者的溝通方式，此前兩位知名開源項(xiàng)目負(fù)責(zé)人突然遭遇賬號封鎖，導(dǎo)致他們無法為軟件更新進(jìn)行簽名。

VeraCrypt的開發(fā)者M(jìn)ounir Idrassi和WireGuard的開發(fā)者Jason Donenfeld近期相繼反映，微軟在未作任何解釋的情況下封鎖了他們的開發(fā)者賬號。

Idrassi于3月30日公開了自己的遭遇，他表示："微軟既沒有發(fā)送任何電子郵件，也沒有提前發(fā)出警告。我沒有收到任何關(guān)于賬號被終止的說明，且官方消息顯示此決定不可申訴。我嘗試通過多種渠道聯(lián)系微軟，但只收到了自動(dòng)回復(fù)和機(jī)器人的回應(yīng)，始終無法接觸到真人客服。"

本周他在接受媒體采訪時(shí)表示，目前仍未收到微軟的任何回音。

此次封鎖涉及與IDRIX公司關(guān)聯(lián)的開發(fā)者賬號，該公司是VeraCrypt背后的運(yùn)營主體，同時(shí)還負(fù)責(zé)多個(gè)其他項(xiàng)目。

Idrassi表示："我現(xiàn)在無法通過硬件儀表盤為VeraCrypt的驅(qū)動(dòng)程序或啟動(dòng)加載器進(jìn)行簽名，這也導(dǎo)致我無法為其他項(xiàng)目的客戶簽署驅(qū)動(dòng)程序和相關(guān)組件，影響范圍已超出VeraCrypt本身。"

Donenfeld的遭遇與此如出一轍，他同樣聲稱微軟從未告知其賬號被封禁的原因。他在Hacker News上寫道："完全沒有任何警告或通知。某天我登錄準(zhǔn)備發(fā)布更新，結(jié)果發(fā)現(xiàn)賬號已被暫停，令我大為震驚。"

他還對此表示了網(wǎng)絡(luò)安全方面的擔(dān)憂：一旦WireGuard團(tuán)隊(duì)發(fā)現(xiàn)影響該VPN的漏洞，他將無法對更新進(jìn)行簽名以完成修復(fù)。他寫道："如果真有人想搞破壞，現(xiàn)在可能是利用WireGuard零日漏洞的好時(shí)機(jī)。當(dāng)然，WireGuard可能根本不存在零日漏洞——但萬一有呢？"

Donenfeld向媒體透露，他的麻煩大約始于兩周前。當(dāng)時(shí)他已歷經(jīng)數(shù)周，完成了對WireGuard用戶應(yīng)用及其內(nèi)核驅(qū)動(dòng)的一系列改進(jìn)，其中包括重構(gòu)內(nèi)核驅(qū)動(dòng)基礎(chǔ)架構(gòu)，以通過Windows硬件實(shí)驗(yàn)室套件（WHLK）測試，他將這個(gè)項(xiàng)目描述為"有趣但極為繁瑣"。

他說："WHLK軟件包準(zhǔn)備就緒后，我購買了一張價(jià)格不菲的EV代碼簽名證書——微軟的這項(xiàng)要求本身就讓人頗有微詞——隨后我登錄合作伙伴門戶，準(zhǔn)備提交已簽名的WHLK軟件包和驅(qū)動(dòng)程序，供微軟自動(dòng)審查，通常該流程會(huì)生成加載內(nèi)核驅(qū)動(dòng)所需的微軟簽名。"

然而，他卻收到了一條提示，告知其賬號已被停用。

"微軟從未向我發(fā)送過任何通知，"Donenfeld補(bǔ)充道，"我檢查了所有收件箱、所有垃圾郵件文件夾和所有郵件日志，一無所獲。"

賬號申訴流程將他引導(dǎo)至一個(gè)AI支持工單工具，但由于賬號已被停用，他無法在系統(tǒng)中選擇與申訴相關(guān)的工作區(qū)，從而陷入了一個(gè)"第22條軍規(guī)"式的僵局：他需要提交申訴才能恢復(fù)賬號，但提交申訴又需要一個(gè)有效賬號。

最終他找到的變通方法是，通過Azure團(tuán)隊(duì)提交一個(gè)與此無關(guān)的申訴，再由其轉(zhuǎn)交至正確的處理團(tuán)隊(duì)。

Donenfeld通過郵件表示："本周，在我不斷聯(lián)系在微軟工作的朋友、并向相關(guān)博文作者發(fā)送郵件之后，終于陸續(xù)得到了一些消息。他們收到了申訴，處理周期為60天。無論施加多大壓力、無論有多少人為我擔(dān)保，都無法加快進(jìn)度——哪怕微軟自己也在使用WireGuard。就是60天，沒有例外。"

"順帶一提，他們并未說明申訴所需提交的材料，所以我只能憑感覺猜測。60天后，他們完全可能直接駁回，那我就真的沒有出路了。"

他認(rèn)為這與微軟自身的商業(yè)利益相悖，因此向微軟商業(yè)行為準(zhǔn)則部門發(fā)送了郵件，但對方認(rèn)為此事優(yōu)先級不足，將他轉(zhuǎn)交給了高級支持團(tuán)隊(duì)。該團(tuán)隊(duì)昨天告知他，申訴確實(shí)已送達(dá)相關(guān)負(fù)責(zé)人（此前他毫不知情），但無法加快處理進(jìn)度，也沒有任何關(guān)于處理時(shí)間和方式的說明，整個(gè)過程完全不透明。

微軟的回應(yīng)

微軟Windows與設(shè)備事業(yè)部總裁Pavan Davuluri表示，Idrassi和Donenfeld的賬號將"很快"得到恢復(fù)。

他在社交媒體上發(fā)文稱："我們已注意到相關(guān)報(bào)道，正在積極盡快解決此問題。我們已聯(lián)系VeraCrypt，也已與WireGuard的Jason進(jìn)行了溝通，他們的賬號很快就會(huì)恢復(fù)正常。"

他解釋稱，兩起賬號停用均為Windows硬件計(jì)劃賬號驗(yàn)證流程的一部分。微軟曾于去年10月發(fā)布博文，提前兩周通知開發(fā)者：如其賬號自2024年4月起未完成驗(yàn)證，將收到強(qiáng)制驗(yàn)證通知。

Davuluri表示："我們努力通過電子郵件、橫幅提示和提醒通知等多種方式，確保合作伙伴了解這一變化。但我們也清楚，有時(shí)仍會(huì)有人錯(cuò)過這些信息。我們將以此為契機(jī)，審視并改進(jìn)此類變更的溝通方式。"

對于其他遇到類似問題的開發(fā)者，Davuluri將他們引導(dǎo)至一個(gè)支持頁面，并表示可以借助Copilot尋求幫助，按頁面所列步驟進(jìn)行操作。

自Davuluri發(fā)文后，Donenfeld已向媒體確認(rèn)其賬號已恢復(fù)，并于周四上午成功發(fā)布了內(nèi)核驅(qū)動(dòng)更新。

Q&A

Q1：微軟為什么會(huì)封鎖VeraCrypt和WireGuard開發(fā)者的賬號？

A：根據(jù)微軟Windows與設(shè)備事業(yè)部總裁Pavan Davuluri的說明，兩起賬號停用均屬于Windows硬件計(jì)劃賬號驗(yàn)證流程的一部分。微軟曾于2024年10月發(fā)布博文，提前兩周通知開發(fā)者完成賬號驗(yàn)證，如未驗(yàn)證將觸發(fā)強(qiáng)制驗(yàn)證通知。但兩位開發(fā)者均表示，從未收到任何預(yù)警郵件或通知，事件發(fā)生時(shí)完全不知情。

Q2：賬號被封鎖之后對WireGuard的安全有沒有影響？

A：存在潛在安全風(fēng)險(xiǎn)。開發(fā)者Donenfeld指出，一旦發(fā)現(xiàn)WireGuard存在漏洞，由于無法對驅(qū)動(dòng)更新進(jìn)行簽名，修復(fù)補(bǔ)丁將無法正常發(fā)布。他提到，賬號被封期間，若有惡意行為者趁機(jī)利用WireGuard的零日漏洞，后果將難以預(yù)料。不過他也補(bǔ)充說，WireGuard目前并未發(fā)現(xiàn)已知零日漏洞。

Q3：微軟的申訴流程有什么問題？

A：申訴流程存在明顯缺陷。Donenfeld遭遇了"第22條軍規(guī)"式的困境：申訴需要有效賬號，但賬號已被停用，導(dǎo)致流程無法正常啟動(dòng)。他最終通過Azure團(tuán)隊(duì)迂回提交了申訴，但被告知處理周期長達(dá)60天，且不得以任何理由加快進(jìn)度，也未獲知所需提交的具體材料，整個(gè)流程高度不透明。