Windows 11, il servizio accusato di spiare il PC non è uno spyware

A inizio agosto, Windows Health and Optimized Experiences (whesvc) si è ritrovato al centro di una piccola bufera, dopo essere stato accusato di monitorare il processore, le temperature e la batteria, per poi inviare queste informazioni a Microsoft ogni quindici minuti. Redmond aveva rapidamente contestato questa interpretazione, assicurando che le tracce sulle prestazioni restavano memorizzate localmente e servivano a documentare i problemi segnalati tramite l’Hub di Feedback.

Qualche giorno dopo, lo specialista in reverse engineering Xusheng Li è andato a verificare direttamente nel codice. Un’immersione che conferma le spiegazioni di Microsoft, rivelando al contempo un servizio ben più elaborato di quanto sembri.

Windows 11, cosa fa davvero il misterioso servizio whesvc

A prima vista, whesvc non ha nulla di eccezionale. Il servizio in sé è piuttosto leggero, ma il grosso delle sue capacità poggia su un motore di diagnostica integrato in Windows, decisamente più sofisticato. Quest’ultimo si basa su un interprete Lua e su 84 script compilati, di cui 23 scenari di diagnostica e 61 librerie incaricate di fornire loro gli strumenti necessari per interagire con Windows.

Analizzandoli, Xusheng Li ha scovato 79 funzioni native accessibili a questi script, e il meno che si possa dire è che il sistema non manca certo di mezzi. Il motore può leggere e modificare il Registro, manipolare file, avviare processi, interrogare Windows sullo stato dell’hardware e dei servizi, raccogliere tracce dettagliate dell’attività del sistema, esaminare i permessi associati a un processo o ancora consultare il consumo energetico, lo stato della batteria e i dati rilevati dai sensori termici del PC. Può anche generare archivi CAB, effettuare richieste HTTP e chiamare direttamente funzioni presenti nelle librerie di Windows.

Un arsenale impressionante per un servizio dedicato alla diagnostica, ma il cui utilizzo effettivo si rivela infine ben meno inquietante di quanto lasciassero temere le sue capacità. L’analisi degli 84 script mostra infatti che questi mettono le suddette funzioni al servizio di compiti piuttosto classici: memorizzare dati di monitoraggio propri di whesvc, attivare strumenti già integrati in Windows o ricercare la causa di un malfunzionamento preciso.

Il servizio può così cercare perché un’applicazione non risponde più, perché un programma impiega un tempo anomalo ad avviarsi, individuare un ritardo negli input da tastiera o mouse, un difetto di visualizzazione o ancora un servizio bloccato in uno stato intermedio. Altri moduli si occupano del consumo energetico, dei problemi di sospensione o delle perdite di memoria.

Insomma, un motore particolarmente potente, ma i cui script restano in definitiva confinati ai compiti di diagnostica e ottimizzazione per i quali il servizio è stato concepito. Né più, né meno.

Il rapporto generato ogni quindici minuti esiste davvero, ma resta sul PC

Ciò detto, l’elemento che aveva contribuito ad alimentare la polemica su X non era inventato. Un modulo battezzato system_summary genera effettivamente, ogni 900 secondi, ovvero ogni quindici minuti, un file JSON che riassume diverse informazioni diagnostiche.

Ma l’analisi di Xusheng Li stabilisce che questo rapporto resta salvato localmente, corroborando così la posizione difesa da Redmond a inizio mese. Il modulo emette sì, nello stesso momento, un piccolo evento di telemetria, ma nulla indica che il file JSON stesso venga automaticamente spedito ai server di Microsoft.

Stesso riscontro dal lato delle funzioni di rete integrate nel motore: nessuno degli scenari esaminati le utilizza per trasmettere questi rapporti. L’unico indirizzo individuato rimanda al server pubblico dei simboli di Microsoft, utilizzato per facilitare l’analisi di determinati crash e problemi di prestazioni.

Whesvc può tuttavia far risalire dati diagnostici più dettagliati in casi specifici. Questa possibilità è disattivata per impostazione predefinita negli scenari automatici studiati, mentre le raccolte più approfondite dipendono dalle impostazioni di diagnostica configurate in Windows dagli utenti stessi.

Nessun dispositivo segreto incaricato di spedire periodicamente a Microsoft i dati raccolti sul PC, dunque, né alcuno spyware. Per quanto Windows sia zeppo di funzioni di telemetria, di questo presunto spionaggio alla fine non resta granché.