我就是想继续用 Windows 10：那安全漏洞怎么办？
2024-05-14 渥太华微生活
2023 年 4 月 30 日，微软在官方社区发布公告，宣布自 2025 年 10 月 14 日起停止对 Windows 10 的支持。
与 Windows XP 和 Windows 7 相比，Windows 10 的生命周期仅为 10 年。此后，微软不再提供功能更新和安全更新，除非用户选择付费获得扩展安全更新（ESU），或转用 Windows 11。
现实情况是，Windows 11 对设备硬件有特定要求，一些老旧设备无法通过常规方式安装该系统，所以总有一部分人不得不接着使用 Windows 10。
对普通消费者而言，更换设备之前可能都要考虑一下值不值得；对于拥有大量硬件资产的企业来说，设备更换、数据迁移和系统维护的成本会是一个天文数字。在当前「降本增效」的大背景下，这显然不现实。如果不更新安全补丁，新发现的漏洞又可能出现进一步的安全问题。
所以我们整理了 5 个方案，让你在 Windows 10 结束支持以后依然能高枕无忧。
方案一：Windows 10 Enterprise LTSC 版本
优点：延续 Windows 10 的使用体验、需登录 Microsoft 账户、官方精简系统。
缺点：LTSC 2021 的 EOL 也仅到 2027 年、属于批量授权协议1。
对于企业用户或追求稳定的普通使用者而言，更换系统或进行大版本更新会带来相当大的迁移和学习成本。考虑到 Windows 11 在许多功能和系统界面上与 Windows 10 相比有较大变化，且稳定性尚不理想，继续使用 Windows 10 是更不错的选择。
LTSC 版本，即微软针对企业和教育等领域提供的长期服务渠道版本。
与其他 Windows 10 版本相比，LTSC 的主要区别在于不频繁接收功能更新，并移除了包括 Microsoft Store 在内的某些功能。LTSC 版本的支持周期不受普通版本 Windows 10 结束支持时间的影响。目前，Windows 10 Enterprise LTSC 2019 版本的延长支持日期至 2029 年 1 月 9 日，而基于 Windows 10 21H2 的 Windows 10 Enterprise LTSC 2021 的主流支持期至 2027 年 1 月 12 日。选择 Windows 10 Enterprise LTSC 可以在一段较长时间内免去 Windows 大版本迁移的顾虑。
Windows 10 Enterprise LTSC 的安装过程与一般 Windows 10 的安装类似。唯一的区别在于 OOBE（首次开机体验）阶段的账号登录选择。虽然系统默认要求使用工作或学校的 Microsoft 账户登录，但通过点击左下角的「改为域加入」可以创建本地账户。如有需要，安装完成后进入系统，还可以选择切换到 Microsoft 在线账户。根据我的测试，系统内切换到 Microsoft 在线账户同样支持一般的 Microsoft 账户。
安装并激活后，你可以在「设置」-「关于」中查看到 Windows 10 Enterprise LTSC 的版本信息。显示的内部版本号为 19044.xx，与 Windows 10 21H2 相同，因此支持 Windows 10 21H2 的软件也可以在 Windows 10 Enterprise LTSC 2021 上正常运行。
当然，如果你后续希望使用 Microsoft 在线服务（比如 Microsoft Store）的话，也可以通过第三方工具来手动安装 Microsoft Store，比如通过 Add Store to Windows 10 Enterprise LTSC 这个工具，这样你就可以在应用商店下载应用，同时使用其他面向一般消费者的微软在线服务。
方案二：修改安装镜像
优点：适用于任何版本的 Windows 11、可以第一时间体验到 Windows 11 的新功能。
缺点：非官方文档中提及的方法，未来微软可能会限制升级。
当然，鉴于 Windows 10 终将退出历史舞台，也是时候升级到 Windows 11 了。很多用户仍选择使用 Windows 10 的主要原因还是硬件限制——例如系统必须支持 TPM 2.0，处理器至少为 Intel 第 8 代酷睿系列才能满足 Windows 11 的安装标准。那么，有没有办法让老旧硬件也能顺利安装 Windows 11 呢？
Rufus 的最新版本已能区分 Windows 11 和 Windows 10 的镜像。当你选择 Windows 11 镜像并点击开始时，会弹出一个 Windows 用户体验选项框。普通用户可以直接勾选「移除对 4GB + 内存、安全引导和 TPM 2.0 的要求」。如果你不希望在 OOBE 中登录微软账户，还可以选择「移除对登录微软账户的要求」，这样可以在安装过程中先创建本地账户，再在系统启动后选择切换。
通过这种方法创建的 Windows 11 安装镜像，安装步骤与 Windows 10 基本一致。唯一的问题是，可能在未来大版本更新时，微软也许会再次限制不符合条件的设备升级。
方案三：Windows 11 IoT Enterprise
优点：获得更长时间的安全更新、体验类似 Windows 11 桌面版。
缺点：该版本同样采用了批量授权。
除了像方案二一样，使用 Rufus 绕过这些限制，我们还可以使用 Windows 11 IoT Enterprise 这一版本，跳过硬件检查。
这个版本 Windows 11 的特殊之处在于，它主要面向配置较低的瘦客户端等硬件，这些硬件通常难以满足常规版本 Windows 11 的硬件要求。因此，微软「有意识」地在 Windows 11 IoT 中移除了原本的硬件检查，允许配置较低的老硬件无需通过编辑注册表等「非官方」手段升级到 Windows 11。
我选择的是 Windows 11 Enterprise LTSC 2024 安装镜像。这个镜像包含了三个版本的 Windows 11，分别是 Windows 11 Enterprise LTSC 和两个 Windows 11 IoT Enterprise LTSC 版本。其中只有 Windows 11 Enterprise LTSC 会在安装时进行硬件检查，而后两个 IoT 版本在安装过程中则不会进行硬件检查。
Windows 11 IoT Enterprise LTSC 在安装过程中也会跳过 OOBE 等设置页面，系统会在安装过程中会自动创建无密码的本地管理员账户，一些基础设置2都需要在系统完成安装后，启动到系统桌面后才可以设置。
由于默认会创建一个无密码的本地账户，如果你希望后续切换至微软在线账户，需要先为本地账户设置一个密码。此外，切换到在线账户的步骤与之前的 Windows 10 LTSC 有所不同。你需要在「设置」-「账户」-「电子邮件和账户」-「其他应用使用的账户」中添加你的微软账户并登录，系统随后会自动将本地账户切换为在线账户。
这种方法确实存在一些缺点。首先，对于普通用户来说，Windows 11 Enterprise 版本属于批量授权的版本，因此系统激活并不方便。
其次，通过这种方式升级到的 Windows 11，并不会像普通版本的 Windows 11 那样获得最新的「花哨」的功能更新，不过胜在稳定。如果你真的需要及时跟上功能更新的话，请参考方案二。
如果你还希望通过 Microsoft Store 安装应用，可以采用类似于 Windows 10 Enterprise LTSC 中安装 Microsoft Store 的方法。
方案四：第三方精简版 Windows 11
优点：激活方式类似消费版 Windows 11、移除了臃肿的 Windows 组件但依旧可以获得例行安全更新。
缺点：精简可能导致系统兼容性变差、需要下载安装中文语言包
如果你是老 Windows 系统的用户，可能还记得 Windows XP 官方宣布结束扩展支持后，我们依然可以通过第三方手段获取安全更新。即，利用仍在扩展支持期内的 Windows Embedded POSReady 2009 的安全更新，通过修改注册表「欺骗」Windows Update 服务器，让这些更新能够安装在已结束生命周期的 Windows XP 上。
这里我们选择 Tiny11 精简版，我们可以直接在其镜像发布地址下载适用自己处理器架构的镜像，然后使用 Rufus 将镜像烧录到 U 盘中，需要注意的是 Tiny11 的镜像已经移除了硬件检测，同时也移除了对登录微软账户的要求，因此烧录时不需要勾选任何设置项。
安装 Tiny11 的过程相对简单，基本上只需点击「下一步」，然后创建本地账户即可自动进入系统。需要注意的是，由于 Tiny11 是基于英文版 Windows 11 镜像制作的，因此在登录系统后，你需要手动添加3中文语言支持。
不过即使添加了中文语言支持，仍可能遇到中文内容显示不正常的问题。这是因为中文默认字体在精简过程中被移除了。你还需要下载制作组提供的中文字库包。将其解压并安装到系统中，然后重启电脑，即可恢复中文显示功能。
安装后的系统非常干净，仅仅保留了 Microsoft Store 以及微软账号服务等大多数人常用的核心组件。所以该系统的资源占用相当低，整体运行后的内存占用大约在 3GB 左右，即使是十年前的电脑硬件也能流畅运行。
因为 Tiny11 对 Windows 11 的系统组件进行了大幅度的精简，系统稳定性肯定不如官方的 Windows 11。因此，不建议在企业生产环境中使用精简系统。
方案五：「移花接木」安全更新
优点：直接获得最新的 Windows 10 安全更新。
缺点：需要和 Windows 10 Enterprise LTSC 的版本保持一致、目前需要手动更新安装安全更新。
如果你可能还记得 Windows XP 官方宣布结束扩展支持后，我们依然可以通过第三方手段获取安全更新。利用仍在扩展支持期内的 Windows Embedded POSReady 2009 的安全更新，通过修改注册表「欺骗」Windows Update 服务器，让这些更新能够安装在已结束生命周期的 Windows XP 上。
这种方法同样适用于 Windows 10。不过，与 Windows XP 的情况不同，这里不需要修改注册表信息。你只需根据微软每月公布的安全更新知识库手动查找离线更新包并进行安装。考虑到未来会继续获得更新的版本是 Windows 10 Enterprise LTSC 2021，而该版本基于 Windows 10 21H2，所以最好你当前的 Windows 10 版本就是 21H2。
首先，需要访问微软官方网站上的 Windows 10 版本信息支持库。在网站上，定位到 Windows 10 的发布信息中的 Version 21H2 (OS build 19044)。由于面向消费者的 Windows 10 21H2 版本已经停止服务，因此列表中显示的都是 LTSC 的发布渠道。需要做的是找到本月的知识库文章编号，即以 KB 开头的后续编号，这个编号就是当月安全更新的编号。
接着访问 Microsoft® Update Catalog，这是微软官方提供的离线安全更新下载网站。在网站的搜索框中直接输入当月的知识库文章编号，也就是以 KB 开头的编号。例如，如果你想下载 2024 年 4 月 9 日的离线安全更新包 KB5036892，只需在搜索结果中找到适用于 Windows 10 Version 21H2 的更新包。
为了兼容性，我建议选择下载 Cumulative Update（累积更新）。在找到相应的更新后，点击列表右侧的「Download」按钮进行下载，下载完成后即可安装。这样可以确保你的系统获得最新的、最完整的安全补丁和功能改进。
这个方案的最大优势是，即便无法通过 Windows Update 直接获取安全更新，我们仍然可以下载 LTSC 版本的每月安全质量更新来维护基本的信息安全。缺点也很明显，那就是需要几乎每月都手动下载并安装安全更新。当然，也不排除第三方开发者会推出半自动的工具来帮助我们延长 Windows 10 系统的生命周期。
总结
信息安全对于普通用户和企业来说都极为重要。随着大部分 Windows 10 版本逐渐接近其生命周期终点（EOL），我们需要提前规划，为 Windows 10 停止支持做好准备。
