De afgelopen jaren zijn voortdurend historische details over Windows 95 aan het licht gekomen, waaronder hoe Microsoft verschillende "interessante inhoud" op de installatie-cd verpakt, hoe het besturingssysteem verhindert dat externe installatieprogramma's belangrijke systeemcomponenten downgraden, en hoe sneller opnieuw opstarten kan worden bereikt via speciale mechanismen. Nu is er weer een oud verhaal met betrekking tot de detectie van installateurs aan het licht gekomen.
Microsoft senior engineer Raymond Chen herinnerde zich onlangs dat hoewel Windows 95 al de mogelijkheid heeft om te voorkomen dat defecte externe installatieprogramma's systeemcomponenten downgraden, het uitgangspunt is dat het systeem moet kunnen bepalen "of het momenteel actieve programma een installatieprogramma is." Dit was destijds eigenlijk een netelige kwestie.
Om dit probleem op te lossen gebruikt Windows 95 een heel basaal heuristisch detectiemechanisme, waarvan het kernconcept "gissen op basis van de naam" is. De specifieke methode is: als de woorden "setup", "installer", "inst" en andere woorden voorkomen in de naam van het programma dat momenteel wordt uitgevoerd, zal het systeem concluderen dat het "waarschijnlijk een installatieprogramma is". Om zich aan te passen aan verschillende taalomgevingen heeft Windows 95 ook een verscheidenheid aan gelokaliseerde varianten toegevoegd, zoals Italiaans "imposta", Turks "ayarla", Hongaars "felrak", enz. Zolang de bestandsnaam deze wortels bevat, zal het systeem het ook behandelen als een installatiegerelateerd programma.
Als de programmanaam zelf deze trefwoorden niet bevat, zal Windows 95 een "cover-up-oplossing" inschakelen: controleer of het woord "setup" voorkomt in het pad naar het uitvoerbare bestand. Het ontwerpidee is nog steeds erg eenvoudig: het echte installatieprogramma wordt vaak onder een mappad geplaatst dat duidelijk gemarkeerd is als "setup", dus er is nog steeds een kans om het te identificeren door middel van padnaamgeving. Dit soort 'gissende identificatie' op basis van bestandsnamen en paden lijkt in de moderne tijd nogal primitief, maar onder de software- en hardwareomstandigheden en softwaredistributiemethoden van het jaar was het een eenvoudig en effectief compromis.
Nadat het vermoedelijke installatieprogramma is geïdentificeerd, heeft het systeem ook een overeenkomstige strategie voor het beschermen van sleutelbestanden. Chen wees erop dat Windows 95 in de bovenstaande twee herkenningsscenario's de relevante bestanden niet onmiddellijk controleert, maar ervoor kiest de bestandsverificatie uit te stellen tot de volgende keer dat het systeem opstart. De reden is dat nadat sommige installatieprogramma's constateren dat het doelbestand "bezet is en tijdelijk niet kan worden vervangen", zij ExitWindowsExec zullen aanroepen om Windows terug te sluiten naar MS-DOS, het bestand vervolgens in een pure DOS-omgeving zullen vervangen via een batchscript en uiteindelijk Windows opnieuw zullen opstarten. Daarom is het noodzakelijk om te wachten totdat het systeem deze herstartronde heeft voltooid voordat het deze bestanden kan "vangen" die mogelijk ten onrechte zijn gewijzigd door het batchscript.
Deze ‘uitgestelde controle’ geldt echter niet voor alle scenario’s. Voor bepaalde situaties, zoals wanneer multimediastuurprogramma's worden geïnstalleerd via INF-bestanden, voert Windows 95 real-time bestandscontroles uit in plaats van te wachten tot de volgende keer opstarten. Chen onthulde dat het team dat verantwoordelijk is voor dit deel van de functie een soort "speciale pas" lijkt te hebben verkregen die direct directe verificatie kan activeren tijdens het installatieproces zonder het gebruikelijke vertraagde controlemechanisme te hoeven volgen.
Terugkijkend op vandaag lijken deze mechanismen door ingenieurs zowel eenvoudig als ‘eigengemaakt’ te zijn. Windows 95 maakte gebruik van uiterst eenvoudige regels en heuristisch 'gissen' om een basisidentificatie- en beschermingsframework voor installateurs te bouwen, dat de ontwerpkeuzes weerspiegelde die destijds in omgevingen met beperkte middelen werden gemaakt. Daarentegen hebben de moderne besturingssystemen van vandaag (zoals Windows 11) veel complexere en geavanceerdere technische middelen gebruikt bij de identificatie van installateurs en de systeembeveiliging dan in het verleden, wat bijna onvermijdelijk is in de omgeving van veiligheidsdreigingen die zich de afgelopen jaren steeds verder heeft ontwikkeld en geïntensiveerd.