- GDID je jedinečný a trvalý identifikátor přiřazený každé instalaci systému Windows, který umožňuje sledování zařízení bez ohledu na IP adresu.
- Pro FBI bylo klíčové identifikovat kyberzločince propojením jeho aktivit v různých zemích a službách, a to i přes používání VPN.
- Nelze jej deaktivovat z panelu nastavení a změní se pouze úplnou přeinstalací operačního systému.
Někdy si myslíme, že používáním VPN ve Windows nebo mazáním souborů cookie jsme online neviditelní, ale realita je taková, že Windows má v rukávu trik, který nás nechává docela odhalenými. Mluvíme o globálním identifikátoru zařízení neboli GDID , což je druh digitální registrační značky, kterou operační systém přiřazuje každé instalaci a která byla až donedávna veřejným tajemstvím společnosti Microsoft.
Tento problém vyšel najevo tím nejneočekávanějším možným způsobem, konkrétně prostřednictvím soudního spisu FBI týkajícího se kyberzločinecké skupiny Scattered Spider. Co začalo jako trestní vyšetřování, nakonec otevřelo obrovský kruh informací týkajících se soukromí a telemetrie a odhalilo, že Microsoft má schopnost sledovat zařízení, i když uživatel změní zemi nebo internetové připojení.
Co přesně je GDID?
Jednoduše řečeno, GDID je trvalý a jedinečný identifikátor přímo spojený s konkrétní instalací systému Windows. Není to totéž co IP adresa, která se mění v závislosti na síti, nebo soubor cookie prohlížeče, který můžete během vteřiny smazat. Je to číselná hodnota, která umožňuje společnosti Microsoft rozlišit jednu instalaci operačního systému od jakékoli jiné v rámci jejích interních služeb.
Je důležité upřesnit, že tento kód může být spojen jak s fyzickým počítačem, tak s virtuálním strojem . Ve skutečnosti, pokud máte tři různé počítače se systémem Windows, budete mít tři různé GDID, protože otisk prstu nepatří samotnému uživateli, ale kopii systému nainstalované na hardwaru.
Jak se generuje a kde je skrytý
Protože společnost Microsoft nezveřejnila žádné informace ani podrobnou technickou příručku, museli jsme se uchýlit k reverznímu inženýrství a analýze pokročilého uživatelského provozu . Podle tohoto výzkumu proces začíná propojením zařízení s účtem Microsoft. V tomto okamžiku služba identity wlidsvc kontaktuje servery společnosti a vyžádá si PUID zařízení.
Toto číslo, 64bitová hodnota přiřazená vzdáleně , je uloženo v registru systému Windows, konkrétně v cestě HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties pod názvem LID. Po uložení jej převezme služba Connected Devices Platform a zaregistruje jej v adresáři zařízení Microsoft, přičemž na začátek přidá písmeno „g“, čímž získá konečný formát GDID.
Klíč k dopadení hackera
Nebezpečnost tohoto systému se projevila při zatčení Petera Stokese , podezřelého člena Scattered Spider. Pokusil se zakrýt stopy pomocí proxy a VPN z různých zemí, ale GDID byl nit, kterou FBI sledovala. Agenti zjistili, že ačkoli se IP adresa měnila, identifikátor zařízení zůstal stejný pokaždé, když přistupoval ke službám, jako je ngrok, Snapchat nebo Facebook.
- GDID povolil propojení bodů mezi IP adresami v Tallinn, Estonskoa další v New Yorku.
- Činnost týmu byla spojena s přístupem k účtům Apple a Ubisoft.
- Vytrvalost kódu umožnila vytvoření přesná časová osa o pohybech podezřelého.
Nejvíce znepokojivé je, že tento tracker přežívá aktualizace systému. Existuje pouze jeden způsob, jak změnit GDID: provedením kompletní přeinstalace Windows od nuly. Pokud se však uživatel znovu přihlásí se stejným účtem, může Microsoft znovu propojit novou instalaci s předchozí pomocí jiných dat ekosystému.
Debata o soukromí a nedostatek transparentnosti
A tady se věci komplikují. Zatímco Android a iOS nabízejí jasné přepínače pro správu reklamního identifikátoru, Windows GDID je prakticky neviditelný . V panelu Nastavení není žádné tlačítko, které by ho umožnilo zobrazit, resetovat nebo, ještě lépe, zakázat. Microsoft se o něm v dokumentaci k Azure Monitoru zmínil jen velmi vágně a zacházel s ním jako s interními daty.
Mnoho expertů na kybernetickou bezpečnost toto chování popsalo jako naprostý sledovací software. Problém není v tom, že systém potřebuje ID pro správu licencí nebo aktualizací, ale v tom, že je používáno ke korelaci síťové aktivity napříč různými IP adresami a časy bez výslovného a jasného souhlasu uživatele.
Jak můžeme toto sledování omezit?
Pokud se obáváte množství dat, která systém Windows odesílá do Redmondu, existuje několik kroků, které můžete podniknout, i když nejsou zcela spolehlivé. Nejúčinnější možností je použít lokální účet namísto účtu Microsoft, což snižuje přímé propojení s vaší online identitou, i když GDID může stále existovat anonymně.
Je také vhodné přejít do Nastavení > Soukromí a zabezpečení a vypnout vše, co souvisí s volitelnou diagnostikou, personalizovanou reklamou a vyhledáváním cloudového obsahu. Pro ty, kteří pracují s extrémně citlivými informacemi, jako jsou novináři nebo aktivisté, je jediným skutečným řešením přejít na Linux a procházet Tor, protože komerční VPN nestačí k obejití GDID.
Tento systém digitálního označování ukazuje, že absolutní soukromí v prostředí Windows je utopií, protože operační systém je navržen tak, aby udržoval neustálé spojení se svými servery. Odhalení, že skrytý identifikátor může ohrozit anonymitu VPN, zdůrazňuje obrovskou propast v transparentnosti mezi tím, co si uživatel myslí, že má pod kontrolou, a tím, co Microsoft skutečně monitoruje.