- GDID er en unik og vedvarende identifikator, der tildeles hver Windows-installation, og som gør det muligt at spore enheden uanset IP-adressen.
- Det var afgørende for FBI at identificere en cyberkriminel ved at forbinde hans aktiviteter i forskellige lande og tjenester på trods af brugen af VPN'er.
- Den kan ikke deaktiveres fra indstillingspanelet og ændres kun gennem en fuldstændig geninstallation af operativsystemet.
Nogle gange tror vi, at vi er usynlige online ved at bruge en VPN på Windows eller slette cookies, men virkeligheden er, at Windows har et trick i ærmet, der gør os ret eksponerede. Vi taler om Global Device Identifier, eller GDID , en slags digital nummerplade, som operativsystemet tildeler hver installation, og som indtil for nylig var en offentlig hemmelighed holdt skjult af Microsoft.
Dette problem er kommet frem i lyset på den mest uventede måde, nærmere bestemt gennem en FBI-retssag relateret til den cyberkriminelle gruppe Scattered Spider. Det, der startede som en kriminel efterforskning, har åbnet en kæmpe dåse orme vedrørende privatliv og telemetri og afsløret, at Microsoft har mulighed for at spore en enhed, selvom brugeren skifter land eller internetforbindelse.
Hvad er GDID præcist?
Kort sagt er GDID en permanent og unik identifikator, der er direkte knyttet til en specifik Windows-installation. Det er ikke det samme som en IP-adresse, som ændrer sig afhængigt af netværket, eller en browsercookie, som du kan slette på et øjeblik. Det er en numerisk værdi, der giver Microsoft mulighed for at skelne én operativsysteminstallation fra enhver anden inden for sine interne tjenester.
Det er vigtigt at præcisere, at denne kode kan være tilknyttet både en fysisk computer og en virtuel maskine . Faktisk, hvis du har tre forskellige computere, der kører Windows, vil du have tre forskellige GDID'er, da fingeraftrykket ikke tilhører brugeren selv, men den systemkopi, der er installeret på hardwaren.
Hvordan den genereres, og hvor den er skjult
Da Microsoft ikke har frigivet nogen oplysninger eller udgivet en detaljeret teknisk manual, har vi været nødt til at ty til reverse engineering og analysere avanceret brugertrafik . Ifølge denne forskning begynder processen, når vi forbinder enheden til en Microsoft-konto. På det tidspunkt kontakter identitetstjenesten wlidsvc virksomhedens servere for at anmode om et enheds-PUID.
Dette tal, en 64-bit værdi, der tildeles eksternt , gemmes i Windows-registreringsdatabasen, nærmere bestemt i stien HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties under navnet LID. Når det er gemt, overtager tjenesten Connected Devices Platform det og registrerer det i Microsoft Device Directory, hvor det tilføjes et "g" i begyndelsen for at give det det endelige format GDID.
Nøglen til at fange en hacker
Faren ved dette system blev demonstreret i anholdelsen af Peter Stokes , et formodet medlem af Scattered Spider. Han forsøgte at dække sine spor ved hjælp af proxyer og VPN'er fra forskellige lande, men GDID var den tråd, FBI fulgte. Agenter opdagede, at selvom IP-adressen ændrede sig, forblev enhedsidentifikatoren den samme, hver gang han tilgik tjenester som ngrok, Snapchat eller Facebook.
- GDID tillod forbindelsespunkter mellem en IP-adresse i Tallinn, Estlandog en anden i New York.
- Holdets aktivitet var knyttet til adgang til konti for Apple og Ubisoft.
- Kodens persistens muliggjorde oprettelsen af en præcis tidslinje af den mistænktes bevægelser.
Det mest foruroligende aspekt er, at denne tracker overlever systemopdateringer. Der er kun én måde, hvorpå GDID kan ændres: ved at udføre en komplet geninstallation af Windows fra bunden. Men hvis brugeren logger ind igen med den samme konto, kan Microsoft linke den nye installation til den forrige ved hjælp af andre økosystemdata.
Debatten om privatliv og manglende gennemsigtighed
Det er her, tingene bliver grimt. Mens Android og iOS tilbyder klare knapper til at administrere annonce-id'et, er Windows GDID praktisk talt usynligt . Der er ingen knap i indstillingspanelet til at se det, nulstille det eller, endnu bedre, deaktivere det. Microsoft har kun nævnt det meget vagt i Azure Monitor-dokumentationen og behandler det som interne data.
Mange cybersikkerhedseksperter har beskrevet denne adfærd som ren overvågningssoftware. Problemet er ikke, at systemet har brug for et ID for at administrere licenser eller opdateringer, men at det bruges til at korrelere netværksaktivitet på tværs af forskellige IP-adresser og tidspunkter uden brugerens eksplicitte og klare samtykke.
Hvordan kan vi begrænse denne sporing?
Hvis du er bekymret over mængden af data, som Windows sender til Redmond, er der nogle trin, du kan tage, selvom de ikke er idiotsikre. Den mest effektive mulighed er at bruge en lokal konto i stedet for en Microsoft-konto, hvilket reducerer den direkte forbindelse til din onlineidentitet, selvom GDID'et muligvis stadig eksisterer anonymt.
Det er også tilrådeligt at gå til Indstillinger > Privatliv og sikkerhed og deaktivere alt relateret til valgfri diagnosticering, personlig annoncering og søgning i cloud-indhold. For dem, der håndterer ekstremt følsomme oplysninger, såsom journalister eller aktivister, er den eneste rigtige løsning at skifte til Linux og browse via Tor, da en kommerciel VPN ikke er nok til at omgå GDID.
Dette digitale taggingsystem demonstrerer, at absolut privatliv i Windows-miljøer er en utopi, da operativsystemet er designet til at opretholde en konstant forbindelse med sine servere. Afsløringen af, at en skjult identifikator kan kompromittere anonymiteten af en VPN, fremhæver den enorme gennemsigtighedskløft mellem, hvad brugeren mener at kontrollere, og hvad Microsoft rent faktisk overvåger.