- Il GDID è un identificatore univoco e permanente assegnato a ogni installazione di Windows che consente di tracciare il dispositivo indipendentemente dall'indirizzo IP.
- Per l'FBI è stato fondamentale identificare un cybercriminale collegando le sue attività in diversi paesi e su diversi servizi, nonostante l'utilizzo di VPN.
- Non è possibile disattivarlo dal pannello delle impostazioni e la modifica è possibile solo tramite una reinstallazione completa del sistema operativo.
A volte pensiamo che usando una VPN su Windows o cancellando i cookie diventiamo invisibili online, ma la realtà è che Windows ha un asso nella manica che ci lascia piuttosto esposti. Stiamo parlando del Global Device Identifier, o GDID , una sorta di targa digitale che il sistema operativo assegna a ogni installazione e che, fino a poco tempo fa, era un segreto di Pulcinella tenuto nascosto da Microsoft.
La questione è venuta alla luce nel modo più inaspettato possibile, nello specifico attraverso un fascicolo giudiziario dell'FBI relativo al gruppo di criminali informatici Scattered Spider. Quella che era iniziata come un'indagine penale si è trasformata in un enorme vaso di Pandora in materia di privacy e telemetria, rivelando che Microsoft è in grado di tracciare un dispositivo anche se l'utente cambia paese o connessione internet.
Che cos'è esattamente GDID?
In parole semplici, il GDID è un identificatore univoco e persistente direttamente collegato a una specifica installazione di Windows. Non è la stessa cosa di un indirizzo IP, che cambia a seconda della rete, o di un cookie del browser, che si può eliminare in un secondo. Si tratta di un valore numerico che consente a Microsoft di distinguere un'installazione del sistema operativo da qualsiasi altra all'interno dei suoi servizi interni.
È importante chiarire che questo codice può essere associato sia a un computer fisico che a una macchina virtuale . Infatti, se si dispone di tre computer diversi con Windows, si avranno tre GDID diversi, poiché l'impronta digitale non appartiene all'utente stesso, ma alla copia del sistema installata sull'hardware.
Come viene generato e dove è nascosto
Poiché Microsoft non ha rilasciato alcuna informazione né pubblicato un manuale tecnico dettagliato, abbiamo dovuto ricorrere al reverse engineering e all'analisi del traffico utente avanzato . Secondo questa ricerca, il processo inizia quando colleghiamo il dispositivo a un account Microsoft. A quel punto, il servizio di identità wlidsvc contatta i server dell'azienda per richiedere un PUID del dispositivo.
Questo numero, un valore a 64 bit assegnato da remoto , viene memorizzato nel registro di sistema di Windows, nello specifico nel percorso HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties con il nome LID. Una volta salvato, il servizio Piattaforma dispositivi connessi lo gestisce e lo registra nella directory dei dispositivi Microsoft, aggiungendo una "g" all'inizio per ottenere il formato finale GDID.
La chiave per catturare un hacker
La pericolosità di questo sistema è stata dimostrata dall'arresto di Peter Stokes , presunto membro di Scattered Spider. Aveva tentato di nascondere le sue tracce utilizzando proxy e VPN da diversi paesi, ma il GDID è stato il filo conduttore seguito dall'FBI. Gli agenti hanno scoperto che, sebbene l'indirizzo IP cambiasse, l' identificativo del dispositivo rimaneva lo stesso ogni volta che accedeva a servizi come ngrok, Snapchat o Facebook.
- GDID consentiva punti di connessione tra un indirizzo IP in Tallinn, Estoniae un altro a New York.
- L'attività del team era collegata all'accesso agli account di Apple e Ubisoft.
- La persistenza del codice ha permesso la creazione di un cronologia esatta dei movimenti del sospettato.
L'aspetto più inquietante è che questo tracker sopravvive agli aggiornamenti di sistema. Esiste un solo modo per modificare il GDID: eseguire una reinstallazione completa di Windows da zero. Tuttavia, se l'utente effettua nuovamente l'accesso con lo stesso account, Microsoft può ricollegare la nuova installazione a quella precedente utilizzando altri dati dell'ecosistema.
Il dibattito sulla privacy e la mancanza di trasparenza
È qui che le cose si complicano. Mentre Android e iOS offrono opzioni chiare per la gestione dell'identificativo pubblicitario, il GDID di Windows è praticamente invisibile . Non esiste un pulsante nel pannello Impostazioni per visualizzarlo, reimpostarlo o, meglio ancora, disabilitarlo. Microsoft lo ha menzionato solo in modo molto vago nella documentazione di Azure Monitor, trattandolo come un dato interno.
Molti esperti di sicurezza informatica hanno descritto questo comportamento come un vero e proprio software di sorveglianza. Il problema non è che il sistema necessiti di un ID per gestire licenze o aggiornamenti, ma che venga utilizzato per correlare l'attività di rete su diversi indirizzi IP e in momenti diversi senza il consenso esplicito e chiaro dell'utente.
Come possiamo limitare questo tracciamento?
Se ti preoccupa la quantità di dati che Windows invia a Redmond, puoi adottare alcune misure, sebbene non siano infallibili. L'opzione più efficace è utilizzare un account locale anziché un account Microsoft, il che riduce il collegamento diretto con la tua identità online, anche se il GDID potrebbe comunque esistere in forma anonima.
È inoltre consigliabile andare in Impostazioni > Privacy e sicurezza e disabilitare tutto ciò che riguarda la diagnostica facoltativa, la pubblicità personalizzata e la ricerca di contenuti nel cloud. Per chi gestisce informazioni estremamente sensibili, come giornalisti o attivisti, l'unica vera soluzione è passare a Linux e navigare tramite Tor, poiché una VPN commerciale non è sufficiente per aggirare il GDID.
Questo sistema di etichettatura digitale dimostra che la privacy assoluta negli ambienti Windows è un'utopia, poiché il sistema operativo è progettato per mantenere una connessione costante con i suoi server. La rivelazione che un identificatore nascosto possa compromettere l'anonimato di una VPN evidenzia l'enorme divario di trasparenza tra ciò che l'utente crede di controllare e ciò che Microsoft effettivamente monitora.