- ה-GDID הוא מזהה קבוע המוקצה לכל התקנת Windows המאפשר מעקב אחר מכשיר ללא קשר לכתובת ה-IP או לשימוש ב-VPN.
- קיומה נחשף הודות להליך משפטי של ה-FBI נגד קבוצת Scattered Spider, והדגים את יכולתה לקשר נתונים.
- בניגוד למזהי פרסום, ל-GDID אין מתג כיבוי רשמי והוא קשור לשירותי מערכת קריטיים ולחשבון Microsoft שלך.
ייתכן שאתם מרגישים בטוחים בשימוש ב-VPN או בגלישה במצב גלישה בסתר, וחושבים שאתם בלתי נראים באינטרנט, אבל יש אורח שקט במחשב שלכם שמספר סיפור שונה לגמרי. אנחנו מדברים על GDID, או מזהה התקן גלובלי , סוג של לוחית רישוי דיגיטלית ש-Microsoft מקצה למערכת שלכם, ושבניגוד לעוגיות, לא נמחקת פשוט על ידי ניקוי הדפדפן או שינוי שרת הפרוקסי שלכם.
מנגנון זה הפך מפרט טכני הקבור במדריכים פנימיים למרכזו של ויכוח סוער על פרטיות . הסיבה פשוטה: בעוד שכתובת IP היא תנודתית ויכולה להשתנות תוך שניות, ה-GDID נשאר קבוע, מה שמאפשר לכל מי שיש לו גישה לרשומות אלו לחבר את נקודות הפעילות שלכם לאורך זמן ומרחב, מבלי שתשימו לב לכך.
מה זה בעצם GDID ואיך זה עובד?
במילים פשוטות, ה-GDID הוא מספר ייחודי המקושר להתקנה ספציפית של Windows. זה לא קוד שנוצר באופן אקראי במחשב שלך; אלא, זהו PUID של התקן בגודל 64 סיביות ששרתי מיקרוסופט (במיוחד דרך login.live.com) מקצים לך בעת רישום המערכת שלך. לאחר קבלתו, Windows מאחסן אותו ברישום, ספציפית בנתיב MicrosoftIdentityCRL , שם הוא נשאר קריא גם ללא הרשאות מנהל.
מזהה זה הוא המרכיב המרכזי בטלמטריה מודרנית. שירותים כמו Connected Devices Platform (CDP) ו-Delivery Optimization משתמשים בו כדי לדווח על מצב המכשיר. מה שבולט ביותר הוא שה-GDID שורד עדכוני מערכת ורוב שינויי החומרה, אם כי אם תבצעו התקנה נקייה של Windows מאפס, המערכת תיצור התקנה חדשה. עם זאת, אם תיכנסו שוב באמצעות חשבון Microsoft שלכם, החברה יכולה לקשר את ההתקנה החדשה לישנה באמצעות גיבובי חומרה אחרים.
מקרה העכביש המפוזר: כאשר ה-GDID חושף האקר
העולם למד על קיומו של המכשיר הזה לא באמצעות הודעה לעיתונות, אלא באמצעות תיק בית משפט של ה-FBI. פיטר סטוקס בן ה-19, חבר לכאורה בקבוצת פושעי הסייבר Scattered Spider , עקב אחר מידע זה. סטוקס האמין שהוא מוגן באמצעות פרוקסי ו-VPN כדי לתקוף חנות תכשיטי יוקרה, אך הוא עשה טעות אנושה: הוא השתמש באותו מכשיר לפעילותו הפלילית ולחשבונות המדיה החברתית האישיים שלו.
ה-FBI ביקש רישומים ממיקרוסופט וגילה ש-GDID ספציפי היה פעיל בדיוק ברגע שבו נוצר חשבון ngrok ששימש במתקפה. משם, השחזור היה כירורגי. הם הצליחו לראות שאותו מזהה התחבר מאסטוניה , ניו יורק ותאילנד , תוך הצלבת הנתונים עם כניסות לסנאפצ'ט, פייסבוק ואפל. בסופו של דבר, ה-VPN הסתיר רק את כתובת ה-IP, אך ה- GDID נדד מחוץ למנהרה , ובגד בחשוד בכל צעד.
פרטיות מול פונקציונליות: הדילמה של מיקרוסופט
כאן הדברים מסתבכים. בניגוד לאנדרואיד או iOS, שבהם ניתן לאפס את מזהה הפרסום בכמה לחיצות, ב-Windows אין מתג כיבוי עבור ה-GDID. מיקרוסופט מגדירה אותו פשוט כמזהה פנימי, אך מומחי אבטחה כבר תייגו אותו כתוכנת מעקב עקב חוסר שקיפות והסכמה.
הבעיה היא ש-GDID מושרש עמוק כל כך שניסיון להסירו לחלוטין עלול לשבש תפקודים חיוניים. כלי הפעלה ואפליקציות של Microsoft Store (UWP) מסתמכים על מערכת זהות זו. אם תחסום את התקשורת עם שרתי הזהות, סביר להניח שתפסיק לקבל עדכונים או שרישיון Windows שלך עלול להתחיל לתפקד כראוי, מה שיוצר תלות כפויה בין כלי השירות של המערכת למעקב מתמשך.
האם ניתן למנוע או לצמצם מעקב אחר GDID?
אם אינך רוצה שהמחשב שלך יהיה ספר פתוח עבור הטלמטריה של רדמונד, ישנם כמה צעדים שתוכל לנקוט, אם כי אף אחד מהם אינו תרופת קסם. האפשרות הטובה ביותר היא להשתמש בחשבון מקומי במקום בחשבון מיקרוסופט; אמנם זה לא מבטל לחלוטין את ה-GDID (מכיוון שהמערכת יכולה ליצור מזהה אנונימי), אך זה מפחית באופן דרסטי את כמות הנתונים האישיים המקושרים למספר זה. חיוני גם להגדיר את הגדרות הפרטיות ב-Windows 11 כדי להשבית נתוני אבחון אופציונליים ואת מזהה הפרסום.
עבור משתמשים מתקדמים יותר, צצו כלים של צד שלישי, כגון סקריפט PowerShell deGDID שפותח על ידי Windscribe. כלי זה מנסה לנקות את המצב המקומי של המזהה ולחסום את נתיבי הרשת שדרכם Windows מבקש מזהה חדש. עם זאת, מומלץ לנקוט משנה זהירות: תהליך זה פוגע בחוויית המשתמש , מכיוון שהוא עלול לגרום לתקלות ב-OneDrive, Xbox או Windows Hello. עבור אלו הזקוקים לאנונימיות אמיתית, האפשרות היחידה המעשית היא לעבור מהספינה ולעבור להפצות לינוקס באמצעות Tor.
השוואה עם מזהים אחרים
- כתובת IP: זה זמני ומשתנה בהתאם לרשת. ה-GDID הוא קבוע על ידי התקנה.
- עוגיות: הם מאוחסנים בדפדפן וניתן למחוק אותם. ה-GDID נמצא ב ליבת מערכת ההפעלה.
- מזהה פרסום: מיועד לפרסום וניתן להשבית אותו. ה-GDID מיועד ל... אבחון פנימי וטלמטריה.
מזהה גלובלי זה משמש כחוט בלתי נראה המחבר כל פעולה של המחשב שלנו לשרתי מיקרוסופט, ומדגים שאנונימיות ב-Windows היא, במקרה הטוב, אשליה. למרות שישנן דרכים להפחית את טביעת הרגל הדיגיטלית של אדם ולהגביל את העברת הנתונים דרך חשבונות מקומיים או סקריפטים טכניים, ארכיטקטורת המערכת תוכננה כך שזהות המכשיר מקבלת עדיפות על פני רצונו של המשתמש בפרטיות, מה שמדכא את השקיפות לדאגה משנית בהשוואה לצורך של החברה בבקרה ובתמיכה טכנית.