- GDID är en unik och beständig identifierare som tilldelas varje Windows-installation och som gör att enheten kan spåras oavsett IP-adress.
- Det var avgörande för FBI att identifiera en cyberbrottsling genom att länka hans aktiviteter i olika länder och tjänster trots användningen av VPN.
- Den kan inte inaktiveras från inställningspanelen och ändras endast genom en fullständig ominstallation av operativsystemet.
Ibland tror vi att vi är osynliga online genom att använda ett VPN på Windows eller ta bort cookies, men verkligheten är att Windows har ett knep i rockärmen som gör oss ganska exponerade. Vi pratar om Global Device Identifier, eller GDID , en sorts digital registreringsskylt som operativsystemet tilldelar varje installation och som, fram till alldeles nyligen, var en öppen hemlighet som Microsoft höll hemlig.
Denna fråga har uppdagats på det mest oväntade sättet, särskilt genom en FBI-domstolsakt relaterad till den cyberkriminella gruppen Scattered Spider. Det som började som en brottsutredning har öppnat en enorm burk maskar gällande integritet och telemetri, och avslöjat att Microsoft har möjlighet att spåra en enhet även om användaren byter land eller internetanslutning.
Vad är egentligen GDID?
Enkelt uttryckt är GDID en permanent och unik identifierare som är direkt kopplad till en specifik Windows-installation. Det är inte samma sak som en IP-adress, som ändras beroende på nätverket, eller en webbläsarcookie, som du kan radera på en sekund. Det är ett numeriskt värde som gör det möjligt för Microsoft att skilja en operativsysteminstallation från alla andra inom sina interna tjänster.
Det är viktigt att förtydliga att den här koden kan associeras med både en fysisk dator och en virtuell maskin . Om du har tre olika datorer som kör Windows har du faktiskt tre olika GDID:n, eftersom fingeravtrycket inte tillhör användaren själv, utan den systemkopia som är installerad på hårdvaran.
Hur den genereras och var den är dold
Eftersom Microsoft inte har släppt någon information eller publicerat en detaljerad teknisk manual har vi varit tvungna att tillgripa reverse engineering och analysera avancerad användartrafik . Enligt denna forskning börjar processen när vi länkar enheten till ett Microsoft-konto. Vid den tidpunkten kontaktar identitetstjänsten wlidsvc företagets servrar för att begära ett enhets-PUID.
Detta nummer, ett 64-bitarsvärde som tilldelas via fjärrstyrning , lagras i Windows-registret, närmare bestämt i sökvägen HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties under namnet LID. När det har sparats tar tjänsten Connected Devices Platform över och registrerar det i Microsoft Device Directory, och lägger till ett "g" i början för att ge det det slutliga formatet GDID.
Nyckeln till att fånga en hackare
Faran med detta system demonstrerades i gripandet av Peter Stokes , en misstänkt medlem av Scattered Spider. Han försökte dölja sina spår med hjälp av proxyservrar och VPN-tjänster från olika länder, men GDID var den tråd som FBI följde. Agenter upptäckte att, även om IP-adressen ändrades, förblev enhetsidentifieraren densamma varje gång han använde tjänster som ngrok, Snapchat eller Facebook.
- GDID tillät kopplingspunkter mellan en IP-adress i Tallinn, Estlandoch en annan i New York.
- Teamets aktivitet var kopplad till åtkomst till konton för Apple och Ubisoft.
- Kodens persistens möjliggjorde skapandet av en exakt tidslinje av den misstänktes rörelser.
Den mest oroande aspekten är att den här spåraren överlever systemuppdateringar. Det finns bara ett sätt för GDID att ändras: genom att utföra en fullständig ominstallation av Windows från grunden. Men om användaren loggar in igen med samma konto kan Microsoft länka den nya installationen till den tidigare med hjälp av annan ekosystemdata.
Debatten om integritet och bristen på transparens
Det är här det blir jobbigt. Medan Android och iOS erbjuder tydliga växlar för att hantera annonsidentifieraren, är Windows GDID praktiskt taget osynligt . Det finns ingen knapp i inställningspanelen för att visa den, återställa den eller, ännu hellre, inaktivera den. Microsoft har bara nämnt den mycket vagt i Azure Monitor-dokumentationen och behandlar den som interna data.
Många cybersäkerhetsexperter har beskrivit detta beteende som ren övervakningsprogramvara. Problemet är inte att systemet behöver ett ID för att hantera licenser eller uppdateringar, utan att det används för att korrelera nätverksaktivitet över olika IP-adresser och tider utan användarens uttryckliga och tydliga samtycke.
Hur kan vi begränsa denna spårning?
Om du är orolig över mängden data som Windows skickar till Redmond finns det några åtgärder du kan vidta, även om de inte är idiotsäkra. Det mest effektiva alternativet är att använda ett lokalt konto istället för ett Microsoft-konto, vilket minskar den direkta länken till din onlineidentitet, även om GDID fortfarande kan finnas anonymt.
Det är också lämpligt att gå till Inställningar > Sekretess och säkerhet och inaktivera allt som rör valfri diagnostik, personlig annonsering och sökning i molninnehåll. För de som hanterar extremt känslig information, till exempel journalister eller aktivister, är den enda riktiga lösningen att byta till Linux och surfa via Tor, eftersom ett kommersiellt VPN inte räcker för att kringgå GDID.
Detta digitala taggningssystem visar att absolut integritet i Windows-miljöer är en utopi, eftersom operativsystemet är utformat för att upprätthålla en konstant anslutning till sina servrar. Avslöjandet att en dold identifierare kan äventyra anonymiteten hos ett VPN belyser det enorma transparensgapet mellan vad användaren tror sig kontrollera och vad Microsoft faktiskt övervakar.