- GDID – це постійний код, що призначається кожній інсталяції Windows, який дозволяє відстежувати пристрої незалежно від IP-адреси чи VPN.
- Його існування стало надбанням громадськості завдяки судовому процесу проти хакерської групи Scattered Spider та втручанню ФБР.
- Немає офіційної можливості вимкнути його без шкоди для активації системи та доступу до Microsoft Store.
Ви, мабуть, чули про файли cookie або IP-адреси, коли йдеться про відстеження в Інтернеті, але в тіні наших ПК ховається щось набагато глибше та непомітніше. Виявляється, що Microsoft деякий час тому впровадила своєрідний незмивний цифровий номерний знак під назвою GDID, який по суті дозволяє компанії точно знати, яка інсталяція Windows підключається до її серверів, незалежно від того, де ви знаходитесь.
Найцікавіше те, що цей механізм роками залишався абсолютно непоміченим більшістю користувачів. На панелі керування немає кнопки з написом «Я активний», ані прапорця для його вимкнення. Правда в тому, що ми дізналися про його існування не з інструкції користувача, а завдяки судовій справі в Сполучених Штатах, яка розкрила, як ФБР використало його, щоб спіймати кіберзлочинця, який вважав себе невидимим за VPN.
Що ж таке GDID і для чого він використовується?
Для тих, хто не знайомий з технічним жаргоном Microsoft, GDID (або глобальний ідентифікатор пристрою) — це унікальний і постійний код, пов’язаний з певною інсталяцією операційної системи. Це не те саме, що ідентифікатор обладнання вашої материнської плати чи серійний номер вашого жорсткого диска; це радше цифровий ідентифікатор, який Microsoft призначає вашій встановленій копії Windows, незалежно від того, чи на фізичному комп’ютері, чи на віртуальній машині.
За словами самої компанії, цей ідентифікатор використовується для керування внутрішніми процесами, такими як розповсюдження оновлень , перевірка ліцензій та робота програм Microsoft Store. По суті, це спосіб Windows сказати «це знову я» під час взаємодії з хмарними сервісами Microsoft, забезпечуючи узгоджений досвід та належну активацію програмного забезпечення.
Скандал із «Розсіяним павуком» та розслідування ФБР
Історія набула цікавого повороту, коли ФБР почало переслідувати Пітера Стокса, підозрюваного члена хакерської групи Scattered Spider. Стокс був експертом у переховуванні; він використовував проксі-сервери, VPN та постійно змінював країни , переміщаючись між Естонією, Нью-Йорком та Таїландом. Для будь-якого звичайного слідчого відстеження його було б кошмаром, оскільки його IP-адреси змінювалися кожні кілька хвилин.
Однак, GDID був ключовим елементом пазлу. Хоча IP-адреса була іншою, ідентифікатор встановлення Windows залишився тим самим. Агенти могли бачити, що той самий код g:decimal відвідував сторінку реєстрації тунельних інструментів, таких як ngrok, і невдовзі після цього відкривав веб-сайт магазину розкішних ювелірних виробів, який був скомпрометований. Зіставивши ці дані з логінами облікових записів Snapchat та Apple, ФБР змогло відстежити точну хронологію його пересування та діяльності, повністю викривши хакера.
Як генерується цей код і де він прихований?
За відсутності детальної офіційної документації, експертам з реверс-інжинірингу довелося виконати брудну роботу, щоб зрозуміти, як це працює. Все починається з того, що ви підключаєте свій ПК до облікового запису Microsoft. У цей момент служба wlidsvc зв'язується із серверами login.live.com та запитує PUID (ідентифікатор паспорта). Це значення не створюється на вашому комп'ютері на основі апаратного забезпечення; натомість воно призначається безпосередньо Microsoft зі своїх серверів.
Після отримання Windows зберігає ці дані в системному реєстрі, зокрема в шляху MicrosoftIdentityCRLExtendedProperties зі значенням LID. Далі платформа підключених пристроїв (CDPSvc) реєструє комп’ютер у каталозі пристроїв Microsoft, додаючи на початок малу літеру «g». Це завершує процес, залишаючи 64-бітний цифровий відбиток , який проходить через телеметрію та звіти оптимізації доставки.
Дилема конфіденційності та відсутності контролю
Ось тут і починаються проблеми. На відміну від Android чи iOS, які запитують, чи хочете ви поділитися своїм рекламним ідентифікатором, або дозволяють скинути його одним клацанням миші, Windows не має екрана згоди чи опції для його вимкнення. Експерти з питань конфіденційності назвали це «програмним забезпеченням для спостереження», оскільки користувач не має контролю над цими даними.
Багато хто задається питанням, чи вирішує проблему перевстановлення Windows. Технічно, чиста інсталяція генерує новий GDID, але є один нюанс: якщо ви знову ввійдете в систему з тим самим обліковим записом Microsoft, компанія може пов’язати нову інсталяцію зі старою через OneDrive, активацію системи та інші записи. Таким чином, історія активності не стирається повністю; вона просто змінює код посилання.
Чи є якийсь спосіб обмежити це відстеження?
Якщо ви хвилюєтеся, що Microsoft знає забагато про ваш пристрій, є кілька кроків, які ви можете зробити, хоча вони не є повним рішенням. Один із найбільш рекомендованих варіантів – використовувати локальний обліковий запис замість облікового запису Microsoft, що значно зменшує прямий зв’язок із вашою онлайн-ідентичністю. Також важливо перейти до розділу «Конфіденційність і безпека» та вимкнути додаткові діагностичні дані та персоналізовану рекламу.
Однак, будьмо реалістами: примусове видалення GDID зазвичай порушує активацію Windows та доступ до Microsoft Store . Для тих, хто працює з надзвичайно конфіденційною інформацією, як-от журналісти чи активісти, єдиним реальним рішенням є перехід на Linux та перегляд Tor, оскільки GDID – це ідентифікаційний рівень, який працює під будь-якою встановленою комерційною VPN.
Коротше кажучи, GDID – це потужний інструмент, який дозволяє Microsoft та владі постійно ідентифікувати інсталяцію Windows, минаючи VPN та анонімність IP-адрес. Хоча його призначення є технічним, відсутність прозорості та неможливість його вимкнення без порушення роботи системи викликають необхідну дискусію про те, скільки конфіденційності насправді залишилося в найпоширенішому у світі середовищі робочого столу.
