- GDID — це унікальний та постійний ідентифікатор, що призначається кожній інсталяції Windows, який дозволяє відстежувати пристрій незалежно від IP-адреси.
- Для ФБР було ключовим завданням ідентифікувати кіберзлочинця, пов'язавши його діяльність у різних країнах та сервісах, незважаючи на використання VPN.
- Його не можна вимкнути з панелі налаштувань, і він змінюється лише шляхом повної перевстановлення операційної системи.
Іноді ми думаємо, що, використовуючи VPN у Windows або видаляючи файли cookie, ми стаємо невидимими в Інтернеті, але насправді Windows має прихований секрет, який робить нас досить вразливими. Йдеться про Глобальний ідентифікатор пристрою, або GDID , – це свого роду цифровий номерний знак, який операційна система призначає кожній установці та який донедавна був таємницею Полішинеля, що трималася в таємниці Microsoft.
Це питання виявилося найнесподіванішим чином, зокрема, через судовий файл ФБР, пов'язаний з кіберзлочинною групою Scattered Spider. Те, що починалося як кримінальне розслідування, зрештою відкрило величезну скриньку щодо конфіденційності та телеметрії, показавши, що Microsoft має можливість відстежувати пристрій, навіть якщо користувач змінює країну або підключення до Інтернету.
Що ж таке GDID?
Простіше кажучи, GDID — це постійний та унікальний ідентифікатор, безпосередньо пов’язаний із певною інсталяцією Windows. Це не те саме, що IP-адреса, яка змінюється залежно від мережі, або файл cookie браузера, який можна видалити за секунду. Це числове значення, яке дозволяє Microsoft відрізняти одну інсталяцію операційної системи від будь-якої іншої в межах своїх внутрішніх служб.
Важливо уточнити, що цей код може бути пов'язаний як з фізичним комп'ютером, так і з віртуальною машиною . Фактично, якщо у вас є три різні комп'ютери під керуванням Windows, у вас буде три різні GDID, оскільки відбиток пальця належить не самому користувачеві, а системній копії, встановленої на обладнанні.
Як він генерується та де він захований
Оскільки Microsoft не опублікувала жодної інформації та детального технічного посібника, нам довелося вдатися до зворотного проектування та аналізу розширеного трафіку користувачів . Згідно з цим дослідженням, процес починається, коли ми пов’язуємо пристрій з обліковим записом Microsoft. У цей момент служба ідентифікації wlidsvc зв’язується із серверами компанії, щоб запросити PUID пристрою.
Це число, 64-бітове значення, призначене віддалено , зберігається в реєстрі Windows, зокрема в шляху HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties під назвою LID. Після збереження служба Connected Devices Platform бере на себе керування та реєструє його в каталозі пристроїв Microsoft, додаючи літеру «g» на початок, щоб надати йому остаточний формат GDID.
Ключ до спіймання хакера
Небезпека цієї системи була продемонстрована під час арешту Пітера Стокса , підозрюваного члена Scattered Spider. Він намагався замести свої сліди, використовуючи проксі та VPN з різних країн, але саме GDID став тією ниткою, за якою ФБР стежило. Агенти виявили, що, хоча IP-адреса змінювалася, ідентифікатор пристрою залишався незмінним щоразу, коли він звертався до таких сервісів, як ngrok, Snapchat або Facebook.
- GDID дозволив точки з'єднання між IP-адресами в Таллінн, Естоніята ще один у Нью-Йорку.
- Діяльність команди була пов'язана з доступом до облікових записів Apple та Ubisoft.
- Збереження коду дозволило створити точний графік про пересування підозрюваного.
Найбільше тривожить те, що цей трекер виживає після системних оновлень. Існує лише один спосіб змінити GDID: виконати повну перевстановлення Windows з нуля. Однак, якщо користувач знову входить у систему з тим самим обліковим записом, Microsoft може повторно прив’язати нову інсталяцію до попередньої, використовуючи інші дані екосистеми.
Дебати щодо конфіденційності та відсутності прозорості
Ось тут і починаються проблеми. У той час як Android та iOS пропонують чіткі перемикачі для керування рекламним ідентифікатором, Windows GDID практично невидимий . На панелі налаштувань немає кнопки, щоб переглянути його, скинути або, ще краще, вимкнути. Microsoft лише дуже розпливчасто згадала про нього в документації Azure Monitor, розглядаючи його як внутрішні дані.
Багато експертів з кібербезпеки описують таку поведінку як відверте програмне забезпечення для стеження. Проблема не в тому, що системі потрібен ідентифікатор для керування ліцензіями чи оновленнями, а в тому, що його використовують для співвіднесення мережевої активності між різними IP-адресами та в різні часи без явної та чіткої згоди користувача.
Як ми можемо обмежити це відстеження?
Якщо вас турбує обсяг даних, які Windows надсилає до Редмонда, є кілька кроків, які ви можете зробити, хоча вони не є надійними. Найефективнішим варіантом є використання локального облікового запису замість облікового запису Microsoft, що зменшує прямий зв’язок з вашою онлайн-ідентичністю, хоча GDID все ще може існувати анонімно.
Також рекомендується перейти в Налаштування > Конфіденційність і безпека та вимкнути все, що пов’язано з додатковою діагностикою, персоналізованою рекламою та пошуком хмарного контенту. Для тих, хто працює з надзвичайно конфіденційною інформацією, наприклад, журналістів чи активістів, єдиним реальним рішенням є перехід на Linux та перегляд Tor, оскільки комерційного VPN недостатньо для обходу GDID.
Ця система цифрового маркування демонструє, що абсолютна конфіденційність у середовищах Windows є утопією, оскільки операційна система розроблена для підтримки постійного з’єднання зі своїми серверами. Виявлення того, що прихований ідентифікатор може поставити під загрозу анонімність VPN, підкреслює величезну розрив у прозорості між тим, що, на думку користувача, він контролює, і тим, що насправді контролює Microsoft.