Windows відстежує кожен ПК: як працює секретний ключ Microsoft GDID

Нещодавнє затримання ФБР 19-річного хакера Пітера Стоукса розкрило механізм, який викликає серйозні питання у спільноти: ідентифікатор GDID, що дозволяє Microsoft відстежувати будь-який пристрій під керуванням Windows. Незважаючи на використання VPN та інших засобів анонімізації, дії зловмисника були прив’язані до конкретного ідентифікатора ПК.

Що таке GDID і чому він прихований від користувачів

GDID розшифровується як Global Device Identifier (Глобальний ідентифікатор пристрою). Довгий час компанія Microsoft не розкривала подробиць про його призначення та існування, доки інформація не була підтверджена в ході судового процесу. По суті, GDID є унікальним постійним ключем, прив’язаним до конкретної інсталяції Windows. Ключ генерується на серверах компанії та зберігається в реєстрі операційної системи.

На даний момент цей механізм охоплює близько 1,6 млрд. пристроїв. Ключ залишається незмінним при оновленні системи, але переустановка ОС веде до створення нового ідентифікатора. Тим не менш, історичні дані про попередні зв’язки GDID з обліковими записами зберігаються на стороні Microsoft. Офіційна документація практично відсутня, за винятком короткого запису в таблицях Azure Monitor, де він згадується як внутрішній системний інструмент.

Технічний принцип роботи системи відстеження

Незалежні дослідники (наприклад, Zerotrace Lab) з’ясували, що служба Passport Service запитує сервера унікальний ID і записує його в реєстр. Надалі платформа Windows Connected Devices Platform реєструє пристрій у Microsoft Device Directory Service. GDID щільно інтегрований у роботу багатьох функцій Windows:

• Активація операційної системи та управління ліцензіями;
• Робота Microsoft Store;
• Синхронізація буфера обміну та функція Phone Link;
• Діагностика Windows, що включає історію переглядів у браузері Edge (при активації розширеної діагностики).

У справі Стоукса це відіграло вирішальну роль: ФБР отримали GDID від компанії, що дозволило пов’язати мережеву активність хакера з його фізичним пристроєм, навіть за умови зміни IP-адрес у різних країнах світу.

Чи можна відключити відстеження через GDID

На даний момент технічної можливості повністю заблокувати чи видалити GDID немає, оскільки він глибоко інтегрований у системні процеси. Користувач може лише обмежити обсяг переданих діагностичних даних, однак ідентифікатор продовжить існувати в системі та базі даних Microsoft.

Як дізнатися свій GDID за 5 секунд?

Перевірити, який GDID присвоєний вашому пристрої, можна за допомогою команди PowerShell:

$hex = (Get-ItemProperty ‘HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties’).LID; “g:$([Convert]::ToUInt64($hex,16))”

Як запевняє Microsoft, цей ідентифікатор є внутрішнім і не передається рекламним мережам, проте він доступний для передачі правоохоронним органам за офіційним юридичним запитом.