Windows отслеживает каждый ПК: как работает секретный ключ Microsoft GDID

Недавнее задержание ФБР 19-летнего хакера Питера Стоукса вскрыло механизм, который вызывает серьезные вопросы у сообщества: идентификатор GDID, позволяющий Microsoft отслеживать практически любое устройство под управлением Windows. Несмотря на использование VPN и других средств анонимизации, действия злоумышленника были привязаны к конкретному идентификатору его ПК.

Что такое GDID и почему он скрыт от пользователей

GDID расшифровывается как Global Device Identifier (глобальный идентификатор устройства). Долгое время компания Microsoft не раскрывала подробностей о его назначении и существовании, пока информация не была подтверждена в ходе судебного процесса. По сути, GDID — это уникальный постоянный ключ, привязанный к конкретной инсталляции Windows. Ключ генерируется на серверах компании и сохраняется в реестре операционной системы.

В настоящий момент этот механизм охватывает около 1,6 млрд устройств. Важно отметить, что ключ остается неизменным при обновлении системы, но переустановка ОС ведет к созданию нового идентификатора. Тем не менее, исторические данные о предыдущих связках GDID с учетными записями хранятся на стороне Microsoft. Официальная документация практически отсутствует, за исключением краткой записи в таблицах Azure Monitor, где он упоминается как внутренний системный инструмент.

Технический принцип работы системы отслеживания

Независимые исследователи (например, Zerotrace Lab) выяснили, что служба «Passport Service» запрашивает у сервера уникальный ID и записывает его в реестр. В дальнейшем платформа «Windows Connected Devices Platform» регистрирует устройство в Microsoft Device Directory Service. GDID плотно интегрирован в работу многих функций Windows:

• Активация ОС и управление лицензиями;
• Работа Microsoft Store;
• Синхронизация буфера обмена и функция Phone Link;
• Диагностика Windows, включающая историю просмотров в браузере Edge (при активации расширенной диагностики).

В деле Стоукса это сыграло решающую роль: ФБР получили GDID от компании, что позволило связать сетевую активность хакера с его физическим устройством, даже при условии смены IP-адресов в разных странах мира.

Можно ли отключить отслеживание через GDID

На текущий момент технической возможности полностью заблокировать или удалить GDID не существует, так как он глубоко интегрирован в системные процессы. Пользователь может лишь ограничить объем передаваемых диагностических данных, однако идентификатор продолжит существовать в системе и базе данных Microsoft.

Как узнать свой GDID за 5 секунд?

Проверить, какой GDID присвоен вашему устройству, можно с помощью команды в PowerShell:

$hex = (Get-ItemProperty ‘HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties’).LID; «g:$([Convert]::ToUInt64($hex,16))»

По заверениям Microsoft, этот идентификатор является внутренним и не передается рекламным сетям, однако он доступен для передачи правоохранительным органам по официальному юридическому запросу.