Windows и GDID: как постоянный идентификатор переживает обновления

Windows помнит устройство: что дело ФБР раскрыло о постоянном идентификаторе GDID​

Федеральное уголовное дело в США привлекло внимание к Global Device Identifier - постоянному идентификатору, с помощью которого Microsoft различает отдельные установки Windows. Согласно судебным материалам, GDID сохраняется при обновлениях операционной системы и позволяет связывать телеметрию одного устройства, даже когда его внешний IP-адрес меняется из-за VPN или прокси-сервера. В расследовании этот идентификатор сопоставили с сетевой активностью, аккаунтами и маршрутами подозреваемого. Само существование идентификаторов устройств не было полностью секретным, однако пользователям Windows почти ничего не объясняли о GDID, его долговечности и доступных способах управления им.

Что Microsoft подтвердила в материалах уголовного дела​

В опубликованном заявлении агента ФБР приводится определение, полученное от представителя Microsoft. Global Device Identifier описывается как постоянный идентификатор уровня устройства, предназначенный для уникального распознавания установки Windows в определенных сервисах и сценариях Microsoft.
GDID относится не обязательно к конкретному физическому компьютеру. Отдельный идентификатор может быть присвоен установке Windows на ноутбуке, настольном компьютере или виртуальной машине.
Главная особенность - постоянство. Обычные обновления Windows не меняют GDID. Для систем Microsoft это остается та же установка операционной системы, даже если меняются версия, исправления безопасности и сетевое окружение.
При полной переустановке Windows создается новый идентификатор. В судебном документе отдельно отмечено, что у одного пользователя может быть несколько GDID, если он использует несколько установок системы.

Почему называть GDID полностью секретным идентификатором неточно​

История получила заголовки о том, что Microsoft впервые признала существование скрытого идентификатора. Это яркая, но не совсем точная формулировка.
Названия GlobalDeviceId и WUDeviceID ранее встречались в технических справочниках Microsoft. В таблицах Azure Monitor поле GlobalDeviceId описывается как внутренний глобальный идентификатор устройства Microsoft, а в документации диагностических событий Windows Update упоминается Global Device ID, используемый для распознавания устройства.
Проблема в другом: документация объясняла поле одной строкой и была ориентирована на разработчиков и корпоративных администраторов. Обычному владельцу компьютера не показывали отдельный экран с описанием GDID, сроком его существования и историей связанных с ним данных.
Судебное дело не столько раскрыло неизвестное название, сколько показало реальную силу идентификатора. Стало понятно, что записи, объединенные одним GDID, могут использоваться для восстановления многомесячной картины активности устройства.

Как GDID помог связать активность через VPN и прокси​

Фигурантом американского дела стал предполагаемый участник кибергруппы Scattered Spider. Следствие утверждает, что при сетевых операциях использовались VPN-серверы и сервис защищенного туннелирования ngrok.
IP-адреса в такой схеме менялись и не всегда напрямую указывали на местонахождение пользователя. Однако в записях Microsoft продолжал фигурировать один и тот же GDID установки Windows.
По данным обвинения, устройство с этим идентификатором открыло страницу регистрации ngrok в ту же минуту, когда был создан интересовавший следствие аккаунт. Позже тот же GDID появлялся при обращении к VPN-инфраструктуре и сайту атакованной компании.
VPN скрывал исходный адрес от посещаемого ресурса, но не мешал самой Windows или сервисам Microsoft передавать собственный идентификатор вместе с диагностической активностью. Сетевой адрес менялся, а маркер установки системы оставался прежним.

Какие данные сопоставили вокруг одного компьютера​

Следователи не использовали GDID как самостоятельное доказательство личности. Его объединили с информацией от других компаний, журналами IP-адресов, данными аккаунтов и сведениями о поездках.
В материалах дела устройство с одним GDID появлялось на адресах в Таллине, Нью-Йорке и Таиланде. В те же периоды через соответствующие IP-адреса открывались аккаунты Snapchat, Facebook и Apple, которые следствие связывает с подозреваемым.
Снимки из Snapchat дополнительно сравнивали с отелями и датами поездок. Также анализировалась активность аккаунта Ubisoft и входы в онлайн-игру.
GDID стал общей нитью, но картина сложилась благодаря множеству источников. Судебный документ показывает не всесильный идентификатор, который сам называет владельца, а способ связать разрозненные записи одного устройства с уже известными аккаунтами и физическими перемещениями.

Какие сведения могла передавать Windows​

Сам GDID представляет собой идентификатор, а не готовую историю браузера. Его значение раскрывается, когда он прикрепляется к другим событиям телеметрии.
В судебном деле записи Microsoft содержали данные о посещении определенных страниц, времени обращения и сетевых адресах устройства. Благодаря этому следствие сопоставило момент регистрации ngrok с конкретной установкой Windows.
Каким именно компонентом Windows были переданы все упомянутые URL, в материалах дела подробно не объясняется. Технические издания допускают участие расширенной диагностической телеметрии, Microsoft Defender, SmartScreen или связанных облачных сервисов.
Объем данных зависит от версии Windows, настроек диагностики, используемых приложений и сервисов Microsoft. Поэтому нельзя утверждать, что каждый компьютер автоматически отправляет Microsoft полную историю всех сайтов в одинаковом объеме.

Можно ли отключить или сбросить GDID​

В пользовательских настройках Windows нет отдельной кнопки «Отключить GDID» или «Сбросить Global Device Identifier». Microsoft также не публикует обычную инструкцию для владельца компьютера по управлению этим идентификатором.
Судебный документ подтверждает, что GDID меняется после переустановки Windows. Он не подтверждает популярное утверждение о том, что любое ручное удаление идентификатора обязательно ломает активацию и Microsoft Store.
В технических публикациях GDID связывают с системными механизмами обновлений, лицензирования и облачных сервисов. Поэтому попытка удалять неизвестные значения из реестра или блокировать компоненты Windows наугад действительно может привести к ошибкам, но это не официальный способ управления приватностью.
Практический вывод неприятен: у пользователя нет прозрачного и поддерживаемого Microsoft переключателя, который гарантированно отключает именно GDID, не затрагивая другие функции системы.

Поможет ли чистая переустановка Windows​

Согласно объяснению Microsoft в судебном документе, после чистой переустановки операционной системы создается новый GDID. Старый идентификатор не переносится как идентификатор той же установки.
Это не означает автоматического разрыва всей предыдущей истории. После переустановки пользователь может снова войти в ту же учетную запись Microsoft, подключить те же облачные сервисы, использовать прежний браузерный профиль, номер телефона и платежные данные.
Такие признаки позволяют платформе связать старое и новое устройство на уровне аккаунта, даже если GDID уже другой. Однако опубликованные материалы не подтверждают, что Microsoft всегда автоматически объединяет новый GDID со всей историей старого.
Переустановка меняет конкретный маркер Windows, но не превращает человека в нового пользователя для всех сервисов, в которые он затем снова авторизуется.

Почему локальная учетная запись решает проблему лишь частично​

Установка Windows с локальной учетной записью уменьшает прямую связь компьютера с профилем Microsoft. Это полезно, если пользователю не нужны постоянная синхронизация настроек, OneDrive, автоматический вход в Store и другие облачные функции.
Но отсутствие Microsoft Account не гарантирует исчезновение всех идентификаторов устройств. Windows Update, защитные компоненты, диагностические события и отдельные приложения продолжают обращаться к инфраструктуре Microsoft.
GDID существует как идентификатор установки Windows в определенных сервисах, а не только как номер пользовательского аккаунта. Поэтому локальная учетная запись снижает связанность данных, но не является подтвержденным способом полностью убрать GDID.
При последующем входе в Microsoft Store, Edge, OneDrive или другую службу устройство снова может быть связано с конкретным облачным профилем.

Что реально можно изменить в настройках приватности​

Полностью управлять GDID через интерфейс нельзя, но можно сократить объем сопутствующих данных. В Windows следует открыть настройки конфиденциальности и диагностики, отключить необязательные диагностические данные, персонализированные возможности и отправку дополнительных сведений об использовании.
Отдельно можно отключить рекламный идентификатор, историю действий, ненужные разрешения приложений, облачную синхронизацию и автоматическую передачу образцов в защитные сервисы, если это соответствует модели использования компьютера.
Нужно учитывать, что рекламный ID и GDID - разные идентификаторы. Сброс рекламного номера не меняет Global Device Identifier установки Windows.
Для контроля полезно также разделять рабочие и личные аккаунты, не подключать Microsoft Account без необходимости и периодически проверять список устройств в профиле Microsoft. Эти меры уменьшают количество связей, но не дают гарантии полного исчезновения системной телеметрии.

Почему VPN не решает проблему идентификации устройства​

VPN изменяет видимый внешний IP-адрес и шифрует трафик между устройством и VPN-сервером. Он полезен против наблюдения в локальной сети и скрывает домашний адрес от большинства посещаемых сайтов.
Однако VPN не удаляет идентификаторы, которые приложение или операционная система добровольно добавляют в запрос. Если Windows отправляет GDID непосредственно Microsoft, соединение может пройти через VPN, но сам идентификатор внутри запроса останется прежним.
То же относится к аккаунтам, cookies, токенам приложений и браузерному отпечатку. Пользователь может выглядеть как новый IP-адрес, одновременно оставаясь известным устройством для операционной системы или облачного сервиса.
Дело ФБР показало именно это ограничение: маскировка сетевого маршрута не уничтожила постоянный маркер установки Windows и другие цифровые следы.

Чем GDID отличается от рекламных идентификаторов​

Рекламные идентификаторы Apple, Android и Windows предназначены прежде всего для персонализации рекламы и аналитики приложений. Обычно пользователь может отключить их использование или сбросить значение в настройках.
GDID находится на более глубоком системном уровне. Он используется для распознавания установки Windows в сервисах Microsoft, диагностике и связанных сценариях.
Поэтому отключение персонализированной рекламы не влияет на GDID. Пользователь может запретить приложениям использовать рекламный ID, но Windows продолжит иметь собственные технические идентификаторы для обновлений, безопасности и управления сервисами.
Главная претензия к Microsoft состоит не в самом наличии системного номера. Подобные идентификаторы есть у многих платформ. Вопрос вызывает отсутствие понятного пользовательского описания, журнала использования и отдельного механизма управления.

Затрагивает ли идентификатор 1,6 миллиарда пользователей​

Microsoft сообщала, что количество ежемесячно активных устройств Windows превысило 1,6 миллиарда. Поэтому потенциальный масштаб системных идентификаторов действительно огромен.
Но называть эту цифру точным числом пользователей GDID некорректно. Один человек может иметь несколько компьютеров и виртуальных машин, а одно устройство может использоваться несколькими людьми.
Кроме того, опубликованные документы не подтверждают, что все 1,6 миллиарда установок передают Microsoft одинаковый набор телеметрии и URL. Конфигурации Windows, редакции системы, настройки и подключенные сервисы различаются.
Корректнее говорить, что Windows работает более чем на 1,6 миллиарда активных устройств, а механизм постоянных идентификаторов потенциально имеет глобальный масштаб.

Что эта история меняет для обычного владельца Windows​

GDID не означает, что сотрудник Microsoft в реальном времени наблюдает за экраном каждого компьютера. Это технический идентификатор, который связывает события одного устройства внутри определенных систем компании.
Однако судебное дело показало, насколько подробной может стать картина после объединения телеметрии, IP-адресов, аккаунтов, фотографий и данных других сервисов.
Для обычного пользователя главный вопрос заключается не в необходимости скрываться от следствия. Гораздо важнее понимать, какие данные собирает купленная операционная система, как долго они хранятся и при каких условиях могут быть переданы третьей стороне по законному требованию.
Microsoft получила прямое доказательство того, что малоизвестное техническое поле может превратиться в устойчивый цифровой след устройства. После этого одного предложения в справочнике уже недостаточно для полноценной прозрачности.

Итог​

Судебные материалы по делу предполагаемого участника Scattered Spider раскрыли практическое значение Global Device Identifier в Windows. Представитель Microsoft описал GDID как уникальный постоянный идентификатор установки операционной системы на физическом устройстве или виртуальной машине.
Идентификатор сохраняется при обновлениях Windows и меняется после переустановки. В расследовании его использовали для сопоставления устройства с меняющимися IP-адресами, VPN-инфраструктурой, аккаунтами и перемещениями подозреваемого.
Существование GlobalDeviceId ранее отражалось в технической документации Microsoft, поэтому полностью секретным механизм не был. Главная проблема - отсутствие понятного пользовательского контроля: Windows не предлагает отдельную кнопку сброса или отключения GDID и почти не объясняет владельцу компьютера, где и как применяется этот постоянный маркер.

---

Редакция PavRC