Nepříliš medializovaný případ americko-estonského hackera se dostal do popředí díky detailu z vyšetřování, který odhalil další šmírovací praktiku Microsoftu. Ze spisu vyplynulo, že každá instalace Windows nese unikátní identifikátor GDID, který je předáván mnoha službám Microsoftu. Nezáleží tak, zda uživatel použije VPN či jinou službu zvyšující soukromí na internetu, Microsoft se vždy dostane ke konkrétnímu stroji. FBI toho využila při vyšetřování a usvědčila 19letého hackera.
Identita v systému
GDID je 64bitové číslo s prefixem „g:“, které přidělují servery Microsoftu. Windows jeho hodnotu ukládají do registru jako LID v části IdentityCRL\ExtendedProperties, přičemž se unikátní identifikátor nemění ani při aktualizacích systému. Nové číslo obdrží pouze nová čistá instalace Windows.
Microsoft používá GDID pro digitální licence a některé služby propojené s účtem. Objevuje se také v telemetrii a systému pro distribuci aktualizací. Při aktivní rozšířené diagnostice prohlížeče Edge může být identifikátor připojen i k záznamům o navštívených adresách. Ve veřejné dokumentaci Microsoftu je přitom tzv. GlobalDeviceId popsán jedinou větou jako interně používaný identifikátor.
Ani VPN nepomohlo
O GDID se nyní hovoří především v souvislosti s vyšetřováním devatenáctiletého Petera Stokese. Americké úřady jej viní ze spolupráce s hackerskou skupinou Scattered Spider při útoku na prodejce luxusních šperků v květnu 2025. Útočníci získali nejméně 77 GB dat a požadovali přibližně 8 milionů dolarů v kryptoměně. Firma výkupné nezaplatila, nicméně škody spojené s výpadkem provozu a vyšetřováním vyčíslila asi na 2 miliony dolarů.
Ze spisu vyplývá, že měl Microsoft v záznamech zařízení s totožným GDID při založení účtu služby ngrok, které o tři hodiny později navštívilo web napadené firmy přes VPN server. Vyšetřovatelé následně porovnali historii skutečné IP adresy s přístupy k účtům na sociálních sítích a s cestovními záznamy z Tallinnu, New Yorku a Thajska. VPN tak sice spolehlivě skryla samotnou komunikaci, nezakryla však identifikátor GDID před Microsoftem. Vyšetřovatelé potom díky tomu získali skutečnou IP adresu a následně identifikovali i konkrétní osobu.
GDID nelze vypnout
Windows vypnutí GDID neumožňují a jediným záznamem je informace v registrech. Omezení diagnostických dat pouze může snížit množství informací připojených k identifikátoru. Nepomůže ani smazání dat z registrů, jakákoliv následná komunikace se servery Microsoftu je vytvoří znovu.
Nové GDID sice vznikne při přeinstalaci systému, jenže Microsoft podle všeho může nový identifikátor spojit s původním hardwarem. Stačí mu k tomu údaje o základní desce, discích a modulu TPM.
Zdroj. ExtremeTech
ČLÁNKY DO MAILU