Microsoft отслеживает каждый ПК с Windows с помощью секретного ключа: как это работает

Недавно стало известно, что 19-летнего хакера Питера Стоукса удалось задержать благодаря идентификатору GDID на его ПК с Windows. Это вызвало беспокойство в связи с тем, что Microsoft способна отслеживать практически любой компьютер под управлением собственной ОС.

Что такое GDID и почему Microsoft тщательно скрывает этот секретный ключ

Microsoft никогда не раскрывала подробностей о GDID и только после обращения в федеральный суд компания подтвердила его существование. Это идентификатор, полное название которого — Global Device Identifier (глобальный идентификатор устройства). Именно с его помощью удалось поймать Питера Стоукса, который в составе хакерской группировки взломал систему безопасности ювелирного магазина. Стоукс использовал VPN, прокси и большое количество псевдонимов, однако с помощью GDID его всё равно удалось идентифицировать и задержать.

Однако механизм отслеживания, который работает на около 1,6 млрд устройств под управлением Windows по всему миру действительно вызывает беспокойство. GDID — это, по сути, постоянный ключ, привязанный к конкретной установке Windows. Он генерируется внешне, на серверах Microsoft, и хранится в локальном реестре.

Каждая установка Windows получает этот ключ, будь то физический ПК или виртуальная машина. В собственном описании Microsoft, которое представители компании предоставили в рассекреченном иске по делу “Соединенные Штаты против Питера Стоукса”, GDID называется “постоянным идентификатором на уровне устройства, предназначенным для однозначной идентификации установка Windows на этом устройстве”.

GDID сохраняется после обновлений Windows и остается неизменным при большинстве изменений в системе. Однако при переустановке ОС будет присвоен новый GDID. Однако старый идентификатор и все привязанные к нему данные останутся на серверах Microsoft.

Особенно беспокоит отсутствие документации по GDID. Единственная общедоступная документация полностью исчерпывается одной строкой в справочной таблице Azure Monitor, в котором столбец GlobalDeviceId описывается как “глобальный идентификатор устройства Microsoft, используемый внутри компании”. Ни отдельной страницы поддержки, ни более подробного объяснения нет. Подробно представители Microsoft объяснили принцип работы этого идентификатора только в заявлении, поданном в федеральный суд.

Как с помощью GDID удалось установить личность Питера Стоукса

Независимые исследователи, которые провели обратное проектирование механизма, предоставили дополнительную информацию о работе GDID. Служба под названием Passport Service получает сгенерированный сервером идентификатор и записывает его локально в реестр. Оттуда платформа Windows Connected Devices Platform перехватывает его и регистрирует в системе идентификации устройств Microsoft Device Directory Service.

Этот идентификатор встроен в широкий спектр функций Windows. К ним относятся активация ОС, покупки в Microsoft Store, лицензирование приложений, функция Phone Link, синхронизация буфера обмена между устройствами и многое другое.

Обычные диагностические данные Windows также содержат GDID. Если в Microsoft Edge включена расширенная диагностика, к ней также будет привязана история просмотров. Именно это помогло следователям собрать доказательства против Стоукса.

ФБР удалось отследить атаку хакерской группы, в которую входил Стоукс, вплоть до него самого, получив от Microsoft GDID его компьютера. Записи показали, что тот же GDID подключался к странице регистрации ngrok в тот момент, когда была создана учетная запись ngrok злоумышленника, а затем через несколько часов и через тот же VPN-прокси достигал сайта жертвы.

Один и тот же GDID был обнаружен на IP-адресах в Таллинне, Нью-Йорке и Таиланде с разницей в несколько месяцев, что подтверждается данными о поездках и фотографиями подозреваемого в социальных сетях.

Можно ли предотвратить генерацию GDID

Пользователи мало что могут сделать, поскольку нет способа предотвратить генерацию GDID. Единственное, что остается, — это уменьшить объем диагностических данных и истории активности, что сократит количество дополнительной информации, которая будет добавляться к идентификатору в будущем. Однако нет никакого способа удалить его, если он уже хранится в базе данных Microsoft.

Поскольку GDID фактически хранится локально, в реестре, каждый может увидеть свой собственный, и для этого не требуются специальные учетные данные. Достаточно выполнить простую команду PowerShell: $hex = (Get-ItemProperty ‘HKCU:SOFTWAREMicrosoftIdentityCRLExtendedProperties’).LID “g:$([Convert]::ToUInt64($hex,16))”

Согласно документам Microsoft, GDID предназначен исключительно для внутреннего использования в компании. Нет никаких доказательств того, что он передается третьим лицам, в частности рекламодателям. Исключение составляют правоохранительные органы, поскольку официальные учреждения могут запрашивать ключ в рамках стандартных юридических процедур, таких как судебное постановление или повестки.

Источник: Neowin