Microsoft mydlił nam oczy. Tak, twój laptop cię śledzi
Windows 11 ma identyfikator, którego nie da się wyłączyć. GDID właśnie stał się najgorętszym tematem w świecie prywatności.
Do Sieci trafił raport opisujący, jak FBI namierzyło jednego z członków grupy Scattered Spider - a jej zawartość jest co najmniej sensacyjna. Nie dlatego, że podejrzany 19-latek z Helsinek miał przy sobie dwa dyski 2 TB i bilet do Japonii. Nie dlatego, że śledczy prześledzili jego podróże przez Estonię, Tajlandię i Stany Zjednoczone. Największym zaskoczeniem okazało się coś innego: Windows 11 od lat korzysta z ukrytego identyfikatora urządzenia, GDID, którego nie da się wyłączyć.
Czytaj też:
Czym właściwie jest GDID i dlaczego nikt o nim nie słyszał?
Global Device ID (GDID) to trwały, unikalny identyfikator przypisywany instalacji Windowsa. Nie jest wyliczany lokalnie, nie zależy od sprzętu, nie jest powiązany z numerem seryjnym płyty głównej. Generuje go serwer Microsoftu w momencie, gdy logujesz się na swoje konto Microsoft Account. Windows pobiera go, zapisuje w rejestrze, a potem różne usługi systemowe - od Connected Devices Platform po Delivery Optimization - wysyłają go z powrotem do Microsoftu przy okazji rozmaitych operacji.
W praktyce oznacza to, że:
- GDID jest przypisany do instalacji Windowsa, nie do sprzętu.
- Przetrwa aktualizacje, ale nie przetrwa czystej reinstalacji.
- Po reinstalacji dostajesz nowy GDID, ale… Microsoft może powiązać go z poprzednim, jeśli zalogujesz się na to samo konto i korzystasz z tych samych usług.
Brzmi jak coś, o czym użytkownik powinien wiedzieć? Oczywiście. Problem w tym, że Microsoft nigdy nie opisał GDID w dokumentacji dla zwykłych użytkowników. Jedyna wzmianka pojawiła się w jakiejś niszowej tabeli Azure Monitor, gdzie GDID został określony jako „identyfikator używany wewnętrznie”.
Jak FBI wykorzystało GDID do namierzenia hakera
Historia jest prosta: Peter Stokes, domniemany członek Scattered Spider, używał jednego komputera do wszystkiego. Logował się na konta społecznościowe, grał w Growtopię, podróżował po świecie, a jednocześnie brał udział w atakach na firmy, w tym na luksusowego jubilera, od którego grupa próbowała wyłudzić 8 mln dolarów.
Stokes korzystał z VPN‑ów, proxy, tuneli i narzędzi typu ngrok. Ale GDID nie obchodziło jaki serwer VPN wybrał. Identyfikator był stały i przypisany do jego instalacji Windowsa.
Śledczy zestawili dane z wielu źródeł:
- logowania do jego kont Snapchat, Facebook, Apple, Ubisoft,
- aktywność na stronach hoteli, w których się zatrzymywał,
- ruch sieciowy z narzędzi używanych do włamań,
- zdjęcia publikowane w mediach społecznościowych.
W każdym z tych miejsc pojawiał się ten sam GDID. Ten sam Windows. Ta sama instalacja. Ta sama osoba.
W efekcie FBI mogło prześledzić jego aktywność przez cztery kraje i osiem miesięcy, mimo że Stokes zmieniał IP jak rękawiczki.
Dlaczego GDID budzi niepokój badaczy prywatności
Nie chodzi o to, że Stokes został złapany. To akurat większość komentatorów przyjęła z ulgą. Problem leży gdzie indziej: Windows 11 ma trwały identyfikator, który działa poza wiedzą użytkownika i którego nie da się wyłączyć.
Eksperci zwracają uwagę na kilka kwestii:
- Apple i Google wymagają zgody na śledzenie reklamowe. Ich identyfikatory można zresetować. GDID nie ma żadnego przełącznika, żadnego komunikatu, żadnego resetu.
- Reinstalacja Windowsa nie rozwiązuje problemu. Jeśli zalogujesz się na to samo konto to Microsoft może powiązać nowy GDID ze starym.
- Nie da się zapobiec generowaniu GDID bez złamania aktywacji Windowsa i aplikacji UWP. Innymi słowy: jeśli chcesz mieć działającego Windowsa to GDID jest obowiązkowy.
- Microsoft nigdy nie poinformował o istnieniu GDID w sposób zrozumiały dla zwykłego użytkownika. Dopiero sprawa FBI i dostęp do publicznych informacji federalnych ujawniły jak działa ten mechanizm.
Czy da się ograniczyć działanie GDID?
Nie da się go wyłączyć. Nie da się go zresetować. Nie da się go zablokować.
Można jedynie zmniejszyć ilość danych, które Windows wysyła do Microsoftu, co ogranicza liczbę sytuacji, w których GDID pojawia się w telemetrii:
- korzystać z lokalnego konta zamiast Microsoft Account (choć Windows coraz bardziej utrudnia ten wybór),
- wyłączyć opcjonalne dane diagnostyczne,
- wyłączyć personalizację reklam,
- wyłączyć Cloud Search,
- ograniczyć działanie usług takich jak Phone Link czy Nearby Share.
To nie usuwa GDID, ale zmniejsza jego „widoczność”.
W sytuacjach wymagających pełnej anonimowości - dziennikarstwo śledcze, aktywizm, ochrona ofiar przemocy - eksperci sugerują zestaw Linux + Tor.
Co to oznacza dla 1,6 mld użytkowników Windowsa?
Nie ma sensu udawać, że to drobiazg. GDID jest jednym z najbardziej inwazyjnych elementów tożsamości urządzenia w mainstreamowym systemie operacyjnym. Apple i Google również mają swoje identyfikatory, ale ich działanie jest bardziej przejrzyste, a użytkownik ma nad nimi większą kontrolę.
W przypadku Windowsa problemem nie jest sam fakt istnienia identyfikatora. Problemem jest to, że użytkownicy nie wiedzieli o jego istnieniu, nie mają nad nim żadnej kontroli, nie mogą go wyłączyć, nie mogą go zresetować i nie mogą zobaczyć, gdzie i kiedy jest używany.
To nie jest standard, którego oczekujemy od systemu operacyjnego używanego przez setki milionów ludzi, w tym firmy, szkoły, urzędy i zwykłych użytkowników w Polsce.
Nie ma nic złego w tym, że system operacyjny potrzebuje jakiegoś identyfikatora
Problem zaczyna się wtedy, gdy identyfikator działa jak cyfrowy numer PESEL, o którym nikt ci nie powiedział. GDID jest jak ten znajomy, który niby siedzi cicho w kącie, ale wiesz, że wszystko słyszy. Microsoft nie zrobił nic nielegalnego. Ale zrobił coś, co trudno uznać za fair wobec użytkowników. I to jest sedno sprawy.
W świecie, w którym prywatność staje się walutą, a dane - bronią, takie mechanizmy powinny być jawne, opisane i kontrolowane przez użytkownika. GDID nie spełnia żadnego z tych warunków. A skoro teraz wszyscy już o nim wiedzą, Microsoft będzie musiał odpowiedzieć na pytanie, które wisi w powietrzu: dlaczego nikt nie powiedział nam o GDID wcześniej?
Lubi oglądać się zarówno za siebie – wspominając przełomowe dokonania w informatyce – jak i przed siebie, będąc nieustannie ciekawym tego, co będzie dalej. Jego zainteresowania to przede wszystkim software: UI/UX, algorytmy, uczenie maszynowe, chmura czy sztuczna inteligencja. Nic dziwnego, że jako specjalizację obrał sobie pilnowanie firmy Microsoft. Uwielbia też sztukę gier i kina, przez co wyrósł na pasjonata sprzętu RTV – a i o technologii wspomnianych gier i filmów ma wiele ciekawego do opowiedzenia. Jego pierwsza obecność w mediach dotyczyła muzyki – współtworzył Overkill.pl. Ciąg dalszy jego rozwoju dotyczył już tylko nowych technologii. Zanim dołączył do zespołu Spider’s Web przez lata współtworzył CHIP.pl i Magazyn CHIP.