Windows wie o nas więcej niż byśmy chcieli. O tej funkcji mało kto wie

O mechanizmie GDID słyszało zapewne niewiele osób, a jest on dość istotny w kwestii tego, ile Microsoft wie o swoich użytkownikach. Jeden z członków grupy Scattered Spider zwrócił uwagę na działanie tego rozwiązania w tym na mało znany identyfikator stosowany przez Microsoft.

O tym jak istotne jest to narzędzie niech świadczy fakt, iż pomogło powiązać aktywność jednego komputera z wieloma kontami internetowymi i lokalizacjami. I to mimo zastosowania VPN oraz serwerów pośredniczących, które w torii maskują działanie urządzenia, lecz jak widać w tym przypadku nie wystarczyły. Właśnie przez obecność w Windowsie mechanizmu GDID.

Jak Microsoft szpieguje swoich użytkowników

Amerykański wymiar sprawiedliwości wziął na celownik 19-letniego Petera Stokesa, który został zatrzymany w Finlandii na podstawie czerwonej noty Interpolu. Oskarżono go o udział w ataku na luksusową sieć jubilerską w Stanach Zjednoczonych, gdzie cyberprzestępcy mieli wykraść dane i zażądać okupu w wysokości 8 milionów dolarów. W ustaleniu przebiegu wydarzeń ważną rolę odegrał właśnie identyfikator GDID przypisany do instalacji systemu Windows.

O mechanizmie GDID słyszało zapewne niewiele osób, a jest on dość istotny w kwestii tego, ile Microsoft wie o swoich użytkownikach. Jeden z członków grupy Scattered Spider zwrócił uwagę na działanie tego rozwiązania w tym na mało znany identyfikator stosowany przez Microsoft.

Microsoft opisuje GDID jako trwały identyfikator sprzętu wykorzystywany przez wybrane usługi firmy do rozpoznawania konkretnej instalacji Windowsa zarówno na komputerach, jak i maszynach wirtualnych. Identyfikator jest tworzony po zalogowaniu do konta Microsoft i pozostaje powiązany z daną kompilacją systemu aż do jego ponownej instalacji. Co ważne nowa instalacja otrzymuje już inny numer.

Działanie mechanizmu

Niezależni badacze analizujący działanie Windowsa wskazują, że identyfikator jest wykorzystywany m.in. przez mechanizmy odpowiedzialne za synchronizację urządzeń, usługi chmurowe oraz funkcje związane z dystrybucją aktualizacji.

Według śledczych to właśnie dane telemetryczne pozwoliły powiązać aktywność tego samego komputera z logowaniami do różnych usług internetowych wykonywanymi w Estonii, Stanach Zjednoczonych oraz Tajlandii, mimo że wykorzystywane były różne adresy IP i usługi VPN.

To tylko pokazuje, że Windows gromadzi znacznie więcej informacji identyfikujących urządzenie niż wiele osób przypuszcza. I to pomimo zapewnień giganta z Redmond o bezpieczeństwie danych oraz poszanowaniu prywatności użytkowników.

Mechanizm, który jest niezauważony

W praktyce większość użytkowników Windowsa nie zauważy działania GDID podczas codziennego korzystania z komputera. Jednak mechanizm może mieć znaczenie zarówno dla licencjonowania oprogramowania, jak i dla analiz bezpieczeństwa prowadzonych przez producenta oraz organy ścigania.

Kwestia prywatności

Wokół sprawy szybko rozgorzała dyskusja dotycząca prywatności. Część ekspertów zwraca uwagę, iż Microsoft bardzo skąpo opisywał istnienie GDID w publicznej dokumentacji, przez co wielu użytkowników dowiedziało się o jego funkcjonowaniu dopiero po publikacji akt sądowych.

Inni podkreślają jednak, że podobne identyfikatory stosują również Apple i Google, aczkolwiek różnią się one sposobem działania oraz poziomem kontroli oddawanym użytkownikowi.

Sprawa pokazuje, że dane telemetryczne systemu operacyjnego mogą odegrać istotną rolę w śledztwach dotyczących cyberprzestępczości, jednocześnie wywołując pytania o przejrzystość działania usług gromadzących informacje o urządzeniach.

W porównaniu z identyfikatorami stosowanymi przez Androida i iOS rozwiązanie Microsoftu jest mniej znane przeciętnym użytkownikom, choć pełni podobną funkcję identyfikacji urządzenia w ekosystemie producenta.