Windows śledzi urządzenia mimo VPN. Powstał skrypt, który blokuje identyfikator Microsoftu

VPN miał chronić prywatność użytkownika, ale w przypadku Windowsa może nie wystarczyć. Firma Windscribe stworzyła narzędzie, które pozwala usunąć z komputera identyfikator GDID firmy Microsoft i zablokować systemowi możliwość wygenerowania kolejnego. To odpowiedź na coraz większe obawy dotyczące sposobu identyfikowania urządzeń z Windows.

Projekt nosi nazwę deGDID i jest dostępny jako oprogramowanie open source. Jego działanie jest bezpośrednie: usuwa zapisane w systemie identyfikatory, a następnie próbuje zatrzymać mechanizm odpowiedzialny za tworzenie nowych. Problem w tym, że Microsoft nie przewidział prostego przełącznika, który pozwalałby użytkownikowi samodzielnie wyłączyć tę funkcję.

Cena za odzyskanie większej kontroli nad prywatnością może być jednak wysoka. Po zablokowaniu mechanizmu GDID część usług Microsoftu przestaje działać prawidłowo.

Microsoft ma własny identyfikator urządzenia

Global Device Identifier, czyli GDID, jest mechanizmem pozwalającym powiązać konkretne urządzenie z unikalnym identyfikatorem. Nie jest to zwykły adres IP ani identyfikator zależny od aktualnego połączenia z internetem.

To właśnie ten element budzi największe zainteresowanie specjalistów zajmujących się prywatnością. Zmiana sieci, adresu IP czy korzystanie z VPN nie musi wystarczyć do ukrycia urządzenia przed systemami Microsoftu.

Temat stał się szczególnie głośny po sprawie opisanej w kontekście federalnego śledztwa karnego w Stanach Zjednoczonych. Informacje związane z GDID miały pomóc FBI w identyfikacji podejrzanego hakera. Sam fakt wykorzystania takiego mechanizmu przez organy ścigania nie przesądza oczywiście o jego niewłaściwym zastosowaniu. Pokazuje jednak, jak istotnym elementem identyfikacji może być stały identyfikator urządzenia.

Dla części użytkowników pojawia się znacznie bardziej podstawowe pytanie: dlaczego system operacyjny nie oferuje prostego sposobu wyłączenia takiego identyfikatora?

Windscribe postanowił zablokować GDID

Na tym właśnie problemie koncentruje się deGDID. Windscribe udostępnił projekt na GitHubie i przygotował skrypt działający z poziomu PowerShella. Do jego uruchomienia potrzebne są uprawnienia administratora.

Narzędzie potrafi sprawdzić stan mechanizmu GDID, przygotować pozbawione identyfikatora logi diagnostyczne oraz uruchomić tryb ochrony. Najważniejszy jest właśnie ten ostatni wariant.

W pierwszym kroku deGDID wyszukuje w rejestrze systemu Windows zapisane identyfikatory wygenerowane przez serwery Microsoftu. Następnie usuwa je z komputera.

Na tym jednak operacja się nie kończy. Samo skasowanie wpisów byłoby niewystarczające, ponieważ Windows może ponownie pobrać lub wygenerować identyfikator podczas kolejnego kontaktu z infrastrukturą Microsoftu.

Skrypt można znaleźć na GitHubie i uruchomić za pomocą programu PowerShell z uprawnieniami administratora. Jest on całkowicie darmowy i działa w bardzo prosty sposób.

Istnieją trzy główne flagi wykonania, które określają sposób działania deGDID: –Status , która jest tylko do odczytu i informuje, czy identyfikator GDID jest aktywny na komputerze; –Status –Redact , która generuje logi z usuniętym identyfikatorem GDID, dzięki czemu użytkownicy mogą bez obaw udostępniać dane diagnostyczne; oraz –Protect , która całkowicie usuwa identyfikator GDID i zapobiega tworzeniu nowych.

Skrypt odcina mechanizm tworzenia nowych identyfikatorów

Windscribe zastosował więc bardziej zdecydowane rozwiązanie. deGDID zmienia uprawnienia w rejestrze i wykorzystuje reguły kontroli dostępu, aby system nie mógł ponownie zapisać wymaganych danych.

Narzędzie blokuje również komunikację z wewnętrznym punktem końcowym DeviceAdd. To właśnie ten element infrastruktury jest związany z procesem rejestracji urządzenia w usługach tożsamości Microsoftu.

W praktyce oznacza to odcięcie całego mechanizmu, który mógłby doprowadzić do ponownego pojawienia się GDID.

To rozwiązanie ma jednak bardzo konkretną konsekwencję. Windows nie korzysta z DeviceAdd wyłącznie do celów związanych z samym identyfikatorem. Zablokowanie tego kanału może wpłynąć także na uwierzytelnianie i działanie części usług Microsoftu.

Prywatność albo wygoda. Windows każe wybierać

Testy przeprowadzone na komputerze z Windows 11 pokazały, że deGDID rzeczywiście potrafi usunąć zapisane identyfikatory i uniemożliwić pojawienie się kolejnego nawet po ponownym uruchomieniu systemu. Pojawiły się jednak problemy z częścią usług Microsoftu.

Po aktywowaniu ochrony niektóre aplikacje zaczęły zwracać błędy połączenia. Problemy występowały również podczas weryfikacji konta za pośrednictwem login.live.com. Jednocześnie login.microsoftonline.com nadal działał, a gry internetowe oraz inne testowane aplikacje nie zostały dotknięte zmianami.

Nie jest więc tak, że uruchomienie deGDID natychmiast pozbawia Windows wszystkich funkcji sieciowych. Zakres problemów zależy od tego, z jakich usług Microsoftu korzysta konkretny użytkownik.

Dla osoby mocno związanej z ekosystemem Microsoftu może to być bardzo poważne ograniczenie.

Jest jeszcze jeden problem. Microsoft nadal ma stare identyfikatory

deGDID nie potrafi cofnąć informacji, które wcześniej zostały przesłane na serwery Microsoftu.

Usunięcie identyfikatora z lokalnego rejestru nie jest równoznaczne z usunięciem danych znajdujących się po stronie firmy. Jeżeli GDID był wcześniej wykorzystywany przez usługi Microsoftu, jego wcześniejsze wystąpienia mogą nadal znajdować się w firmowej infrastrukturze.

To ograniczenie jest istotne, ponieważ użytkownik uruchamiający deGDID nie zaczyna od całkowicie czystej historii.

Narzędzie ma przede wszystkim zatrzymać dalsze generowanie identyfikatora na danym komputerze. Nie jest mechanizmem kasującym wcześniejsze dane z serwerów Microsoftu.

VPN nie rozwiązuje tego problemu

To jeden z najciekawszych aspektów całej sprawy. VPN może ukryć rzeczywisty adres IP użytkownika przed odwiedzaną usługą i skierować ruch przez inny serwer. Nie musi jednak zmienić identyfikatora przypisanego do urządzenia na poziomie systemu operacyjnego.

Jeżeli usługa otrzymuje informacje pozwalające powiązać urządzenie z określonym GDID, sama zmiana trasy połączenia internetowego nie usuwa tego mechanizmu.

Dlatego Windscribe zainteresował się właśnie warstwą systemową. Firma zajmująca się VPN-em uznała, że ochrona prywatności powinna obejmować również identyfikatory funkcjonujące poza typowym poziomem ruchu sieciowego.

Nie każdy komputer może skorzystać z deGDID

Projekt ma również istotne ograniczenia. Skrypt przeznaczono dla niezarządzanych komputerów, na których użytkownik ma prawa administratora.

Nie jest to rozwiązanie dla firmowych komputerów działających w domenie organizacji. W takich środowiskach mechanizm odmawia działania.

Trzeba też pamiętać, że deGDID jest projektem badawczym. Windscribe zapowiada jego dalszy rozwój wraz z odkrywaniem kolejnych szczegółów dotyczących sposobu działania GDID.

Nie jest to więc oficjalne narzędzie Microsoftu ani rozwiązanie gwarantujące całkowite wyeliminowanie wszystkich mechanizmów identyfikacyjnych obecnych w Windows.

Microsoft nie daje użytkownikowi prostego wyboru

Najbardziej niepokojący dla części użytkowników pozostaje fakt, że system nie oferuje wygodnego ustawienia pozwalającego wyłączyć GDID.

Jeżeli ktoś chce zatrzymać mechanizm, musi sięgnąć po rozwiązanie zewnętrzne i zaakceptować konsekwencje ingerencji w komunikację systemu z usługami Microsoftu.

Powstaje więc niewygodne pytanie o granicę między funkcjami systemowymi a kontrolą użytkownika nad własnym komputerem. Dla Microsoftu identyfikacja urządzenia może być elementem działania usług, bezpieczeństwa i zarządzania kontami. Dla użytkownika ten sam mechanizm może wyglądać jak kolejny sposób na rozpoznawanie jego komputera.

deGDID pokazuje problem, którego nie widać na pierwszy rzut oka

Największą wartością projektu Windscribe nie musi być nawet sam skrypt. Znacznie ważniejsze jest pokazanie, jak trudno użytkownikowi kontrolować identyfikatory działające głębiej niż typowe ustawienia prywatności.

Windows może działać z VPN-em, użytkownik może zmieniać adres IP, korzystać z różnych sieci i przeglądarek, a mimo tego systemowy mechanizm identyfikacji urządzenia pozostaje oddzielnym elementem całej układanki.

deGDID daje możliwość jego zablokowania, ale jednocześnie pokazuje cenę takiej decyzji. Użytkownik odzyskuje część kontroli nad identyfikacją komputera, lecz może stracić dostęp do niektórych funkcji Microsoftu.

To rozwiązanie dla osób świadomych konsekwencji, a nie uniwersalna poprawka dla każdego komputera z Windows 11. Sam fakt, że konieczne było stworzenie zewnętrznego narzędzia do wykonania operacji, której użytkownik nie może przeprowadzić jednym ustawieniem systemowym, może jednak budzić pytania o to, jak daleko powinny sięgać mechanizmy identyfikacji urządzeń w nowoczesnych systemach operacyjnych.