FBI 是如何透過 GDID 捉到 19 歲黑客
【分析 GDID ⚠️】上週，美國司法部公布一名 19 歲天才黑客 Peter Stokes 因為使用 Windows 作案而落網。雖然他非常謹慎地使用 VPN 及隧道傳輸服務以隱匿真實 IP 位址，但最終竟被 Microsoft Windows 作業系統中一項長期受到用戶詬病、極具私隱爭議的內建功能出賣。究竟 Windows GDID 是什麼東西？為何連天才黑客也會「認衰」栽在它手上？
據《Windows Latest》仔細研讀了長達 39 頁的起訴文件，再透過逆向工程對 Windows 如何產生 GDID 編碼進行了交叉核對，並在新聞曝光後對其中的技術說法進行了事實核查。究竟為何 GDID 會令 Peter Stokes 落網？而如果你是 16 億台 Windows 電腦用戶之一，GDID 又究竟意味著什麼？
根據 Microsoft 的技術文件說法，「全球裝置識別碼」（Global Device Identifier，簡稱 GDID）是一個永久性的數位指紋。當你安裝 Windows 或登入 Microsoft 帳戶時，Microsoft 會自動將其指派給你的電腦，利用它來管理軟體授權和 Windows 應用程式商店應用，同時會將你在該電腦上的所有線上活動與 GDID 身分關聯起來。不過，Microsoft 從來沒有說明 GDID 是如何產生的，因此《Windows Latest》不得不進行逆向工程去了解它的運作機制。
《Windows Latest》發現，當 Windows 使用 Microsoft 帳戶配置裝置時，名為 wlidsvc 的系統服務會與 login.live.com 通信，並在伺服器的 SOAP 回應中取得 Microsoft 所稱的裝置 PUID（Passport 唯一識別碼）。該 ID 由伺服器分配，Windows 不會在你的電腦上進行本機運算。系統接收的是一個字串，並以明文方式將其儲存在 HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties 的 LID 鍵值內。
有了這個 PUID 後，系統會將其註冊至微軟的裝置目錄服務（Device Directory Service），然後在該數值前方加上小寫字母「g:」，轉化為十進位制編碼，變成了 GDID 識別碼。
其實 GDID 的字串並沒有任何意義，每次你重裝 Windows 系統時，你都會得到一個新的號碼。問題是，當你安裝並使用 Microsoft 戶口連結時，這組 GDID 會自動對應用戶設備的底層硬體特徵，即使網絡 IP 不斷更換，該特徵碼依然保持不變。
Peter Stokes 會被 FBI 抓獲，原因是他所有操作都使用同一台 Windows 設備，而 GDID 事後將所有資料拼接了起來。作案時，他使用了 VPN 及隧道傳輸服務以隱匿真實 IP 位址，穿梭於愛沙尼亞、紐約、泰國等地的不同 IP 位址之中，但他沒想到的是，Windows 也在背後把這些 IP 資料與獨一無二的 GDID 識別碼連結，並傳送至 Microsoft 的伺服器。
當 Peter Stokes 在這台 Windows 電腦上使用瀏覽器登入 Facebook、Snapchat 或其他跨國網路服務時，Microsoft 的 GDID 追蹤軌跡就能將這些平台的操作與特定設備進行交叉對比，最後鎖定 Peter Stokes 的真實身份。
《Windows Latest》指出，如果改用本地帳戶（Local Account），就能有效阻止 Microsoft 帳號級別的 GDID 生成與綁定。因為 GDID 需要 Microsoft 微軟帳號認證伺服器所派發的 PUID（Passport Unique ID），如果沒有連結微軟伺服器（login.live.com），後台服務 wlidsvc 就無法取得 PUID，登錄檔中的 LID 欄位會維持空值，無法生成 GDID 識別碼。
不過，雖然能阻止微軟帳號級別的 GDID，但 Windows 系統內建的「數位聯邦啟動授權機制」（Windows Activation）在啟動系統時，仍會將你的主機板、CPU 等硬體特徵（HWID）雜湊值傳送給微軟以驗證正版授權。此外，如果你在本地帳戶登入後，單獨登入 Microsoft Store 下載應用程式、登入 OneDrive 或使用 Xbox 服務，系統仍可能在背景靜態觸發相關的識別碼生成。
堅持使用純本地帳戶，確實能切斷起訴書中所描述的那種「跨國、跨 IP 的個人行為身份追蹤鎖定」；但若要追求完全不對外傳送任何硬體特徵，現階段的 Windows 11 難以做到，高風險隱私需求者仍建議轉用 Linux。
資料來源:
