En avril dernier, le FBI arrêtait et extradait Peter Stokes, en Finlande, l’accusant de faire partie du groupe de hackers Scattered Spider. Son arrestation et la plainte qui a suivi au début de ce mois ont révélé qu’il a pu être identifié grâce à un identifiant unique à chaque machine Windows, le GDID (Global Device Identifier), c’est la première fois qu’on apprend l’existence de cet identifiant et son utilisation par Microsoft pour participer aux efforts de désanonymisation de la police.

Ce GDID est unique pour une installation de Windows, il ne change qu’en cas de ré-installation du système d’exploitation. Pour chaque GDID, Microsoft dispose donc de la liste de toutes les adresses IP d’une installation spécifique, qu’ellles passent par un VPN ou non. Avec cette liste, le FBI a pu comparer ces adresses IP avec d’autres « légitimes » (Facebook, Snapchat, Apple, etc.).

Cet identifiant est conservé chez Microsoft et non sur la machine locale. L’effacer du registre ne sert d’ailleurs à rien, le même identifiant sera re-téléchargé. Couper les services de télémetrie ou faire une installation « sans compte microsoft » ne sont pas des solutions efficaces non plus.

Au delà de la solution évidente d’utiliser Linux, le blogueur Korben propose un outil « no-gdid » sous formes de scripts Powershell (voir sur Github) et détaille leur utilisation dans un article ici. Cette solution empêche GDID de faire son rapport à Microsoft (mais leur historique restera intact), elle peut être utilisée sur une installation « avec compte » également. Cependant, il ne faut pas se faire d’illusion : GDID n’est que l’une des nombreuses méthodes de Microsoft pour pister ces utilisateur·ice·s.