Razotkriven skriveni Windows identifikator: Kako „GDID” omogućava praćenje računara čak i iza VPN-a i kako je doveo do hapšenja hakerske grupe

Sadržaj i analiza slučaja

Medijski izveštaji o tome da Microsoft prikuplja jedinstvene identifikatore uređaja putem kojih istražni organi mogu trasirati aktivnosti korisnika zasnovani su na zvaničnoj krivičnoj prijavi FBI-ja (39 stranica) i sudskom postupku vođenom u SAD protiv 19-godišnjeg estonskog državljanina Pitera Stouksa (Peter Stokes), povezanog sa ozloglašenom hakerskom grupom Scattered Spider.

Predmet opsežne rasprave u zajednici za sajber-bezbednost jeste takozvani Global Device Identifier (GDID) — trajni, jedinstveni identifikator računara ugrađen u operativne sisteme Windows 10 i Windows 11.

1. Kako je sudski proces razotkrio Microsoft GDID?

Slučaj koji je skrenuo pažnju javnosti odnosi se na napad na luksuzni maloprodajni lanac nakita u maju 2025. godine. Osumnjičeni haker koristio je sofisticirane tehnike anonomizacije — VPN mreže (Virtual Private Network), proksi usmerivače i infrastrukturne servere u tri različite države — kako bi prikrio svoju pravu IP adresu i lokaciju.

Međutim, tokom istrage, FBI je uputio zvanični sudski nalog (subpoena) kompaniji Microsoft, zahtevajući uvid u aktivnosti i mrežne podatke povezane sa sumnjivim sesijama.

U priloženoj dokumentaciji, predstavnici kompanije Microsoft potvrdili su postojanje i ulogu GDID parametra:

„Global Device Identifier u Windows ekosistemu jeste trajni identifikator na nivou uređaja, dizajniran da jedinstveno identifikuje instalaciju Windows operativnog sistema na fizičkom uređaju (npr. laptopu ili desktop računaru) ili virtualnoj mašini, kroz definisane Microsoft servise.” 

Zahvaljujući telemetrijskim zapisima koji su nosili isti GDID, Microsoft i FBI su uspeli da povežu kompromitovane mrežne sesije i analitiku ponašanja osumnjičenog direktno sa njegovim primarnim Windows računarom, bez obzira na to što je menjao IP adrese i države preko VPN konekcija.

2. Šta je zapravo GDID i kako funkcionise?

GDID nije klasični „kolačić” (browser cookie) niti privremeni fajl, već dugodometni digitalni otisak operativnog sistema.

Nastanak: Generiše ga sam Windows prilikom prve instalacije operativnog sistema ili tokom prvog prijavljivanja na Microsoft nalog.

Smeštaj: Čuva se lokalno unutar Windows registra (Windows Registry), ali se istovremeno sinhronizuje i bilježi na serverima kompanije Microsoft.

Otpornost: GDID preživljava sve ažuriranja sistema (Windows Updates) i ne može se obrisati niti izmeniti ručno kroz standardne postavke.

Resetovanje: Jedini način da se računar dodeli novi GDID jeste potpuno čista reinstalacija operativnog sistema (format/clean install), jer se tada kreira nova instanca operativnog sistema.

Koja je njegova primarna namena?

Iz ugla kompanije Microsoft, GDID se zvanično koristi u tehničke i komercijalne svrhe:

Licenciranje softvera: Provera legitimnosti aktivacije Windowsa.

Microsoft Store & UWP aplikacije: Verifikacija prava na korišćenje kupljenih aplikacija i igara na najviše 10 uređaja po nalogu.

Telemetrija i dijagnostika: Identifikacija rušenja sistema (crash reports) i otklanjanje grešaka na konkretnom hardverskom profilu.

3. Zašto VPN ne štiti od GDID praćenja?

Najveći razlog za zabrinutost u zajednici za bezbednost jeste činjenica da mrežni alati za anonimizaciju (poput VPN-a ili Tor-a) nemaju uticaja na GDID.

VPN enkriptuje mrežni saobraćaj od vašeg računara do VPN servera i skriva vašu javnu IP adresu od sajtova koje posećujete.

GDID deluje unutar samog operativnog sistema. Kada operativni sistem šalje telemetrijske i dijagnostičke podatke nazad na Microsoft servere, taj paket podataka se potpisuje lokalnim GDID brojem.

Ako korisnik na istom računaru posećuje sajtove ili vrši mrežne sesije, a Windows pozadinski servisi (kao što su SmartScreen, Windows Defender ili Microsoft Edge) pošalju telemetriju, svi ti zapisi nosiće isti GDID, čime se različite sesije lako spajaju u jedinstven profil ponašanja.

4. Telemetrijski nivoi: Kako podaci stižu do servera?

Procurila sudska dokumentacija osvetlila je i način na koji se sadržaj aktivnosti povezuje sa identifikatorom. U Windowsu postoje dva osnovna nivoa telemetrije:

Obavezna / Osnovna (Required/Basic): Prikuplja samo najosnovnije tehničke podatke neophodne za bezbednost i rad sistema.

Opciona / Proširena (Optional/Full): Sakuplja detaljne podatke o radu, učitavanju veb-stranica, izveštajima o greškama, pa čak i detalje iz SmartScreen filtera i pretraživača Microsoft Edge.

U slučaju pomenutog hakera, prošireni nivo telemetrije prenosio je liste posećenih URL adresa i specifičnih komandnih sesija spojenih sa njegovim GDID-om. Kada je FBI tražio uvid u aktivnosti vezane za određeni servis, Microsoft je usmeravanjem kroz bazu GDID zapisa uspeo da locira tačan uređaj i identifikuje osumnjičenog.

5. Reakcije stručnjaka: Između borbe protiv kriminala i masovnog nadzora

Objavljivanje ovih detalja izazvalo je oštre reakcije eksperata za bezbednost i zagovornika privatnosti:

Pohvale istražnim organima: S jedne strane, ova metoda omogućila je privođenje pravdi člana opasne cyber-kriminalne grupe odgovorne za iznude i milionske štete.

Upozorenja na narušavanje privatnosti: S druge strane, činjenica da operativni sistem po zadatim podešavanjima (default) prikuplja i dodeljuje identifikator bez jasnog opcije za potpuno isključivanje (opt-out), navela je pojedine istraživače (poput Metjua Hikija) da Windows uporede sa „softverom za nadzor”.

Posebno se ističe problem što su kod izdanja Windows 10/11 Home i Pro opcije telemetrije i sinhronizacije po defaultu postavljene na širi nivo prikupljanja podataka.

6. Da li je moguće potpuno onemogućiti GDID i kako smanjiti izloženost?

Prema analitičarima grupe Massgrave i bezbednosnim stručnjacima, potpuno onemogućavanje GDID-a unutar Windowsa nije moguće, jer bi to narušilo osnovne funkcije aktivacije sistema i rada Microsoft Store aplikacija.

Međutim, korisnici koji žele da minimizuju prikupljanje podataka i spriječe povezivanje svojih aktivnosti mogu preduzeti sledeće korake:

Pratite ove preporučene mere zaštite privatnosti:

Korišćenje Lokalnog Naloga (Local Account):

Umesto prijavljivanja sa Microsoft nalogom (@outlook.com, @hotmail.com), koristite lokalni korisnički nalog na računaru. Ovo sprečava direktno povezivanje GDID-a sa vašim ličnim imenom i email adresom na serveru.

Smanjenje telemetrije na minimum:

U podešavanjima (Settings > Privacy & Security > Diagnostics & feedback) izaberite „Required diagnostic data” umesto „Optional diagnostic data”.

Isključivanje opcija u Microsoft Edge i SmartScreen:

Ukoliko koristite Edge, isključite sinhronizaciju istorije i opcije slanja URL-ova radi poboljšanja usluga. Još bolja alternativa za potpunu privatnost jeste prelazak na pretraživače otvorenog koda (poput Firefox ili Brave).

Korišćenje naprednih politika grupe (za Windows Pro/Enterprise):

Preko Group Policy Editora (gpedit.msc) moguće je u potpunosti ograničiti pozadinske servise za prikupljanje dijagnostike (Allow Telemetry = 0 / Security level).

Zaključak

Slučaj hakerske grupe Scattered Spider i hapšenje Pitera Stouksa doneli su važnu lekciju o modernom digitalnom otisku. Iako Global Device ID (GDID) primarno služi za tehničko funkcionisanje Windows ekosistema, on istovremeno predstavlja moćno sredstvo u rukama pravosudnih organa.

Za prosečnog korisnika ovo predstavlja opomenu da anonomizacija na mreži (VPN) ne pruža potpunu nevidljivost ukoliko sam operativni sistem u pozadini generiše i šalje jedinstvene hardverske parametre.