近日美國的一起案件意外曝光了微軟一項從未公開說明的追蹤機(jī)制：Global Device Identifier（GDID），這是一種綁定在每臺Windows設(shè)備上的持久標(biāo)識符，全球約16億臺PC無一例外。
GDID首次公開亮相
GDID公開浮出水面源于一起黑客案件，19歲的美愛雙重國籍公民Peter Stokes今年4月在赫爾辛基機(jī)場被國際刑警紅色通緝令逮捕，6月引渡至芝加哥出庭。
他被指控參與黑客組織Scattered Spider，該組織涉嫌參與超過100起網(wǎng)絡(luò)入侵事件。2025年5月，該組織入侵一家奢侈品珠寶零售商，攻擊者冒充員工致電幫助臺，通過社會工程學(xué)手段重置憑證和多重認(rèn)證，竊取至少77 GB數(shù)據(jù)并勒索約800萬美元加密貨幣。
Stokes使用了網(wǎng)絡(luò)代理和多個別名隱匿身份，自以為天衣無縫。但FBI通過微軟獲取了其設(shè)備GDID，追蹤到同一標(biāo)識符在攻擊者ngrok賬戶創(chuàng)建時連接了注冊頁面，數(shù)小時后通過同一代理訪問了受害者站點(diǎn)。
同一GDID還出現(xiàn)在愛沙尼亞塔林、紐約和泰國的IP地址記錄中，時間跨度長達(dá)數(shù)月，與旅行記錄和Stokes本人社交媒體發(fā)布的照片相互印證，形成完整的證據(jù)鏈。
這是GDID首次在公開法律案件中同時被用作追蹤標(biāo)識符并被微軟確認(rèn)存在，也是該機(jī)制從暗處走向公眾視野的轉(zhuǎn)折點(diǎn)。
服務(wù)器生成、注冊表存儲、無法關(guān)閉
根據(jù)微軟在United States v. Peter Stokes案訴狀中的描述，GDID是“一個持久、設(shè)備級標(biāo)識符，用于唯一標(biāo)識設(shè)備上Windows操作系統(tǒng)的安裝”。
它是一個64位數(shù)字，格式為g:后跟一長串?dāng)?shù)字，由微軟服務(wù)器外部生成后存儲在本地注冊表中。每臺Windows安裝都會被分配一個，無論是物理PC還是虛擬機(jī)。
生成流程如下：當(dāng)Windows設(shè)置Microsoft賬戶時，Passport身份服務(wù)會主動聯(lián)系微軟服務(wù)器，服務(wù)器在響應(yīng)中返回該標(biāo)識符，隨后寫入本地注冊表路徑`HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties`下的LID鍵值。
Windows的Connected Devices Platform接著將其注冊到微軟跨設(shè)備身份系統(tǒng)Device Directory Service中，完成從本地到云端的身份綁定。
GDID在Windows更新后保持不變，且在大多數(shù)系統(tǒng)更改后依然有效，重裝Windows會生成新的GDID，但舊標(biāo)識符及微軟服務(wù)器上關(guān)聯(lián)的所有歷史記錄仍然保留，不會隨重裝而消失。這意味著微軟服務(wù)器上的GDID檔案是累積式的，每一次設(shè)備活動都在為這個檔案添磚加瓦。
無處不在的GDID
獨(dú)立研究人員逆向工程了該機(jī)制后發(fā)現(xiàn)，GDID的嵌入范圍遠(yuǎn)超普通人想象，它深度參與Windows的核心功能鏈路：
系統(tǒng)層面：Windows激活狀態(tài)與GDID綁定，Microsoft Store的購買記錄和應(yīng)用許可驗證都附帶該標(biāo)識符，這意味著在應(yīng)用商店里的每一筆消費(fèi)都與設(shè)備身份掛鉤。
跨設(shè)備功能：手機(jī)連接功能依賴GDID建立手機(jī)與PC的配對關(guān)系，跨設(shè)備剪貼板同步也通過它識別設(shè)備身份。當(dāng)你在手機(jī)上復(fù)制內(nèi)容粘貼到PC時，GDID在幕后參與了設(shè)備匹配。
診斷與瀏覽數(shù)據(jù)：常規(guī)Windows診斷數(shù)據(jù)攜帶GDID，如果Microsoft Edge增強(qiáng)診斷功能開啟，瀏覽歷史同樣與之綁定。這正是調(diào)查人員構(gòu)建Stokes案證據(jù)鏈的關(guān)鍵，Edge瀏覽記錄通過GDID與設(shè)備身份關(guān)聯(lián)，即使Stokes切換代理，GDID始終如影隨形。
用戶能做什么
對于普通用戶，可以通過PowerShell命令查看自己的GDID：
$hex = (Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID
然后運(yùn)行"g:$([Convert]::ToUInt64($hex,16))"，即可你的設(shè)備GDID，該操作不需要管理員權(quán)限，任何用戶都可以直接查看。
但也只是能查看，目前沒有任何方法可以阻止Windows生成GDID，且無法刪除微軟已存檔的歷史記錄。
Zerotrace Lab曾嘗試用自定義密鑰替換設(shè)備上的GDID并公開了完整實驗過程，試圖驗證這一標(biāo)識符是否可以被篡改或偽造。
實驗結(jié)果表明，雖然本地注冊表中的值可以被修改，但微軟服務(wù)器端的記錄與本地不一致時會導(dǎo)致部分Windows功能異常，說明GDID的驗證邏輯是雙向的，并非簡單的本地標(biāo)識。
雖然沒有證據(jù)表明微軟向廣告商等第三方分享GDID，微軟官方文檔也聲明該標(biāo)識符僅供內(nèi)部使用，但執(zhí)法機(jī)構(gòu)可通過傳票或法院令等標(biāo)準(zhǔn)法律渠道獲取，Stokes案就是典型案例。
其實安全專家和用戶最大的不滿在于透明度缺失，大多數(shù)操作系統(tǒng)都有各自的追蹤機(jī)制，但通常會通知用戶或提示接受條款。蘋果要求App通過ATT框架獲取追蹤授權(quán)，谷歌允許用戶重置廣告ID，Linux發(fā)行版則以開源方式讓用戶可以審查所有數(shù)據(jù)收集行為。
唯獨(dú)Windows是例外，微軟唯一有關(guān)GDID的公開文檔是Azure Monitor參考表中的一行描述，將GlobalDeviceId列定義為“微軟內(nèi)部使用的全球設(shè)備標(biāo)識符”，除此之外沒有專門的支持頁面，沒有用戶告知機(jī)制。
直到這一起案件，才迫使微軟承認(rèn)了更多細(xì)節(jié)，考慮到Windows運(yùn)行在全球約16億臺PC上，這個標(biāo)識符的影響范圍之廣、存在時間之長、公眾知情之晚，在操作系統(tǒng)隱私實踐中都極為罕見。
還有一件事，微軟即將為其批量激活服務(wù)KMS引入基于硬件信任的新安全機(jī)制，該機(jī)制要求KMS主機(jī)通過TPM（可信平臺模塊）芯片進(jìn)行身份驗證，確認(rèn)運(yùn)行在可信且未被篡改的硬件上后，方可為局域網(wǎng)內(nèi)的Windows設(shè)備頒發(fā)激活許可。
此舉旨在打擊利用偽造或克隆KMS服務(wù)器繞過激活控制的盜版行為。
KMS是微軟面向企業(yè)環(huán)境的批量激活技術(shù)，組織內(nèi)只需激活一臺KMS主機(jī)，局域網(wǎng)內(nèi)的Windows設(shè)備向該主機(jī)發(fā)起激活請求即可完成激活，無需每臺設(shè)備單獨(dú)連接微軟服務(wù)器，從而簡化大規(guī)模激活流程。
但該機(jī)制長期被用于非授權(quán)場景，攻擊者搭建偽造的KMS服務(wù)器，模擬企業(yè)批量激活環(huán)境，使未經(jīng)授權(quán)的Windows設(shè)備完成激活。
此次新機(jī)制的核心變化在于引入TPM證明環(huán)節(jié)，TPM是一類專用硬件安全組件，負(fù)責(zé)生成和保護(hù)加密密鑰，確保平臺完整性，Windows Hello、BitLocker、System Guard等安全功能均依賴其工作。
啟用KMS硬件安全后，KMS主機(jī)需先通過TPM生成加密證明以建立硬件身份，微軟驗證該證明及平臺完整性無誤后，才允許該主機(jī)處理激活請求。
新功能具體落實時間上，自2026年8月起，Windows Server 2025將先行引入檢測機(jī)制，系統(tǒng)管理員可以使用命令（slmgr/dlv）查詢設(shè)備是否達(dá)標(biāo)，達(dá)標(biāo)設(shè)備會顯示“符合具有硬件安全性的KMS主機(jī)條件”。
從下一個Windows Server長期服務(wù)通道版本（預(yù)計為Windows Server 2028）正式發(fā)布開始，TPM認(rèn)證將成為強(qiáng)制要求，屆時沒有硬件證明的KMS激活將徹底失效。
從影響范圍來看，此次調(diào)整目前僅針對KMS主機(jī)端，普通個人電腦作為KMS客戶端暫時不會受到直接影響。
但長遠(yuǎn)來看，隨著偽造KMS主機(jī)的門檻拔高，未來網(wǎng)上滿天飛的“一鍵激活工具”或許會迎來一波大洗牌。
