Vollständiger Bericht über die Windows GDID

Global Device Identifier vollständig reverse-engineered

Wie Microsofts „Global Device Identifier", der persistente Windows-Fingerabdruck, der in der Scattered-Spider-Beschwerde vom Juli 2026 genannt wird, tatsächlich generiert, gespeichert und übertragen wird.

TL;DR

[!NOTE] Das unten Aufgeführte ist wahr, aber es fehlen einige Informationen. Unabhängig davon, ob Sie mit einem MSA angemeldet sind, haben Sie eine GDID. Das habe ich zum Zeitpunkt der Veröffentlichung nicht erkannt, aber ich habe es überprüft. CDP hat einen anonymen Gerätepfad, der verwendet wird, wenn kein MSA verbunden wurde. Das zugrundeliegende System ist immer noch sachlich korrekt, es fehlen nur ein paar Dinge.

GDID ist ein echtes Telemetrieelement. Es taucht in der US-Bundesstrafklage (United States v. Peter Stokes, N.D. Ill., Juli 2026) als Global Device Identifier g:6755467234350028 auf.
Es ist eine Microsoft-Konto-„Device PUID". Eine 64-Bit-Passport Unique ID, die einer Windows-Installation zugewiesen wird, wenn sie sich bei einem Microsoft-Konto registriert, und die im Gerätegraph als g:<decimal> geschrieben wird.
Die Behauptungen sind falsch. Es ist nicht „128 Bit" und nicht „aus Seriennummern generiert." Die Gerichtsakte selbst sagt, dass eine Neuinstallation eine neue GDID erzeugt, was ausschließt, dass sie von Hardware-Seriennummern wie der GPU abgeleitet wird.
Der Stack, von unten nach oben: wlidsvc (Microsoft-Kontodienst) richtet das Gerät bei login.live.com ein und erhält eine Geräte-PUID zurück -> speichert sie in der Registry -> die Connected Devices Platform (cdp.dll / CDPSvc) liest sie und registriert sie im Device Directory Service (DDS)-Graph -> Delivery Optimization meldet sie als die dokumentierte UCDOStatus.GlobalDeviceId.
All dies wurde auf einer echten Windows 11 (26200)-Maschine mit öffentlichen Symbolen nachvollzogen. Sie können Ihre eigene GDID in einem Registry-Read finden (§7).

[!NOTE] Kennzeichnung des Vertrauensgrads. Jede Behauptung ist markiert, damit Sie sie selbst gewichten können: [COURT] Tatsache aus der Primärquelle, [OBSERVED] live auf meiner Testmaschine reproduziert, [STATIC] aus Binärdateien und öffentlichen Windows-PDBs nachgewiesen, [ASSESSED] starke Schlussfolgerung aus den Beweisen.

Inhaltsverzeichnis

Hintergrund: was das Gericht tatsächlich sagte
Widerlegung der viralen Mythen
Wo GDID sichtbar wird: Delivery Optimization
Wem es gehört: Connected Devices Platform zu DDS
Wie CDP es bekommt: es konsumiert, es berechnet nicht
Die Prägestätte: MSA Device PUID (wlidsvc)
Finden Sie Ihre eigene GDID
Verringerung der Exposition
Methodik (reproduzierbar)
Einschränkungen und ehrliche Vorbehalte

1. Hintergrund: was das Gericht tatsächlich sagte

Am 1. Juli 2026 entsiegelte das US-Justizministerium eine Strafanzeige gegen Peter Stokes, ein angebliches Mitglied von Scattered Spider (auch bekannt als Octo Tempest / UNC3944 / 0ktapus). Die eidesstattliche Erklärung beschreibt, wie Microsoft dem FBI half, Aktivitäten einem Gerät zuzuordnen.

[!IMPORTANT] [COURT] Aus der ergänzenden Beschwerde (§25, S.34), wörtlich:

„Das ngrok-Konto wurde über die Global Device Identifier g:6755467234350028 (die GDID) eingerichtet. Nach Angaben eines Microsoft-Vertreters ist ein Global Device Identifier im Windows-Ökosystem eine persistente, geräteebenenübergreifende Kennung, die eine Installation eines Windows-Betriebssystems auf einem Gerät eindeutig identifiziert ... Eine GDID ist eine global eindeutige Kennung, die an die Installation von Windows auf einem Gerät gebunden ist. Eine GDID bleibt über Windows-Betriebssystem-Updates auf einem Gerät hinweg konsistent, aber eine Neuinstallation von Windows ... wird an eine neue eindeutige GDID gebunden sein. "

Eine Fußnote fügt hinzu, dass ein Microsoft-Benutzer mehrere GDIDs haben kann. Die eidesstattliche Erklärung korreliert dann die IP-Verlauf und das Surfverhalten der GDID (z.B. empirehotelnyc.com, eine Growtopia/Ubisoft-Anmelde-URL) mit den Konten, bei denen der Verdächtige angemeldet war.

Zwei Dinge tragen den Rest dieses Berichts:

Der Wert ist g: plus eine ganze Dezimalzahl (g:6755467234350028). Hexadezimal ist das 0x0018000FC8CB93CC, also eine 64-Bit-Zahl.
Eine Neuinstallation ergibt eine neue GDID. Es kann also nicht einfach eine Funktion unveränderlicher Hardware sein.

2. Widerlegung der viralen Mythen

Die Zusammenfassung in den sozialen Medien behauptete, die GDID sei „eine 128-Bit-Kennung, die bei der Installation aus Seriennummern generiert wird." Beide Hälften sind falsch:

Behauptung (Social Media)	Realität (Primärquelle)
„128 Bit"	Der Wert in der Beschwerde ist `g:6755467234350028`, eine Dezimalzahl, die in 64 Bits passt (`0x0018000FC8CB93CC`).
„aus Seriennummern bei der Installation generiert"	Die Beschwerde besagt, dass eine Neuinstallation eine neue GDID erzeugt. Ein Wert, der von festen Seriennummern abgeleitet ist, würde nach einer Neuinstallation gleich zurückkommen, nicht ändern.

[!NOTE] Nach weiterem Reverse-Engineering von CDP. Ich habe einige Fehlinformationen gegeben. Die Verwendung eines lokalen Kontos verhindert keine GDID. CDP hat einen anonymen Gerätepfad, der verwendet wird, wenn kein Microsoft-Konto vorhanden ist. Behalten Sie dies beim Lesen im Hinterkopf.

3. Wo GDID sichtbar wird: Delivery Optimization

[STATIC] Microsofts öffentliche Azure Monitor-Dokumentation definiert eine GlobalDeviceId-Spalte in der Tabelle UCDOStatus (Update Compliance / Delivery Optimization):

GlobalDeviceId (string): „Microsoft global device identifier. Dies ist eine Kennung, die von Microsoft intern verwendet wird."

Es steht direkt neben LastCensusSeenTime, ISP, City, Country, also eine Geräte-ID in Verbindung mit Geo und IP. Dies ist die eine Stelle, an der Microsoft den Wert in öffentlichen Dokumenten benennt. Aber Delivery Optimization meldet es nur. Wichtig ist, dass es das Eigentum NICHT hat. Wenn man es stromaufwärts verfolgt, landet man bei der Connected Devices Platform.

4. Wem es gehört: die Connected Devices Platform zu DDS

[STATIC] C:\Windows\System32\cdp.dll (die Connected Devices Platform, Dienste CDPSvc + CDPUserSvc) enthält das GlobalDeviceId-Symbol und ein vollständiges Device Directory Service-Registrierungs-Subsystem:

ddsregistrationclient.cpp   ddsregistrationmanager.cpp   ddsregistrationinfo.cpp
DdsRegistrationClient   RegisterUserDevicesObserver   DdsRegistrationInfoProviderForCDP
endpoints: dds.microsoft.com  fd.dds.microsoft.com  aad.cs.dds.microsoft.com  cdpcs.access.microsoft.com
device-id format string: "g:%s"

gdid-reversal

Beliebteste