---

TL;DR

[!NOTE] Ce qui suit est vrai, mais il manque certaines informations. Que vous soyez connecté avec un compte Microsoft ou non, vous AUREZ un GDID. Je ne l’avais pas réalisé au moment de la publication, mais j’ai vérifié. CDP possède un chemin d’appareil anonyme utilisé si aucun compte Microsoft n’est connecté. Le système sous‑jacent est toujours correct factuellement, mais il manque quelques éléments.

• Le GDID est un élément de télémétrie réel. Il apparaît dans la plainte pénale fédérale américaine (United States v. Peter Stokes, N.D. Ill., juillet 2026) sous la forme Global Device Identifier g:6755467234350028.
• C’est un « Device PUID » de compte Microsoft. Un identifiant unique Passport (PUID) de 64 bits attribué à une installation Windows lorsqu’elle s’enregistre auprès d’un compte Microsoft, écrit dans le graphe des appareils sous la forme g:<décimal>.
• Les affirmations sont erronées. Il n’est pas « 128 bits » et pas « généré à partir de numéros de série ». Le document judiciaire lui‑même indique qu’une réinstallation produit un nouveau GDID, ce qui exclut qu’il soit dérivé de numéros de série matériels comme ceux de votre GPU.
• La pile, de bas en haut : wlidsvc (service de compte Microsoft) provisionne l’appareil auprès de login.live.com et reçoit un PUID d’appareil -> le stocke dans le registre -> la plateforme d’appareils connectés (cdp.dll / CDPSvc) le lit et l’enregistre dans le graphe Device Directory Service (DDS) -> Delivery Optimization le rapporte sous la forme documentée UCDOStatus.GlobalDeviceId.
• Tout a été reproduit sur une machine Windows 11 (26200) réelle avec les symboles publics. Vous pouvez trouver votre propre GDID en une seule lecture du registre (§7).

[!NOTE] Étiquetage de confiance. Chaque affirmation est étiquetée pour que vous puissiez en juger par vous‑même : [COURT] fait avéré de source primaire, [OBSERVED] reproduit en direct sur ma machine de test, [STATIC] prouvé à partir des binaires et des PDB publics de Windows, [ASSESSED] inférence solide à partir des preuves.

---

Sommaire

1. Contexte : ce qu’a réellement dit le tribunal
2. Démontage des mythes viraux
3. Où le GDID apparaît : Delivery Optimization
4. Qui le possède : Connected Devices Platform vers DDS
5. Comment CDP l’obtient : il consomme, il ne calcule pas
6. La source : MSA Device PUID (wlidsvc)
7. Trouver votre propre GDID
8. Réduire l’exposition
9. Méthodologie (reproductible)
10. Limites et mises en garde honnêtes

---

1. Contexte : ce qu’a réellement dit le tribunal

Le 1er juillet 2026, le DOJ a dévoilé une plainte pénale contre Peter Stokes, un membre présumé de Scattered Spider (alias Octo Tempest / UNC3944 / 0ktapus). L’affidavit décrit comment Microsoft a aidé le FBI à attribuer une activité à un appareil.

[!IMPORTANT] [COURT] Extrait de la plainte modifiée (¶25, p.34), textuellement :

« le compte ngrok a été créé avec Global Device Identifier g:6755467234350028 (le 'GDID'). Selon un représentant de Microsoft, un Global Device Identifier dans l’écosystème Windows est un identifiant persistant au niveau de l’appareil, conçu pour identifier de manière unique une installation du système d’exploitation Windows sur un appareil… Un GDID est un identifiant global unique lié à l’installation de Windows sur un appareil. Un GDID reste cohérent entre les mises à jour du système d’exploitation Windows sur un appareil, mais une réinstallation de Windows… sera liée à un nouveau GDID unique. »

Une note de bas de page ajoute qu’un même utilisateur Microsoft peut avoir plusieurs GDID. L’affidavit corrèle ensuite l’historique IP du GDID et la navigation (par ex. empirehotelnyc.com, une URL de connexion Growtopia/Ubisoft) avec les comptes sur lesquels le suspect était connecté.

Deux éléments portent le reste de cette analyse :

1. La valeur est g: suivie d’un entier décimal (g:6755467234350028). En hexadécimal, cela donne 0x0018000FC8CB93CC, soit un nombre sur 64 bits.
2. Une réinstallation donne un nouveau GDID. Il ne peut donc pas être simplement une fonction du matériel immuable.

---

2. Démontage des mythes viraux

Le résumé des médias sociaux affirmait que le GDID est « un identifiant de 128 bits généré à partir des numéros de série lors de l’installation ». Les deux moitiés sont fausses :

Affirmation (réseaux sociaux)	Réalité (source primaire)
« 128 bits »	La valeur dans la plainte est g:6755467234350028, un nombre décimal qui tient sur 64 bits (0x0018000FC8CB93CC).
« généré à partir des numéros de série lors de l’installation »	La plainte dit qu’une réinstallation produit un nouveau GDID. Une valeur dérivée de numéros de série fixes serait identique après une réinstallation, pas modifiée.

[!NOTE] Après avoir approfondi le reverse du CDP, j’ai fourni une information erronée. Utiliser un compte local n’empêche pas un GDID. CDP possède un chemin d’appareil anonyme qui est emprunté si aucun compte Microsoft n’est connecté. Gardez cela à l’esprit en lisant.

---

3. Où le GDID apparaît : Delivery Optimization

[STATIC] La documentation publique Azure Monitor de Microsoft définit une colonne GlobalDeviceId dans la table UCDOStatus (Update Compliance / Delivery Optimization) :

GlobalDeviceId (string) : « Identifiant global d’appareil Microsoft. Il s’agit d’un identifiant utilisé en interne par Microsoft. »

Elle se trouve juste à côté de LastCensusSeenTime, ISP, City, Country, donc un identifiant d’appareil aligné avec la géolocalisation et l’IP. C’est le seul endroit où Microsoft nomme la valeur dans la documentation publique. Mais Delivery Optimization se contente de la rapporter. Il ne la possède pas. Remontez en amont et vous arrivez sur la Connected Devices Platform.

---

4. Qui le possède : Connected Devices Platform vers DDS

[STATIC] C:\Windows\System32\cdp.dll (la Connected Devices Platform, services CDPSvc + CDPUserSvc) contient le symbole GlobalDeviceId et tout un sous‑système d’enregistrement Device Directory Service :

ddsregistrationclient.cpp   ddsregistrationmanager.cpp   ddsregistrationinfo.cpp
DdsRegistrationClient   RegisterUserDevicesObserver   DdsRegistrationInfoProviderForCDP
endpoints: dds.microsoft.com  fd.dds.microsoft.com  aad.cs.dds.microsoft.com  cdpcs.access.microsoft.com
chaîne de format d’identifiant d’appareil : "g:%s"