no-gdid

Windows ग्लोबल डिवाइस आइडेंटिफायर (GDID) को पढ़ें, समझें और शांत करें — वह छिपी हुई प्रति-खाता डिवाइस आईडी जिसने FBI को VPN का उपयोग कर रहे एक संदिग्ध का पता लगाने में मदद की।

⚠️ शुरुआत में ईमानदार अस्वीकरण: यह टूल आपका GDID मिटाता नहीं है और आपको गुमनाम भी नहीं बनाता। जिस पल आप साइन इन करते हैं, GDID उसी पल से Microsoft के सर्वर पर आपके Microsoft Account से जुड़ा रहता है। no-gdid आपकी मशीन को इसे पुनः-पंजीकृत करने और रिपोर्ट करने से रोकता है — यह उसे पूर्ववत नहीं कर सकता जो Microsoft के पास पहले से है। संवेदनशील कार्य पर वास्तविक गोपनीयता के लिए, एकमात्र विश्वसनीय उत्तर यह है कि Windows पर निर्भर न रहें।

यहाँ प्रत्येक निष्कर्ष लिखे जाने से पहले एक वास्तविक Windows 11 Pro VM (build 26200) पर पुनरुत्पादित किया गया था। कुछ भी सैद्धांतिक नहीं है। साक्ष्य के लिए docs/technical-writeup.md देखें, जिसे विश्वास स्तर के अनुसार टैग किया गया है — और यह जानने के लिए कि उस सत्यापन में वास्तव में क्या शामिल था, यह कैसे बनाया गया देखें।

---

कहानी

2026 में FBI ने Scattered Spider के एक संदिग्ध का पता लगाया जो तीन देशों में VPN के माध्यम से IP बदल रहा था। जिस चीज़ ने उसे पकड़वाया वह एक GDID था — एक डिवाइस आइडेंटिफायर जिसे Microsoft एक Windows इंस्टॉलेशन से जोड़ता है और समन पर कानून प्रवर्तन के साथ साझा करता है। आप अपना IP बदलने पर यह नहीं बदलता। यह रेपो उस आइडेंटिफायर को टुकड़ों में विश्लेषित करता है और दिखाता है कि आप वास्तव में इसके बारे में क्या कर सकते हैं।

GDID वास्तव में क्या है

यह हार्डवेयर हैश नहीं है — यह login.live.com द्वारा जारी एक 64-बिट MSA Device PUID है, जिसे स्थानीय रूप से रजिस्ट्री में कैश किया जाता है, Microsoft के Device Directory Service ग्राफ़ में पंजीकृत किया जाता है, और Delivery Optimization के माध्यम से रिपोर्ट किया जाता है।

wlidsvc  ── mint ──►  PUID from login.live.com
   │                  cached at HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties\LID
CDPSvc / CDPUserSvc  ── register ──►  Device Directory Service (dds.microsoft.com)
   │
DoSvc  ── report ──►  UCDOStatus.GlobalDeviceId  (Azure Monitor)

रजिस्ट्री LID (हेक्स) सर्वर मान g:<decimal> से मैप होता है। सभी Windows डिवाइस PUIDs 0x0018… नेमस्पेस में स्थित हैं (सत्यापित: हमारा परीक्षण मान और न्यायालय फाइलिंग वाला मान इसे साझा करते हैं)।

त्वरित शुरुआत

सभी स्क्रिप्ट PowerShell हैं, केवल-ASCII हैं, और किसी भी कोडपेज के अंतर्गत चलती हैं। एक एलिवेटेड PowerShell खोलें।

# 1. See your own GDID and which parts of the chain are active (read-only, safe)
powershell -ExecutionPolicy Bypass -File .\audit\Get-GDID-Audit.ps1

# 2. Preview what the mitigation would change (no changes yet)
powershell -ExecutionPolicy Bypass -File .\mitigate\Disable-GDID-Services.ps1
powershell -ExecutionPolicy Bypass -File .\mitigate\Block-GDID-Endpoints.ps1

# 3. Apply it: stop the report chain + blackhole its endpoints, keep MSA working
powershell -ExecutionPolicy Bypass -File .\mitigate\Disable-GDID-Services.ps1 -Apply
powershell -ExecutionPolicy Bypass -File .\mitigate\Block-GDID-Endpoints.ps1 -Apply

# Undo everything
powershell -ExecutionPolicy Bypass -File .\mitigate\Revert-GDID.ps1

पहले स्नैपशॉट के साथ VM में परीक्षण करें। यह शमन प्रणाली सेवाओं को अक्षम कर देता है।

प्रत्येक भाग क्या करता है

पथ	उद्देश्य	लिखता है?
audit/Get-GDID-Audit.ps1	आपके GDID + 5-सेवा श्रृंखला की स्थिति पढ़ता है	नहीं
audit/Get-GDID-Traffic.ps1	श्रृंखला के वास्तविक नेटवर्क एंडपॉइंट्स को मैप करता है	नहीं
mitigate/Block-GDID-Endpoints.ps1	hosts में DDS/DO एंडपॉइंट्स को ब्लैकहोल करता है (login.live.com रखता है)	-Apply के साथ
mitigate/Disable-GDID-Services.ps1	CDPSvc/DoSvc/CDPUserSvc को अक्षम करता है (wlidsvc रखता है)	-Apply के साथ
mitigate/Revert-GDID.ps1	सेवाओं को पुनर्स्थापित करता है + hosts साफ़ करता है	हाँ
experiments/	निष्कर्षों को सिद्ध करने के लिए उपयोग किए गए स्नैपशॉट-गेटेड प्रोब	विनाशकारी, गेटेड
docs/	स्रोत-सहित तकनीकी लेख + FAQ	—

हमने क्या सिद्ध किया (और क्या काम नहीं करता)

• आपका GDID पढ़ना काम करता है। यह रजिस्ट्री में ठीक वहीं मौजूद है।
• इसे हटाना केवल दिखावा है। कुंजी हटाएँ, wlidsvc पुनः आरंभ करें, किसी भी Microsoft ऐप को छुएँ — यह सर्वर से बिल्कुल वैसा ही वापस आ जाता है। यह आपके खाते से जुड़ा हुआ है।
• "टेलीमेट्री" (DiagTrack) बंद करने से कुछ नहीं होता। GDID CDP/Delivery Optimization पर सवार होता है, पारंपरिक टेलीमेट्री पर नहीं। वह आम सलाह गलत है।
• आप साइन आउट किए बिना रिपोर्टिंग को शांत कर सकते हैं। CDP/DO सेवाओं को अक्षम करें और उनके एंडपॉइंट्स को ब्लैकहोल करें; श्रृंखला शांत हो जाती है जबकि आपका Microsoft Account काम करता रहता है। चेतावनी: DoSvc व्यवस्थापक के रूप में भी Set-Service से इनकार करता है — इसे रजिस्ट्री Start=4 के माध्यम से अक्षम किया जाता है (लेख देखें)।
• अतीत जा चुका है। PUID पहले से ही सर्वर-साइड मौजूद है। ब्लॉक करना भविष्य के सहसंबंध को कम करता है; यह जो भेजा जा चुका है उसे वापस नहीं लेता।

व्यापार-समझौते

इन सेवाओं को अक्षम करने से Delivery Optimization पीयर कैशिंग, Phone Link / "Continue on PC", और निकटवर्ती साझाकरण टूट जाते हैं। wlidsvc और login.live.com को अकेला छोड़ दिया जाता है ताकि Microsoft Account साइन-इन काम करता रहे।

दस्तावेज़

• docs/technical-writeup.md — पूरी श्रृंखला, रजिस्ट्री पथ, एंडपॉइंट्स, और विश्वास के स्तर द्वारा टैग किया गया प्रत्येक दावा ([COURT], [OBSERVED], [STATIC], [NO-GDID VÉRIFIÉ])।
• docs/FAQ.md — स्पष्ट प्रश्नों के संक्षिप्त उत्तर।

यह कैसे बनाया गया

इस परियोजना की जाँच और लेखन भारी AI सहायता (Claude) के साथ किया गया था। कमिट इतिहास यही कहता है, और यह अनुभाग भी — आपको इसके लिए खुदाई नहीं करनी चाहिए।

व्यवहार में इसका क्या अर्थ है, ईमानदारी से:

• AI ने जाँच का नेतृत्व किया। इसने रिवर्स इंजीनियरिंग पढ़ी, सेवा श्रृंखला को मैप किया, परीक्षण के लिए परिकल्पनाएँ प्रस्तावित कीं, और अधिकांश PowerShell तथा जो गद्य आप पढ़ रहे हैं वह लिखा।
• मैंने हर परीक्षण स्वयं, अपने ही VM पर चलाया। VMware में Windows 11 Pro बिल्ड 26200, वास्तविक Microsoft Account में साइन इन, प्रत्येक विनाशकारी चरण से पहले स्नैपशॉट। स्क्रीनशॉट में जो GDID है वह उसी VM का है, इसीलिए मैं इसे दिखाने में सहज हूँ।
• जो दावे मायने रखते थे उन्हें हाथ से जाँचा गया, स्वीकार नहीं किया गया। LID कुंजी हटाना और wlidsvc पुनः आरंभ करना वाकई वही पहचानकर्ता वापस लाता है जब कोई भी Microsoft ऐप इसकी माँग करता है — मैंने इसे होते देखा। उस VM पर DiagTrack पहले से रुका हुआ था और GDID अभी भी मौजूद था, जिसने "बस टेलीमेट्री बंद कर दो" वाली सलाह को खत्म कर दिया। DoSvc व्यवस्थापक के रूप में वाकई Set-Service से इनकार करता है, इसीलिए स्क्रिप्ट रजिस्ट्री के माध्यम से जाती है। इनमें से प्रत्येक AI परिकल्पना के रूप में शुरू हुआ और परीक्षण से पहले कई गलत थे।
• जो मेरा नहीं है, उसका दावा मैं नहीं करता। मेरा परीक्षण Windows 11 Pro के साथ Microsoft Account पर था। स्थानीय-खाते का मामला यहाँ एक खुला प्रश्न था जब तक @Berbe ने Windows 10 LTSC 19044.7417 पर अवलोकन योगदान नहीं दिया (केवल स्थानीय खाते के साथ भी इंस्टॉल से एक LID/GDID मौजूद होता है)। लेख दर्ज करता है कि प्रत्येक निष्कर्ष किसके बिल्ड से आता है — यदि किसी दावे पर कोई बिल्ड संख्या नहीं है, तो उसे कमज़ोर मानें।

यदि आपको यहाँ कोई दावा ऐसा मिलता है जो आपकी मशीन पर लागू नहीं होता, तो अपने बिल्ड नंबर के साथ एक issue खोलें — यह इस रेपो के लिए सहमति से अधिक मूल्यवान है।

श्रेय

• प्राथमिक रिवर्स इंजीनियरिंग: SmtimesIWndr/gdid-reversal।
• Windows 10 LTSC पर स्थानीय-खाता अवलोकन: @Berbe (PR #3)।
• केस तथ्य: United States v. Peter Stokes, N.D. Ill., जुलाई 2026।

लाइसेंस

MIT। रक्षात्मक, गोपनीयता-उन्मुख टूलिंग। इसका उपयोग उन मशीनों पर करें जिनका आप स्वामी हैं।