no-gdid

Windows のグローバル デバイス識別子 (GDID) を読み取り、理解し、沈黙させます — VPN を使用していた容疑者を FBI が特定するのに役立った、アカウントごとに隠されたデバイス ID。

⚠️ 最初に正直な免責事項: このツールは GDID を消去せず、匿名にもしません。GDID は、サインインした瞬間から Microsoft アカウントに結び付けられ、Microsoft のサーバー上に存在します。no-gdid はお使いのマシンがそれを再登録・報告するのを止めるだけです — Microsoft がすでに保有しているものを取り消すことはできません。機密性の高い作業で本当のプライバシーを求めるなら、信頼できる唯一の答えは Windows に依存しないことです。

ここに記載されたすべての発見は、実際の Windows 11 Pro VM (ビルド 26200) で再現されてから書き留められています。理論上のものは何もありません。証拠は信頼度レベルでタグ付けされ、docs/technical-writeup.md にあります — また、その検証が実際に何を伴うのかについては 構築方法 を参照してください。

経緯

2026年、FBI は VPN を介して3か国にわたって IP を切り替えていた Scattered Spider 容疑者を追跡しました。彼の正体を暴いたのは GDID — Microsoft が Windows インストールに結び付け、召喚状に基づいて法執行機関と共有するデバイス識別子です。IP を変更しても変わりません。このリポジトリはその識別子を分解し、実際に何ができるのかを示します。

GDID の正体

ハードウェアハッシュではありません — login.live.com によって発行され、レジストリにローカルキャッシュされ、Microsoft の Device Directory Service グラフに登録され、配信の最適化 (Delivery Optimization) を通じて報告される 64ビット MSA デバイス PUID です。

wlidsvc  ── mint ──►  PUID from login.live.com
   │                  cached at HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties\LID
CDPSvc / CDPUserSvc  ── register ──►  Device Directory Service (dds.microsoft.com)
   │
DoSvc  ── report ──►  UCDOStatus.GlobalDeviceId  (Azure Monitor)

レジストリの LID (16進数) はサーバー側の値 g:<decimal> に対応します。すべての Windows デバイス PUID は 0x0018… 名前空間に存在します (検証済み: 当方のテスト値と裁判所提出書類の値が同じ名前空間を共有していました)。

クイックスタート

すべてのスクリプトは PowerShell 製で、ASCII のみで書かれ、任意のコードページで動作します。管理者権限の PowerShell を開いてください。

# 1. See your own GDID and which parts of the chain are active (read-only, safe)
powershell -ExecutionPolicy Bypass -File .\audit\Get-GDID-Audit.ps1

# 2. Preview what the mitigation would change (no changes yet)
powershell -ExecutionPolicy Bypass -File .\mitigate\Disable-GDID-Services.ps1
powershell -ExecutionPolicy Bypass -File .\mitigate\Block-GDID-Endpoints.ps1

# 3. Apply it: stop the report chain + blackhole its endpoints, keep MSA working
powershell -ExecutionPolicy Bypass -File .\mitigate\Disable-GDID-Services.ps1 -Apply
powershell -ExecutionPolicy Bypass -File .\mitigate\Block-GDID-Endpoints.ps1 -Apply

# Undo everything
powershell -ExecutionPolicy Bypass -File .\mitigate\Revert-GDID.ps1

まずスナップショット付き VM でテストしてください。 この緩和策はシステムサービスを無効化します。

各部分の役割

証明できたこと (そして効果がないこと)

• GDID の読み取りは機能します。 レジストリにあります。
• 削除は表面的な効果しかありません。 キーを削除して wlidsvc を再起動し、Microsoft アプリに触れると、サーバーから同一の値が戻ってきます。アカウントに固定されているのです。
• 「テレメトリ」(DiagTrack) をオフにしても無意味です。 GDID は従来のテレメトリではなく CDP/配信の最適化に乗って報告されます。よくあるアドバイスは誤りです。
• サインアウトせずに報告を沈黙させられます。 CDP/DO サービスを無効化し、そのエンドポイントをブラックホール化すれば、Microsoft アカウントが動作し続ける間、チェーンは静かになります。注意点: DoSvc は管理者でも Set-Service を拒否するため、レジストリの Start=4 で無効化します (技術解説を参照)。
• 過去は取り消せません。 PUID はすでにサーバー側に存在します。ブロックは将来の関連付けを減らすだけで、送信済みの情報を取り消すわけではありません。

トレードオフ

これらのサービスを無効化すると、配信の最適化のピアキャッシュ、Phone Link / 「PC で続ける」、近距離共有が使えなくなります。wlidsvc と login.live.com はそのまま残してあるため、Microsoft アカウントのサインインは機能し続けます。

ドキュメント

• docs/technical-writeup.md — チェーン全体、レジストリパス、エンドポイント、および信頼度でタグ付けされたすべての主張 ([COURT]、[OBSERVED]、[STATIC]、[NO-GDID VÉRIFIÉ])。
• docs/FAQ.md — よくある質問への簡潔な回答。

構築方法

このプロジェクトは、AI (Claude) の多大な支援を受けて調査・執筆されました。コミット履歴にもこのセクションにもその旨が明記されています — わざわざ探す必要はないようにしています。

正直に言って、実際には次のような意味です:

• AI が調査を主導しました。 リバースエンジニアリング資料を読み解き、サービスチェーンをマッピングし、検証すべき仮説を提案し、PowerShell と今お読みの文章の大部分を執筆しました。
• すべてのテストは自分の VM で自分自身が実行しました。 VMware 上の Windows 11 Pro ビルド 26200 で、実際の Microsoft アカウントにサインインし、破壊的な各ステップの前にスナップショットを取得しました。スクリーンショットの GDID はその VM のものです。だからこそ公開しても問題ないと考えています。
• 重要な主張は鵜呑みにせず、手作業で検証しました。 LID キーを削除して wlidsvc を再起動すると、Microsoft アプリが要求した時点で同じ識別子が本当に戻ってきます — その様子を実際に目撃しました。DiagTrack はその VM ではすでに停止していましたが、GDID は依然として存在しており、「テレメトリをオフにするだけでいい」というアドバイスは否定されました。DoSvc は管理者でも Set-Service を本当に拒否するため、スクリプトは代わりにレジストリ経由で無効化します。これらはそれぞれ AI の仮説として始まり、テストされるまでいくつかは誤りでした。
• 自分の成果ではないものは主張しません。 私のテストは Microsoft アカウントを使用した Windows 11 Pro でした。ローカルアカウントのケースは、@Berbe が Windows 10 LTSC 19044.7417 での観察結果を提供するまで、ここでは未解決の疑問でした (ローカルアカウントのみでもインストール時から LID/GDID が存在します)。技術解説には各発見がどのビルドに由来するかが記録されています — ビルド番号が付いていない主張は、信頼性が低いものとして扱ってください。

ここに記載された主張がご自身のマシンで成立しない場合は、ビルド番号を添えて issue を開いてください — それは賛同の言葉よりもこのリポジトリにとって価値があります。

クレジット

• 主なリバースエンジニアリング: SmtimesIWndr/gdid-reversal。
• Windows 10 LTSC でのローカルアカウントの観察: @Berbe (PR #3)。
• 事件の事実: United States v. Peter Stokes、N.D. Ill.、2026年7月。

ライセンス

MIT。防御的でプライバシー重視のツールです。所有するマシンで使用してください。