Microsoft ammette in tribunale l’esistenza del Global Device Identifier: ecco cosa significa per te

1

Per anni è rimasto nell’ombra, citato solo di sfuggita in qualche tabella tecnica di Azure Monitor. Oggi, tuttavia, il Global Device Identifier (GDID) è diventato di dominio pubblico grazie agli atti processuali di un’indagine federale statunitense legata al gruppo di cybercrimine Scattered Spider.

In una dichiarazione giurata, Microsoft ha formalmente ammesso l’esistenza di questo identificatore unico di sistema, rivelando un dettaglio fondamentale: non è un semplice cookie o un ID pubblicitario, ma un “targa digitale” persistente che sopravvive agli aggiornamenti di sistema, al cambio di IP e persino all’uso delle VPN.

Cosa significa questo per i professionisti IT, i sysadmin e gli utenti attenti alla privacy? Analizziamo il funzionamento tecnico del GDID e vediamo come mitigare – per quanto possibile – l’impronta telemetrica di Windows.

1. Cos’è tecnicamente il GDID e come viene generato?

Il Global Device Identifier (internamente identificato anche dai prefissi PUID o LID) è un intero a 64 bit assegnato direttamente dai server di Microsoft durante la prima configurazione di Windows.

A differenza dei normali UUID locali generati dal sistema operativo, il GDID nasce da un processo di verifica lato server (Server-Side Authority):

1. Raccolta dei descrittori hardware: Al primo avvio o durante l’autenticazione con un Account Microsoft, il servizio wlidsvc (Microsoft Account Sign-in Assistant) invia una richiesta SOAP a login.live.com. Questo payload contiene un fingerprint hardware avanzato che include:
   • UUID dello SMBIOS
   • Numeri di serie dei dischi fisici e della scheda madre
   • Indirizzi MAC
   • Chiave pubblica del modulo TPM (Trusted Platform Module)
2. Generazione e Assegnazione: I server Microsoft elaborano questi parametri e restituiscono l’identificatore di 64 bit. Nei registri forensi appare in formato decimale preceduto da un prefisso (es. g:6755467234350028), mentre internamente può essere mappato con esecuzioni esadecimali (es. 0018... per l’ID del device e 0003... per quello utente).
3. Persistenza: Poiché l’impronta è legata alla combinazione dell’hardware reale (e ai sistemi Connected Devices Platform), anche reinstallando Windows da zero su una macchina non formattata a livello hardware, i server Microsoft tendono a ricollegare la stessa identità telemetrica al dispositivo.

2. Il caso giudiziario: la prova che oscura VPN e Proxy

La rivelazione giunge dal caso federale contro Peter Stokes, estradato negli USA in relazione alla violazione di un’azienda del settore lusso nel maggio 2025.

Nonostante l’imputato utilizzasse proxy di livello aziendale, VPN resilienti e account separati, il GDID è rimasto l’ancora investigativa invariata. L’FBI ha potuto incrociare:

• L’accesso alla pagina di registrazione del tunnel ngrok, eseguito da un dispositivo Windows con un certo GDID.
• Lo stesso GDID registrato nei log di Microsoft Edge (con diagnostica avanzata attiva) e nei server telemetrici di Windows.
• Gli indirizzi IP geografici da cui quel GDID si collegava nel corso dei mesi.

In termini forensi: il GDID scavalca il livello di astrazione di rete (IP/DNS) legando direttamente i log del sistema operativo all’identità hardware della macchina.

3. Dove risiede nel sistema (Analisi del Registro)

Il GDID viene propagato all’interno di diversi sottosistemi (Store, Windows Activation, Delivery Optimization, Event Tracing for Windows). La copia leggibile del token principale si trova nel Registro di sistema di Windows ed è leggibile persino senza privilegi da Amministratore.

Plaintext

HKEY_CURRENT_USER\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties

All’interno di questo percorso è possibile localizzare la stringa LID o le sottochiavi legate al device che contengono il token identificativo.

4. Guida pratica: Come verificare, limitare e isolare il GDID

Microsoft ha chiarito che non è possibile disabilitare o cancellare definitivamente il GDID senza compromettere l’attivazione di Windows e l’uso dello Store. Tuttavia, un sysadmin o un power-user può tagliare le condutture telemetriche che trasmettono costantemente quel token verso l’esterno.

Ecco la procedura tecnica di mitigazione a strati.

Fase 1: Disaccoppiare il sistema dall’Account Microsoft (MSA)

Il GDID esprime il suo massimo potenziale di tracciamento quando viene incrociato tra l’ID del dispositivo (0x0018) e il PUID del tuo Account Microsoft (0x0003).

1. Apri Impostazioni > Account > Le tue informazioni.
2. Clicca su Accedi con un account locale.
3. Completa il wizard di separazione per evitare il sync del token tra Edge, OneDrive e cloud Microsoft.

Fase 2: Riduzione della Telemetria e Diagnostica (GUI + GPO)

Per evitare che il campo Device.ID venga inserito nei pacchetti ETW (Event Tracing for Windows) ad alta frequenza:

1. Vai in Impostazioni > Privacy e sicurezza > Diagnostica e feedback.
2. Disattiva Invia dati di diagnostici facoltativi (lascia solo il livello Obbligatorio o Di base).
3. Disattiva tassativamente Esperienze personalizzate e Visualizza i dati di diagnostica.

Se sei su Windows Pro/Enterprise, applica il blocco via Criteri di Gruppo (gpedit.msc):

• Naviga in: Configurazione computer > Modelli amministrativi > Componenti di Windows > Raccolta dati e build di anteprima.
• Apri il criterio Consenti dati di diagnostica, impostalo su Attivato e imposta l’opzione a discesa su 0 – Dati di diagnostica disattivati (o 1 – Di base).

Fase 3: Disabilitazione della Diagnostica avanzata di Edge

Edge trasmette la cronologia di navigazione associata allo stesso identificatore hardware se le funzionalità di miglioramento sono abilitate.

1. Apri Microsoft Edge e vai su edge://settings/privacy.
2. Scorri fino alla sezione Privacy e sicurezza.
3. Disattiva: “Invia dati facoltativi di diagnostica…”.
4. Disattiva: “Migliora la sicurezza del Web permettendo a Microsoft Edge di inviare informazioni sul Web cui accedi”.

Fase 4: Blocco via Registro del Connected Devices Platform (CDP)

Il servizio Connected Devices Platform comunica regolarmente al Device Directory Service i cambiamenti di stato hardware e il GDID della macchina. È possibile limitare l’operatività del servizio via registro:

1. Apri un prompt di PowerShell come Amministratore.
2. Esegui il seguente blocco di comandi per impedire il broadcast dei dati del dispositivo sull’attività cloud:

# Disabilita l'invio della cronologia attività ai server Microsoft
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\System" /v "PublishUserActivities" /t REG_DWORD /d 0 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\System" /v "UploadUserActivities" /t REG_DWORD /d 0 /f

# Disabilita il Connected Devices Platform (Sync su dispositivi)
reg add "HKLM\Software\Policies\Microsoft\Windows\System" /v "EnableCdp" /t REG_DWORD /d 0 /f

Fase 5 (Opzionale/Hardcore): Blocco dei domini di telemetria a livello DNS

Per impedire al client di negoziare o validare costantemente l’ID, è necessario bloccare i resolver di telemetria a livello di firewall di perimetro (o file hosts / DNS Sinkhole tipo Pi-hole/AdGuard):

Plaintext

0.0.0.0 vortex.data.microsoft.com
0.0.0.0 settings-win.data.microsoft.com
0.0.0.0 watson.telemetry.microsoft.com
0.0.0.0 telemetry.appex.bing.net
0.0.0.0 telemetry.urs.microsoft.com

Avvertenza IT: Il blocco di tutti i domini associati a wlidsvc può interferire con l’attivazione delle licenze digitali di Windows e con l’aggiornamento automatico del sistema operativo tramite Windows Update.

Considerazioni finali

L’ammissione dell’esistenza del GDID in un’aula di tribunale segna uno spartiacque: smentisce l’idea che un indirizzo IP mascherato o una macchina virtuale base siano sufficienti ad anonimizzare un carico di lavoro che opera sotto sistema operativo Windows.

In ambienti aziendali ad alta sicurezza (Zero Trust), questa telemetria persistente si rivela un attivo di difesa e auditing preziosissimo; al contempo, per chi progetta sistemi focalizzati sul massimo isolamento forense o sulla privacy, rappresenta un monito inequivocabile sul controllo esercitato dalle moderne architetture OS cloud-linked.