GDID: Το κρυφό ID με το οποίο σε παρακολουθουν τα Windows

Υπάρχει μια βαθιά παρανόηση που κυριαρχεί σχεδόν σε κάθε οδηγό «προστασίας απορρήτου στα Windows»: η ιδέα ότι αν χρησιμοποιήσεις local account, σβήσεις μερικά registry keys και ενεργοποιήσεις ένα VPN, το σύστημά σου είναι πλέον αόρατο. Ότι κανένα νήμα δεν σε συνδέει με όσα έκανες.

Αυτή η ψευδαίσθηση έσπασε με τον πιο βίαιο τρόπο την 1η Ιουλίου 2026, όταν αποσφραγίστηκε μια ομοσπονδιακή δικογραφία στις ΗΠΑ. Εκεί, για πρώτη φορά, επιβεβαιώθηκε με ένορκη κατάθεση αυτό που οι μυημένοι υποπτεύονταν χρόνια: ο Microsoft διαθέτει ένα σταθερό, κρυφό αναγνωριστικό για κάθε εγκατάσταση Windows — το GDID (Global Device Identifier) — και το χρησιμοποίησε για να συνδέσει δεδομένα από IP, λογαριασμούς και δραστηριότητα ενός 19χρονου χάκερ.

"Το VPN σου δουλεύει τέλεια. Απλώς δεν έχει σημασία. Το GDID δεν περνάει μέσα από το τούνελ — κάθεται έξω, στο επίπεδο όπου ο Windows μιλάει με το cloud της Microsoft, και συνδέει κάθε σου συνεδρία, ανεξάρτητα από το ποια IP κρύβεις."

Μέρος 1ο: Τι ακριβώς είναι το GDID;

Το Global Device Identifier είναι ένα αναγνωριστικό που εκδίδει η Microsoft και συνδέεται με μια συγκεκριμένη εγκατάσταση Windows. Δεν είναι το advertising ID σου. Δεν είναι ο κωδικός λογαριασμού Microsoft. Δεν είναι το serial number της μητρικής σου. Είναι ένα ξεχωριστό, σχεδόν άγνωστο ID που γεννιέται όταν ενεργοποιείς και εγγράφεις το σύστημά σου.

Η ύπαρξή του τεκμηριώνεται επισήμως στην τεκμηρίωση της Microsoft, στον πίνακα UCDOStatus του Azure Monitor, που χρησιμοποιείται για το Windows Update for Business και το Delivery Optimization. Εκεί ορίζεται ως «ένα αναγνωριστικό συσκευής που δημιουργεί η Microsoft και χρησιμοποιείται εσωτερικά». Δηλαδή: υπάρχει, είναι καταγεγραμμένο, αλλά ο μέσος χρήστης δεν προοριζόταν ποτέ να το μάθει.

Το κρίσιμο σημείο είναι ότι το GDID δεν προκύπτει απλώς από τα hardware serial numbers. Οι δοκιμές του εργαστηρίου δείχνουν ότι ακόμα κι αν διατηρήσεις το ίδιο μηχάνημα, μια καθαρή επανεγκατάσταση των Windows οδηγεί σε ένα νέο GDID. Δηλαδή, πρόκειται για ταυτότητα που μοιράζεται μεταξύ λογισμικού και cloud — ένας συνδυασμός που η Microsoft μπορεί να αναδημιουργήσει όποτε χρειαστεί.

Μέρος 2ο: Πώς βγήκε στο φως — Η υπόθεση Scattered Spider

Η αλυσίδα των γεγονότων ξεκινά με μια σύλληψη. Ο Peter Stokes, ένας 19χρονος από το Τέξας, κατηγορήθηκε ως μέλος της διαβόητης ομάδας hacking Scattered Spider — των νεαρών που έγιναν διάσημοι για SIM-swapping, phishing και την κατάρρευση της MGM Resorts. Η υπόθεσή του δεν ήταν απλώς ακόμα ένα arrest· έμελλε να γίνει το «κλειδί» που αποκάλυψε ένα από τα καλύτερα κρυμμένα μυστικά της Microsoft.

Οι συνέπειες είναι εκρηκτικές. Η δικογραφία αποδεικνύει στην πράξη ότι η Microsoft μπορεί να αντιστοιχίσει ένα GDID με:

• δημιουργία λογαριασμών σε τρίτες υπηρεσίες (ngrok κ.ά.),
• IP διευθύνσεις από προσωπικούς λογαριασμούς,
• δραστηριότητα SmartScreen, browser και telemetry,
• δεδομένα ενημερώσεων και sync.

Μέρος 3ο: Γιατί το "Local Account" δεν σε σώζει

Το πιο συνηθισμένο tip προστασίας που ακούς είναι: «χρησιμοποίησε local account, όχι λογαριασμό Microsoft». Πολλοί πιστεύουν ότι αν δεν συνδεθείς ποτέ με λογαριασμό Microsoft, τότε δεν υπάρχει κανένα αναγνωριστικό να σε προδώσει.

Οι ερευνητές της Windscribe το έλεγξαν εργαστηριακά. Δημιούργησαν μια εικονική μηχανή με καθαρά τοπικό λογαριασμό, χωρίς σύνδεση σε λογαριασμό Microsoft. Όσο το μονοπάτι εγγραφής ήταν μπλοκαρισμένο, το VM παρέμενε «καθαρό» — κανένα GDID. Τη στιγμή όμως που αφαιρέθηκε το μπλοκάρισμα, εμφανίστηκε ένα πραγματικό GDID με το ίδιο πρόθεμα 0018... που είχε φανεί στη δικογραφία. Ξαναμπλοκαρίστηκε το μονοπάτι και η δημιουργία νέου GDID σταμάτησε.

"Η πιθανότερη διαδρομή γέννησης είναι το Microsoft Passport ή το Microsoft Account DeviceAdd — συγκεκριμένα το login.live.com/ppsecure/deviceaddcredential.srf. Ο Windows εκτελεί το αίτημα μέσω των εσωτερικών component identity, ακόμα κι αν εσύ δεν έχεις συνδεθεί ποτέ με λογαριασμό."

Η μετάφραση είναι απλή και ενοχλητική: το «απλώς κάνε local account» μειώνει την έκθεση, αλλά δεν σε προστατεύει από το GDID. Το σύστημα έχει μηχανισμούς εγγραφής που λειτουργούν αυτόνομα, στο παρασκήνιο.

Μέρος 4ο: Γιατί ένα registry key δεν αρκεί

Εδώ μπαίνουμε στο πιο «unhinged» κομμάτι της ιστορίας. Οι ερευνητές προσπάθησαν το προφανές: να σβήσουν το registry value που μοιάζει να κρατά το ID (το λεγόμενο LID). Το έκαναν, έκαναν reboot — και το ID γύρισε. Όχι όμως μόνο αυτό: επανεμφανίστηκε ένα ακόμα αναγνωριστικό, το user PUID, που σχετίζεται με τον λογαριασμό σε επίπεδο χρήστη.

Το μάθημα είναι βαθύ: το GDID δεν είναι μια γραμμή στο μητρώο. Είναι ένα οικοσύστημα ταυτότητας διάσπαρτο σε ολόκληρο το λειτουργικό σύστημα. Όποιος σου λέει ότι «σβήνεις τρία registry keys και έγινες αόρατος», είτε σε κοροϊδεύει είτε δεν έχει ιδέα.

Μέρος 5ο: Τι γίνεται με το VPN; (Spoiler: τίποτα)

Ας καθαρίσουμε την πιο διαδεδομένη παρανόηση. Έχουμε μιλήσει πολλές φορές στο blog για τη χρήση VPN. Το GDID είναι το τέλειο παράδειγμα για το γιατί το VPN είναι ένα εργαλείο, όχι πανάκεια.

Στην υπόθεση Stokes, το VPN — αν χρησιμοποιήθηκε — δεν έκανε τίποτα για να σώσει την κατάσταση. Ο λόγος είναι απλός: το GDID δεν περνάει ποτέ μέσα από το τούνελ του VPN. Το ID ταξιδεύει στο κανάλι όπου ο Windows επικοινωνεί απευθείας με τους διακομιστές της Microsoft για ταυτοποίηση, ενημερώσεις και sync. Αυτό το κανάλι υπάρχει ανεξάρτητα από την κυκλοφορία του browser σου.

Ο συνδυασμός που «έκαψε» τον κατηγορούμενο ήταν χαρακτηριστικός:

1. Μία σύνδεση χωρίς VPN — έστω και στιγμιαία, έστω για ένα λεπτό.
2. Ή ένας προσωπικός λογαριασμός που συνδέθηκε κάποτε στο ίδιο μηχάνημα.
3. Το GDID έκανε όλη την υπόλοιπη δουλειά, συνδέοντας τα κομμάτια.

Το συμπέρασμα για τον μέσο χρήστη είναι σκληρό: η ανωνυμία δεν είναι μια συσκευή. Είναι ολόκληρο το σύστημα. Αν ένα από τα μέρη του συστήματός σου (OS, λογαριασμός, εφαρμογή, υλικό) λέει την αλήθεια για εσένα, όλα τα υπόλοιπα ψέματα δεν έχουν αξία.

Μέρος 6ο: Η απάντηση — deGDID και πραγματική προστασία

Μετά την έρευνα αυτή, γεννήθηκε ένα εργαλείο ανοιχτού κώδικα: το deGDID (github.com/yegors/deGDID). Πρόκειται για ένα PowerShell script που κάνει ακριβώς ό,τι λέει το όνομά του — προσπαθεί να «σκοτώσει» το τοπικό αντίγραφο του GDID και να μπλοκάρει τη δημιουργία νέου.

Η προσέγγισή του είναι χειρουργική και σκόπιμα συντηρητική. Δεν είναι ένα «σβήσε τα πάντα» κουμπί:

• .\degdid.ps1 -Status — μόνο ανάγνωση, για να δεις τι υπάρχει.
• .\degdid.ps1 -Status -Redact — ίδιο, με απόκρυψη ευαίσθητων τιμών πριν μοιραστείς output.
• .\degdid.ps1 -Protect — μπλοκάρει πρώτα τα μονοπάτια εγγραφής, επαληθεύει, μετά σβήνει τα τοπικά αντίγραφα, περιμένει, κάνει re-inventory και δίνει verdict.
• .\degdid.ps1 -Unprotect — πλήρης αναστροφή, με backup όλων των αλλαγών.

Πώς δουλεύει το -Protect:

1. Block: διαχειρίζεται μια περιοχή στο hosts file + ενισχύει με κανόνες Windows Firewall, κόβοντας τα γνωστά μονοπάτια εγγραφής της Microsoft.
2. Verify: επιβεβαιώνει ότι το μπλοκάρισμα ισχύει.
3. Wipe: σβήνει γνωστή τοπική κατάσταση GDID — target-user, SYSTEM, .DEFAULT, token device IDs, device tickets, Credential Manager, ConnectedDevicesPlatform, TokenBroker, WAM broker caches και NegativeCache.
4. Re-inventory: ελέγχει ξανά και εκδίδει verdict.

Το εργαλείο είναι συνειδητά αυστηρό: αρνείται να τρέξει σε managed, domain-joined, Entra-joined ή MDM-enrolled συστήματα, καθώς εκεί θα έσπαγε εταιρικές πολιτικές. Απαιτεί admin δικαιώματα, δημιουργεί backup και υποστηρίζει πλήρη επαναφορά.

Μέρος 7ο: Το μεγαλύτερο μάθημα — Οι ταυτότητες που δεν βλέπεις

Το GDID είναι ένας κρίκος σε μια πολύ μεγαλύτερη αλυσίδα. Τα σύγχρονα λειτουργικά συστήματα είναι γεμάτα συστήματα ταυτότητας που ο χρήστης δεν βλέπει ποτέ:

Το GDID έχει τρεις ιδιότητες που το κάνουν μοναδικό παράδειγμα:

1. Είναι τεκμηριωμένο από τη Microsoft (UCDOStatus).
2. Εμφανίστηκε σε δημόσια νομική δικογραφία με ένορκη κατάθεση.
3. Έχει τοπικά artifacts που μπορούν να ελεγχθούν και να μετριαστούν.

Δηλαδή: το GDID δεν είναι θεωρία συνωμοσίας. Είναι το σπάνιο παράδειγμα όπου το «αόρατο σύστημα» αποκαλύφθηκε, ονοματίστηκε, αποδείχθηκε και αντιμετωπίστηκε. Το ερώτημα που πρέπει να κάνεις στον εαυτό σου είναι σκληρό: πόσα άλλα GDIDs υπάρχουν εκεί έξω που δεν έχουν βγει ακόμα στο φως;

Συμπέρασμα: Ο Windows είναι πάντα «μέσα»

Η ιστορία του GDID ανατρέπει την αφέλεια με την οποία αντιμετωπίζουμε τα λειτουργικά συστήματα. Ο Windows δεν είναι ένα εργαλείο που δουλεύει για εσένα — είναι επίσης ένας κόμβος ενός τεράστιου δικτύου τηλεμετρίας και ταυτότητας που ανήκει στη Microsoft. Αυτά τα δύο γεγονότα συνυπάρχουν, όσο άβολα κι αν είναι.

Η προστασία δεν ξεκινά από το να βρεις «το τέλειο script». Ξεκινά από την επίγνωση: το σύστημά σου μπορεί να λέει περισσότερα για εσένα απ' όσα εσύ φαντάζεσαι, σε σημεία που δεν έχεις κοιτάξει ποτέ. Το GDID μας έδειξε ένα από αυτά τα σημεία. Το ερώτημα είναι ποια άλλα θα βρεθούν στο φως αύριο.

"Ο Windows μπορεί να είναι στο PC σου, αλλά είναι και μέρος του οικοσυστήματος τηλεμετρίας της Microsoft. Το GDID είναι η υπενθύμιση ότι αυτά τα δύο δεν είναι το ίδιο πράγμα."