ピーター・ストークス

WindowsのGDID、書き換え実験で4層の追跡構造が判明

Windows

WindowsのGDID、書き換え実験で4層の追跡構造が判明

セキュリティ研究チームがWindowsの端末識別子GDIDを別の値に差し替える実験を4段階で行い、いずれも成功しなかった。レジストリに平文で置かれた値の裏に、TPMまで動員した認証構造がある。 平文のGDIDを支える4層構造 WindowsがすべてのPCに割り当てる固有識別子GDID（Global Device Identifier）は、レジストリに16桁の16進数として平文で保存されている。管理者権限すら不要で、PowerShellから数秒で読める。書き換えも同じくらい簡単だ。 GDID表示：PowerShellで以下２つを実行 $hex = (Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID "g:$([Convert]::ToUInt64($hex,16))" では値を差し替えれば、Microsoftの追跡から逃れられるのか。 レッドチーム向けツールを開発するZerotrace Labが7月18日に公開した検証は、その問いに技術的な回答を出した。4
WindowsのGDID、解析で全容判明。完全な無効化は不可能

Windows

WindowsのGDID、解析で全容判明。完全な無効化は不可能

FBIがハッカーの追跡に使ったWindowsの固有識別子GDID。独立した研究者がバイナリを解析し、生成から送信までの全経路を突き止めた。Microsoftアカウントの有無にかかわらず生成され、ユーザーが完全に止める手段はない。 Microsoftが公式に語らなかった中身 Windowsのすべてのインストールに含まれるGDID（Global Device Identifier）の正体が、独立した研究者のリバースエンジニアリングで明らかになった。 きっかけは2026年6月30日に公開された、Scattered Spiderメンバーとされるピーター・ストークス（Peter Stokes）氏に対する連邦訴状だった。GDIDがFBIの追跡に使われたことが法廷文書に記載され、Windowsユーザーの間に波紋が広がった。 Microsoftの公式文書でGDIDに触れているのは、Azure Monitorのリファレンス内にある1行だけだ。配信の最適化テーブルUCDOStatusのカラム定義に「Microsoftが内部で使用する識別子」と記載されているだけで、生成の仕組みも収集対象も説明され
WindowsのGDIDが捜査の手掛かりに　端末識別子の仕組みとプライバシー

セキュリティ

WindowsのGDIDが捜査の手掛かりに　端末識別子の仕組みとプライバシー

Scattered Spiderのメンバーとされる19歳がフィンランドで逮捕・米国へ移送された。決め手はWindowsに埋め込まれた識別子GDIDで、VPNの裏側にいた人物を特定した。 空港で止められた19歳 2026年4月10日、ヘルシンキ空港。日本行きの便に搭乗しようとしていた若者が、フィンランド警察に拘束された。 ピーター・ストークス（Peter Stokes）、19歳。米国とエストニアの二重国籍を持つ。インターポールの赤手配書に基づく逮捕だった。所持品の中には2台のハードドライブがあり、後に捜査上の証拠として扱われることになる。 ストークス氏の身元は2024年の時点で当局に把握されていた。エストニアとアラブ首長国連邦を行き来していたが、当時は未成年であり、監視にとどまっていた。成人後、赤手配書が発行された。 6月末に米国へ移送され、6月30日にシカゴの連邦裁判所で初出廷。共謀、コンピュータ侵入、詐欺の3つの罪で起訴されている。オンラインでは「ブーケ」「スペンサー」「ジョーダン」というハンドル名を使っていた。 Scattered Spiderという集団 米司法省