鐵證如山！微軟秘密監控每一臺Windows PC：全網用戶都在裸奔

快科技7月24日消息，近日美國的一起案件意外曝光了微軟一項從未公開說明的追蹤機制：Global Device Identifier（GDID），這是一種綁定在每臺Windows設備上的持久標識符，全球約16億臺PC無一例外。

GDID首次公開亮相

GDID公開浮出水面源于一起黑客案件，19歲的美愛雙重國籍公民Peter Stokes今年4月在赫爾辛基機場被國際刑警紅色通緝令逮捕，6月引渡至芝加哥出庭。

他被指控參與黑客組織Scattered Spider，該組織涉嫌參與超過100起網絡入侵事件。2025年5月，該組織入侵一家奢侈品珠寶零售商，攻擊者冒充員工致電幫助臺，通過社會工程學手段重置憑證和多重認證，竊取至少77 GB數據并勒索約800萬美元加密貨幣。

Stokes使用了網絡代理和多個別名隱匿身份，自以為天衣無縫。但FBI通過微軟獲取了其設備GDID，追蹤到同一標識符在攻擊者ngrok賬戶創建時連接了注冊頁面，數小時后通過同一代理訪問了受害者站點。

同一GDID還出現在愛沙尼亞塔林、紐約和泰國的IP地址記錄中，時間跨度長達數月，與旅行記錄和Stokes本人社交媒體發布的照片相互印證，形成完整的證據鏈。

這是GDID首次在公開法律案件中同時被用作追蹤標識符并被微軟確認存在，也是該機制從暗處走向公眾視野的轉折點。

服務器生成、注冊表存儲、無法關閉

根據微軟在United States v. Peter Stokes案訴狀中的描述，GDID是"一個持久、設備級標識符，用于唯一標識設備上Windows操作系統的安裝"。

它是一個64位數字，格式為g:后跟一長串數字，由微軟服務器外部生成后存儲在本地注冊表中。每臺Windows安裝都會被分配一個，無論是物理PC還是虛擬機。

生成流程如下：當Windows設置Microsoft賬戶時，Passport身份服務會主動聯系微軟服務器，服務器在響應中返回該標識符，隨后寫入本地注冊表路徑`HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties`下的LID鍵值。

Windows的Connected Devices Platform接著將其注冊到微軟跨設備身份系統Device Directory Service中，完成從本地到云端的身份綁定。

GDID在Windows更新后保持不變，且在大多數系統更改后依然有效，重裝Windows會生成新的GDID，但舊標識符及微軟服務器上關聯的所有歷史記錄仍然保留，不會隨重裝而消失。這意味著微軟服務器上的GDID檔案是累積式的，每一次設備活動都在為這個檔案添磚加瓦。

無處不在的GDID

獨立研究人員逆向工程了該機制后發現，GDID的嵌入范圍遠超普通人想象，它深度參與Windows的核心功能鏈路：

系統層面：Windows激活狀態與GDID綁定，Microsoft Store的購買記錄和應用許可驗證都附帶該標識符，這意味著在應用商店里的每一筆消費都與設備身份掛鉤。

跨設備功能：手機連接功能依賴GDID建立手機與PC的配對關系，跨設備剪貼板同步也通過它識別設備身份。當你在手機上復制內容粘貼到PC時，GDID在幕后參與了設備匹配。

診斷與瀏覽數據：常規Windows診斷數據攜帶GDID，如果Microsoft Edge增強診斷功能開啟，瀏覽歷史同樣與之綁定。這正是調查人員構建Stokes案證據鏈的關鍵，Edge瀏覽記錄通過GDID與設備身份關聯，即使Stokes切換代理，GDID始終如影隨形。

用戶能做什么

對于普通用戶，可以通過PowerShell命令查看自己的GDID：

$hex = (Get-ItemProperty 'HKCU:SOFTWAREMicrosoftIdentityCRLExtendedProperties').LID

然后運行"g:$([Convert]::ToUInt64($hex,16))"，即可你的設備GDID，該操作不需要管理員權限，任何用戶都可以直接查看。

但也只是能查看，目前沒有任何方法可以阻止Windows生成GDID，且無法刪除微軟已存檔的歷史記錄。

Zerotrace Lab曾嘗試用自定義密鑰替換設備上的GDID并公開了完整實驗過程，試圖驗證這一標識符是否可以被篡改或偽造。

實驗結果表明，雖然本地注冊表中的值可以被修改，但微軟服務器端的記錄與本地不一致時會導致部分Windows功能異常，說明GDID的驗證邏輯是雙向的，并非簡單的本地標識。

雖然沒有證據表明微軟向廣告商等第三方分享GDID，微軟官方文檔也聲明該標識符僅供內部使用，但執法機構可通過傳票或法院令等標準法律渠道獲取，Stokes案就是典型案例。

其實安全專家和用戶最大的不滿在于透明度缺失，大多數操作系統都有各自的追蹤機制，但通常會通知用戶或提示接受條款。蘋果要求App通過ATT框架獲取追蹤授權，谷歌允許用戶重置廣告ID，Linux發行版則以開源方式讓用戶可以審查所有數據收集行為。

唯獨Windows是例外，微軟唯一有關GDID的公開文檔是Azure Monitor參考表中的一行描述，將GlobalDeviceId列定義為"微軟內部使用的全球設備標識符"，除此之外沒有專門的支持頁面，沒有用戶告知機制。

直到這一起案件，才迫使微軟承認了更多細節，考慮到Windows運行在全球約16億臺PC上，這個標識符的影響范圍之廣、存在時間之長、公眾知情之晚，在操作系統隱私實踐中都極為罕見。