近日美國的一起案件意外曝光了微軟一項從未公開說明的追蹤機制：Global Device Identifier（GDID），這是一種繫結在每台Windows裝置上的持久識別碼，全球約16億台PC無一例外。
GDID首次公開亮相
GDID公開浮出水面源於一起駭客案件，19歲的美愛雙重國籍公民Peter Stokes今年4月在赫爾辛基機場被國際刑警紅色通緝令逮捕，6月引渡至芝加哥出庭。
他被指控參與駭客組織Scattered Spider，該組織涉嫌參與超過100起網路入侵事件。2025年5月，該組織入侵一家奢侈品珠寶零售商，攻擊者冒充員工致電幫助台，通過社會工程學手段重設憑證和多重認證，竊取至少77 GB資料並勒索約800萬美元加密貨幣。
Stokes使用了網路代理和多個別名隱匿身份，自以為天衣無縫。但FBI通過微軟獲取了其裝置GDID，追蹤到同一識別碼在攻擊者ngrok帳戶建立時連接了註冊頁面，數小時後通過同一代理訪問了受害者站點。
同一GDID還出現在愛沙尼亞塔林、紐約和泰國的IP地址記錄中，時間跨度長達數月，與旅行記錄和Stokes本人社交媒體發佈的照片相互印證，形成完整的證據鏈。
這是GDID首次在公開法律案件中同時被用作追蹤識別碼並被微軟確認存在，也是該機制從暗處走向公眾視野的轉折點。
伺服器生成、登錄檔記憶體、無法關閉
根據微軟在United States v. Peter Stokes案訴狀中的描述，GDID是“一個持久、裝置級識別碼，用於唯一標識裝置上Windows作業系統的安裝”。
它是一個64位數字，格式為g:後跟一長串數字，由微軟伺服器外部生成後記憶體在本地登錄檔中。每台Windows安裝都會被分配一個，無論是物理PC還是虛擬機器。
生成流程如下：當Windows設定Microsoft帳戶時，Passport身份服務會主動聯絡微軟伺服器，伺服器在響應中返回該識別碼，隨後寫入本地登錄檔路徑`HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties`下的LID鍵值。
Windows的Connected Devices Platform接著將其註冊到微軟跨裝置身份系統Device Directory Service中，完成從本地到雲端的身份繫結。
GDID在Windows更新後保持不變，且在大多數系統更改後依然有效，重裝Windows會生成新的GDID，但舊識別碼及微軟伺服器上關聯的所有歷史記錄仍然保留，不會隨重裝而消失。這意味著微軟伺服器上的GDID檔案是累積式的，每一次裝置活動都在為這個檔案添磚加瓦。
無處不在的GDID
獨立研究人員逆向工程了該機制後發現，GDID的嵌入範圍遠超普通人想像，它深度參與Windows的核心功能鏈路：
系統層面：Windows啟動狀態與GDID繫結，Microsoft Store的購買記錄和應用許可驗證都附帶該識別碼，這意味著在應用程式商店裡的每一筆消費都與裝置身份掛鉤。
跨裝置功能：手機連接功能依賴GDID建立手機與PC的配對關係，跨裝置剪貼簿同步也通過它識別裝置身份。當你在手機上複製內容貼上到PC時，GDID在幕後參與了裝置匹配。
診斷與瀏覽資料：常規Windows診斷資料攜帶GDID，如果Microsoft Edge增強診斷功能開啟，瀏覽歷史同樣與之繫結。這正是調查人員建構Stokes案證據鏈的關鍵，Edge瀏覽記錄通過GDID與裝置身份關聯，即使Stokes切換代理，GDID始終如影隨形。
使用者能做什麼
對於普通使用者，可以通過PowerShell命令查看自己的GDID：
$hex = (Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID
然後運行"g:$([Convert]::ToUInt64($hex,16))"，即可你的裝置GDID，該操作不需要管理員權限，任何使用者都可以直接查看。
但也只是能查看，目前沒有任何方法可以阻止Windows生成GDID，且無法刪除微軟已存檔的歷史記錄。
Zerotrace Lab曾嘗試用自訂金鑰替換裝置上的GDID並公開了完整實驗過程，試圖驗證這一識別碼是否可以被篡改或偽造。
實驗結果表明，雖然本地登錄檔中的值可以被修改，但微軟伺服器端的記錄與本地不一致時會導致部分Windows功能異常，說明GDID的驗證邏輯是雙向的，並非簡單的本地標識。
雖然沒有證據表明微軟向廣告商等第三方分享GDID，微軟官方文件也聲明該識別碼僅供內部使用，但執法機構可通過傳票或法院令等標準法律管道獲取，Stokes案就是典型案例。
其實安全專家和使用者最大的不滿在於透明度缺失，大多數作業系統都有各自的追蹤機制，但通常會通知使用者或提示接受條款。蘋果要求App通過ATT框架獲取追蹤授權，Google允許使用者重設廣告ID，Linux發行版則以開源方式讓使用者可以審查所有資料收集行為。
唯獨Windows是例外，微軟唯一有關GDID的公開文件是Azure Monitor參考表中的一行描述，將GlobalDeviceId列定義為“微軟內部使用的全球裝置識別碼”，除此之外沒有專門的支援頁面，沒有使用者告知機制。
直到這一起案件，才迫使微軟承認了更多細節，考慮到Windows運行在全球約16億台PC上，這個識別碼的影響範圍之廣、存在時間之長、公眾知情之晚，在作業系統隱私實踐中都極為罕見。
還有一件事，微軟即將為其批次啟動服務KMS引入基於硬體信任的新安全機制，該機制要求KMS主機通過TPM（可信平台模組）晶片進行身份驗證，確認運行在可信且未被篡改的硬體上後，方可為區域網路內的Windows裝置頒發啟動許可。
此舉旨在打擊利用偽造或克隆KMS伺服器繞過啟動控制的盜版行為。
KMS是微軟面向企業環境的批次啟動技術，組織內只需啟動一台KMS主機，區域網路內的Windows裝置向該主機發起啟動請求即可完成啟動，無需每台裝置單獨連接微軟伺服器，從而簡化大規模啟動流程。
但該機制長期被用於非授權場景，攻擊者搭建偽造的KMS伺服器，模擬企業批次啟動環境，使未經授權的Windows裝置完成啟動。
此次新機制的核心變化在於引入TPM證明環節，TPM是一類專用硬體安全元件，負責生成和保護加密金鑰，確保平台完整性，Windows Hello、BitLocker、System Guard等安全功能均依賴其工作。
啟用KMS硬體安全後，KMS主機需先通過TPM生成加密證明以建立硬體身份，微軟驗證該證明及平台完整性無誤後，才允許該主機處理啟動請求。
新功能具體落即時間上，自2026年8月起，Windows Server 2025將先行引入檢測機制，系統管理員可以使用命令（slmgr/dlv）查詢裝置是否達標，達標裝置會顯示“符合具有硬體安全性的KMS主機條件”。
從下一個Windows Server長期服務通道版本（預計為Windows Server 2028）正式發佈開始，TPM認證將成為強制要求，屆時沒有硬體證明的KMS啟動將徹底失效。
從影響範圍來看，此次調整目前僅針對KMS主機端，普通個人電腦作為KMS客戶端暫時不會受到直接影響。
但長遠來看，隨著偽造KMS主機的門檻拔高，未來網上滿天飛的“一鍵啟動工具”或許會迎來一波大洗牌。 (硬體世界)