页起诉书称微软Win11内置GDID追踪器无法完全关闭

事情发生在7月10日，科技媒体Windows Latest针对一份长达39页的联邦起诉书进行了解读，披露了一个让不少用户感到不安的事实：微软在Windows 11系统中内置了一个名为“全局设备标识符”（Global Device Identifier，简称GDID）的追踪标识，而且最关键的是——用户没法彻底把它关掉。

什么是GDID：微软赋予每台设备的永久“身份证”

这个全局设备标识符，说白了就是微软用来识别某一次Windows安装实例的持久性设备级“身份证”。它既可以绑定物理设备，也能识别虚拟机，在不少微软服务中充当着统一识别键的角色。典型的应用场景包括设备目录登记、跨设备服务协同，以及更新分发和企业级的状态上报。

GDID曝光起因：一起黑客案件背后的联邦起诉书

这个GDID最近的曝光，跟一起针对美国奢侈珠宝零售商的攻击调查有关。联邦调查局（FBI）正是借助了微软的全局设备标识符，成功锁定并抓获了一名19岁的青年黑客——彼得·斯托克斯。相关的更多细节，本站此前已有文章详细介绍。

而真正让GDID进入公众视野的，是这起案件背后那份公开的39页联邦起诉书。它把微软这套追踪机制第一次摆到了台面上。

技术细节：GDID如何生成并上报

Windows Latest通过逆向分析发现，当用户将设备绑定到微软账户后，系统服务器会返回一个叫Device PUID（设备PUID，也就是Passport唯一标识）的东西。这个标识会以明文形式写入注册表，路径是：

HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties

接着，Windows的Connected Devices Platform（已连接设备平台）服务会读取这个值。这个服务可能听起来有点陌生，但它实际上就是为Phone Link、云剪贴板和Nearby Share提供后台支持的那个cdp.dll，以CDPSvc的身份在运行。

再往下，Delivery Optimization（传递优化）服务会把这一标识作为UCDOStatus.GlobalDeviceId上报。注册之后，PUID前面会加上一个小写字母g，变成g:decimal的格式存储起来。

换句话说，每次用户电脑进行点对点数据共享，或者下载更新数据时，交付优化都会把这个值作为UCDOStatus.GlobalDeviceId，报告回微软的服务器。

通俗解释：登录账号即生成永久ID，多服务联动上报

用更通俗的话来解释就是：你用微软账号登录了Windows，系统就给你这次安装发了一个永久ID。Windows把这个ID存在本地，多个后台服务都会读取它，然后它就会混在电脑向微软报告的活动记录里，一起发出去。

就算你以后重装了系统，系统会分配一个新的ID，但微软可以通过同一个微软账号、OneDrive以及激活历史记录等信息，把旧ID和新ID关联起来。这样一来，用户在不同时间点的交互和使用记录，就很容易被串联起来。

用户无法关闭：即使切换本地账户或关闭诊断数据

Windows Latest还指出，即使用户切换到本地账户、关闭了“可选诊断数据”、关闭个性化广告与启动跟踪，甚至关闭云内容搜索，这些操作都无法完全关闭GDID。它就像Windows系统里一个“默认开着”的开关，用户除了接受，似乎没有别的办法。