Le fournisseur de VPN Windscribe publie deGDID, un script destiné à limiter l'exposition du GDID, l'identifiant Windows révélé par l'affaire visant un membre présumé de Scattered Spider. L'outil bloque son renouvellement et efface plusieurs emplacements du système où il se loge, sans toutefois supprimer les données déjà détenues par Microsoft.
Nous évoquions récemment les réglages permettant de limiter les informations associées au GDID sur Windows 11, faute d'option native pour le supprimer directement. Windscribe propose une méthode plus poussée, développée à partir de tests menés en laboratoire sur le fonctionnement interne de cet identifiant.
Une suppression qui ne se limite pas à une clé de registre
D'après les tests de Windscribe, le chemin de création le plus probable du GDID passerait par les mécanismes d'enregistrement d'identité et de compte de Windows, notamment par l'adresse login.live.com/ppsecure/deviceaddcredential.srf. L'identifiant n'est pas calculé uniquement à partir de composants matériels. Une réinstallation de Windows suffit à en générer un nouveau. Microsoft explique par ailleurs qu'il figure dans la table UCDOStatus, utilisée pour les rapports de Windows Update for Business.
Le GDID, propre à l'appareil, n'est cependant pas le seul identifiant en cause. Lors de ses essais, Windscribe indique avoir supprimé la valeur visible du registre, le LID, avant de voir un identifiant distinct, le PUID, lié au compte, réapparaître après un redémarrage. Pourtant, l'accès à login.live.com avait été bloqué. Ces deux identifiants sont séparés, et leurs traces se logent dans plusieurs composants du système :
- IdentityCRL : le service qui met en cache les jetons de connexion liés à un compte Microsoft ou professionnel.
- Le gestionnaire d'identifiants (Credential Manager) : l'outil visible dans Windows, qui stocke mots de passe, certificats et jetons de compte.
- TokenBroker : le service qui fournit ces jetons aux applications, sans redemander le mot de passe à chaque connexion.
- La ruche SYSTEM : la partie du registre propre à la machine, indépendante du compte utilisateur connecté.
- La ruche .DEFAULT : la partie du registre qui sert de modèle aux nouveaux profils et qui reste active même sans session ouverte.
Selon WindScribe, Windows est capable de reconstruire une partie de cette continuité d'identité à partir de ces emplacements, ce qui rend inefficaces les scripts de nettoyage limités à un seul registre.
Le script degdid.ps1 procède en deux temps. Il bloque d'abord les chemins d'enregistrement connus de Microsoft par une modification du fichier hosts et l'ajout de règles de pare-feu Windows. Il efface ensuite l'état GDID repéré dans les emplacements cités plus haut. Cela inclut les caches de deux services supplémentaires : ConnectedDevicesPlatform, qui synchronise l'activité et l'état de l'appareil avec les autres appareils reliés au même compte Microsoft, et TokenBroker, le service qui fournit les jetons de connexion vu plus haut.
Le programme propose plusieurs modes : -Status pour une lecture sans modification, -Status -Redact pour masquer les valeurs avant un partage, -Protect pour le cycle complet de blocage et de nettoyage, et -Unprotect pour annuler les changements.
- storage400 serveurs
- language63 pays couverts
- lan6 connexions simultanées
- moodVersion gratuite limitée
Un outil qui ne touche pas aux données déjà entre les mains de Microsoft
Windscribe précise que deGDID n'efface aucune donnée déjà enregistrée côté serveur et ne garantit pas la disparition de toute trace locale. L'entreprise reconnaît aussi que ses recherches n'ont pas nécessairement identifié tous les emplacements possibles. Le script refuse par ailleurs de s'exécuter sur les machines jointes à un domaine, à Entra ID, gérées par un outil MDM, ou présentant plusieurs profils ambigus. Il exige des droits administrateur et sauvegarde les éléments modifiés avant toute suppression.
Bloquer ces chemins d'enregistrement peut aussi dégrader des fonctions liées à un compte Microsoft. Cela peut potentiellement concerner la connexion, le Microsoft Store, Xbox, la synchronisation OneDrive, ou encore clés d'accès ou Windows Hello associé au compte. Dans ses tests, Windscribe indique que l'utilisation courante du bureau a continué de fonctionner. Les recherches de Windows Update et les mises à jour de définitions Defender n'ont également posé aucun problème, mais seulement lors de tests partiels.
Nous rapportions que Windows 11 ne propose aucun réglage pour afficher, supprimer ou renouveler le GDID. La seule méthode connue reste la réinstallation complète du système, ce qui n'empêche pas Microsoft de relier ensuite le nouvel identifiant au même compte une fois reconnecté. deGDID s'attaque donc à un problème que les réglages de confidentialité habituels ne couvrent pas, avec une approche plus technique, réservée aux systèmes personnels non gérés et aux utilisateurs à l'aise avec PowerShell.
