微軟秘密監控每台Windows PC！FBI靠「它」鎖定駭客、引爆隱私爭議

美國近期一起司法案件意外揭露微軟 (MSFT-US) 一項未曾對外詳細說明的追蹤機制 Global Device Identifier（GDID）。這項機制會為每一台 Windows 裝置配置一組長期存在的識別碼，估計全球約 16 億台 Windows PC 都受到影響。

GDID 首度受到外界關注，起因於美國一起重大駭客案件。擁有美國與愛爾蘭雙重國籍的 19 歲男子 Peter Stokes，今年 4 月在芬蘭赫爾辛基機場遭國際刑警組織（Interpol）依紅色通緝令逮捕，並於 6 月被引渡至美國芝加哥接受審理。

檢方指控，Stokes 涉嫌參與駭客組織 Scattered Spider，該組織被認為涉及超過 100 起網路入侵事件。其中，2025 年 5 月曾攻擊一家精品珠寶零售商，駭客假冒員工致電客服協助中心，利用社交工程手法重設帳號憑證與多重驗證（MFA），竊取至少 77GB 資料，並勒索約 800 萬美元 的加密貨幣。

根據起訴文件，Stokes 曾透過代理伺服器（Proxy）及多個化名掩飾身分，自認難以被追查。然而，聯邦調查局（FBI）向微軟取得其裝置的 GDID 後，發現相同的裝置識別碼曾在建立攻擊者 ngrok 帳號時連線至註冊頁面，數小時後又透過同一組代理伺服器存取受害企業的系統。

調查人員進一步發現，相同的 GDID 還出現在愛沙尼亞首都塔林、美國紐約及泰國等地的 IP 紀錄中，時間跨度長達數個月。這些紀錄與 Stokes 的旅行資料及社群媒體貼文相互吻合，最終串聯成完整的數位證據鏈。

值得注意的是，此案不僅是 GDID 首度在公開司法案件中被用作關鍵追蹤依據，也首次獲得微軟證實這項機制的存在，使這項過去鮮為人知的 Windows 裝置識別技術正式進入大眾視野。

根據微軟在 United States v. Peter Stokes 一案提交的法院文件，GDID 是一組「可長期存在、用於唯一識別 Windows 作業系統安裝實例的裝置層級識別碼」。

GDID 為一組 64 位元（64-bit） 的數值，通常以 「g:」 作為開頭，後方接續一長串數字。這組識別碼並非由使用者裝置自行建立，而是由微軟伺服器產生後回傳，再儲存在本機登錄檔中。無論是實體電腦或虛擬機器，只要安裝 Windows，系統都會取得一組專屬的 GDID。

依據文件內容，當使用者在 Windows 設定 Microsoft 帳戶 時，系統的 Passport 身分驗證服務會主動與微軟伺服器通訊。伺服器回傳 GDID 後，系統便會將其寫入 Windows 登錄檔 HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties 路徑下的 LID 鍵值。

接著，Windows 的 Connected Devices Platform 會將這組識別碼註冊至微軟的跨裝置身分管理系統 Device Directory Service，完成本機裝置與雲端帳戶之間的身分綁定。

值得注意的是，法院文件指出，GDID 並不會因一般 Windows 更新而改變，多數系統設定調整也不會影響其識別碼。雖然重新安裝 Windows 後會重新產生新的 GDID，但舊有的 GDID 及其在微軟伺服器上的相關紀錄仍會保留，不會隨著重灌而一併清除。

換言之，微軟保存的 GDID 資料具有累積性，每次裝置與服務互動所留下的紀錄，都可能持續納入該裝置的歷史資料中，形成長期的識別與追蹤紀錄。

GDID 無所不在

根據獨立研究人員對該機制進行逆向工程後的分析，GDID 的用途並非僅限於辨識裝置，而是已深入整合至 Windows 多項核心服務與功能之中。

在系統層面，GDID 會與 Windows 的啟用資訊建立關聯，微軟商店的購買紀錄、應用程式授權驗證等流程，也都會附帶這組裝置識別碼。換言之，使用者在 Microsoft Store 的交易與授權資訊，都可能與特定裝置身分相互連結。

在跨裝置功能方面，Windows 的「手機連結」會利用 GDID 建立手機與電腦之間的配對關係，而跨裝置剪貼簿同步也會透過這項識別機制確認裝置身分。例如，當使用者在手機複製文字並貼到 Windows 電腦時，GDID 就會在背景協助完成裝置辨識與配對。

此外，診斷資料也與 GDID 有關。研究指出，Windows 一般的診斷資料會包含這組識別碼；若使用者啟用 Microsoft Edge 的增強診斷功能，瀏覽紀錄同樣可能與 GDID 建立關聯。

這項特性也成為 Peter Stokes 案的重要調查依據。調查人員正是透過 GDID，將 Edge 瀏覽紀錄與特定裝置串聯，即使嫌犯透過代理伺服器隱藏來源 IP，仍無法擺脫 GDID 所建立的裝置識別紀錄，使相關數位證據得以串接成完整的追查路徑。

使用者能做什麼

一般使用者也可以自行查詢電腦的 GDID。只要在 PowerShell 執行以下指令，即可讀取儲存在 Windows 登錄檔中的識別碼：$hex = (Get-ItemProperty "HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties").LID

接著再執行：g:$([Convert]::ToUInt64($hex,16)) 系統便會顯示該裝置對應的 GDID。整個查詢過程不需要系統管理員權限，任何登入 Windows 的使用者皆可直接查看。

不過，目前使用者僅能查閱自己的 GDID，尚無已知方法可阻止 Windows 建立這組識別碼，也無法刪除微軟伺服器中已留存的歷史紀錄。換言之，即使重新安裝作業系統或變更部分系統設定，也無法清除微軟過去已建立的 GDID 關聯資料。

資安研究團隊 Zerotrace Lab 曾嘗試透過自訂金鑰修改裝置上的 GDID，並公開完整實驗流程，希望驗證這組裝置識別碼是否能被竄改或偽造。

測試結果顯示，雖然使用者可以修改本機 Windows 登錄檔中的 GDID 值，但若本地資料與微軟伺服器保存的識別資訊不一致，部分 Windows 功能便會出現異常。研究人員因此推測，GDID 並非僅依賴本機資料，而是採用本地端與雲端同步驗證的機制。

目前沒有證據顯示微軟會將 GDID 提供給廣告商或其他第三方，微軟官方文件也表示，這項識別碼僅供內部服務使用。然而，執法機關仍可透過法院命令或傳票等合法程序向微軟調閱相關資料，Peter Stokes 一案就是實際案例之一。

不過，許多資安專家認為，真正引發爭議的並非 GDID 本身，而是微軟對其存在與用途缺乏充分揭露。

目前主流作業系統大多具備某種程度的裝置識別或追蹤機制，但通常都會提供較明確的告知或管理方式。例如，蘋果 (AAPL-US) 要求 App 必須透過 App Tracking Transparency（ATT） 機制取得使用者授權；Google 則允許 Android 使用者重設廣告識別碼；至於 Linux 發行版，由於採用開源模式，相關資料蒐集機制也能接受社群公開檢視。

相較之下，Windows 對 GDID 的公開資訊相當有限。研究指出，微軟目前唯一公開提及 GDID 的內容，僅是在 Azure Monitor 的參考文件中，將 GlobalDeviceId 簡單描述為「供微軟內部使用的全球裝置識別碼」，除此之外，並未提供專門的說明文件，也沒有明確告知使用者這項機制的存在。

直到 Peter Stokes 案曝光後，微軟才在法院文件中披露更多 GDID 的運作細節。考量 Windows 目前約部署於全球 16 億台電腦，這項識別機制涵蓋範圍之廣、存在時間之久，以及外界長期缺乏相關資訊，都使其成為近期備受關注的隱私議題。

微軟將強化 KMS 驗證機制

另一方面，微軟也宣布，未來將為企業大量授權啟用服務 Key Management Service（KMS） 導入新的硬體信任驗證機制，以提升 Windows 啟用流程的安全性，並遏止非法大量啟用。

KMS 是企業環境常用的 Windows 大量授權技術，企業只需部署一台 KMS 主機，內部電腦即可透過區域網路向該主機完成啟用，而不必逐一連線至微軟伺服器，因此廣泛應用於大型組織。

然而，長期以來，不少盜版工具會架設偽造的 KMS 主機，模擬企業環境，讓未經授權的 Windows 系統完成啟用。

為防堵這類手法，微軟將要求 KMS 主機透過 可信任平台模組（Trusted Platform Module，TPM） 建立硬體身分證明。TPM 可安全儲存加密金鑰並驗證裝置完整性，目前 Windows Hello、BitLocker 及 System Guard 等 Windows 安全功能皆依賴 TPM 運作。

新機制下，KMS 主機必須先利用 TPM 產生硬體驗證資訊，由微軟確認裝置未遭竄改且符合可信任狀態後，才能繼續提供 Windows 啟用服務。

依據微軟規畫，自 2026 年 8 月 起，Windows Server 2025 將率先加入檢測功能，系統管理員可透過 slmgr /dlv 指令確認伺服器是否符合硬體安全要求，符合條件的系統將顯示「符合具有硬體安全性的 KMS 主機條件」。

待下一個 Windows Server 長期服務通道（LTSC） 版本（預計為 Windows Server 2028）正式推出後，TPM 驗證將成為 KMS 主機的必要條件，未具備硬體身分驗證能力的 KMS 主機將無法再提供合法啟用服務。

值得注意的是，這次調整僅影響 KMS 主機端，一般個人電腦作為 KMS 用戶端，目前不會直接受到影響。不過，隨著偽造 KMS 主機的難度提高，未來網路上常見的各類 Windows「一鍵啟用」工具，預料將面臨更大的限制。