Windows, Microsoft a créé un identifiant caché pouvant suivre votre PC malgré l’usage d’un VPN

Microsoft se retrouve au centre d’un nouveau débat sur la confidentialité de Windows. Dans le cadre d’une plainte fédérale déposée aux États-Unis contre un membre présumé du groupe de piratage Scattered Spider, l’existence d’un identifiant appelé GDID, pour Global Device Identifier, a été publiquement détaillée.

Cet identifiant est attribué à une installation Windows lorsqu’elle est configurée avec un compte Microsoft. Il permet d’identifier de manière unique un environnement Windows sur un appareil physique, comme un PC portable, ou sur une machine virtuelle, à travers certains services et scénarios Microsoft.

Jusqu’à présent, Microsoft n’avait évoqué le GDID que très brièvement dans sa documentation Azure Monitor. La firme l’a évoqué comme un identifiant utilisé en interne. La plainte donne cependant une autre vision avec davantage de détails sur son rôle et surtout sa persistance. Selon les éléments cités, le GDID peut rester actif à travers les mises à jour Windows et être signalé aux serveurs Microsoft dans certains contextes.

Son fonctionnement repose sur plusieurs composants de Windows. Le service wlidsvc demande un identifiant de périphérique auprès de login.live.com, avant son enregistrement dans les services d’annuaire de Microsoft via la plateforme Connected Devices. Cet identifiant peut ensuite étre transmis lorsque le PC télécharge ou partage des mises à jour.

Le GDID est stocké dans le registre Windows, sous la clé HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties.

Il prendrait la forme d’une valeur commençant par la lettre minuscule « g », suivie d’une suite de chiffres. Microsoft reconnaît qu’un utilisateur peut disposer de plusieurs GDID reliés à son compte, à OneDrive ou à l’historique d’activation.

Par contre il ne serait pas conservé après une réinstallation propre de Windows. En revanche, une reconnexion au même compte Microsoft peut établir un lien entre un nouveau GDID et des activités précédentes. C’est précisément ce type de persistance qui inquiète les chercheurs en sécurité et les défenseurs de la vie privée.

Windows, Microsoft au cœur d’une importante polémique

Selon la plainte, le FBI aurait utilisé un GDID pour suivre Peter Stokes, membre présumé de Scattered Spider, malgré l’usage de VPN, de serveurs proxy et de connexions depuis plusieurs pays pendant environ huit mois.

Dans cette enquête, les adresses IP changent facilement avec un VPN, mais l’installation Windows sous-jacente pouvait continuer à transmettre le même identifiant. Pour les forces de l’ordre, cela peut constituer un outil de corrélation très efficace. Pour les utilisateurs, cela soulève une question beaucoup plus large : quel niveau de contrôle ont-ils réellement sur les identifiants générés par leur système d’exploitation ?

Plusieurs chercheurs en sécurité s’inquiètent du manque de transparence autour du GDID. Contrairement à l’identifiant publicitaire d’Apple, qui s’accompagne de contrôles visibles, ou aux options proposées sur Android, le GDID ne semble pas disposer d’un réglage clair permettant de le consulter, de le réinitialiser ou de le désactiver facilement depuis les paramètres Windows.

Des spécialistes de l’activation Windows ont souligné que bloquer ce type d’identifiant peut affecter l’activation du système, l’accès au Microsoft Store ou le fonctionnement d’applications UWP. Autrement dit, l’utilisateur dispose de marges de manœuvre limitées sans casser des fonctions centrales de Windows.

Pour des profils exposés, comme des journalistes, militants, lanceurs d’alerte ou personnes en situation de risque, le sujet devient encore plus sensible. Un simple VPN commercial ne suffit pas plus à masquer toute corrélation si le système d’exploitation lui-même conserve et transmet des identifiants persistants.

Cette affaire ne signifie pas que chaque utilisateur Windows est surveillé en permanence. Elle montre cependant qu’un identifiant système persistant peut devenir un élément exploitable dans une enquête judiciaire, notamment via des demandes légales adressées à Microsoft.