美国近期一起司法案件意外揭露微软 (MSFT-US) 一项未曾对外详细说明的追踪机制 Global Device Identifier（GDID）。这项机制会为每一台 Windows 装置配置一组长期存在的识别码，估计全球约 16 亿台 Windows PC 都受到影响。

GDID 首度受到外界关注，起因于美国一起重大骇客案件。拥有美国与爱尔兰双重国籍的 19 岁男子 Peter Stokes，今年 4 月在芬兰赫尔辛基机场遭国际刑警组织（Interpol）依红色通缉令逮捕，并于 6 月被引渡至美国芝加哥接受审理。

检方指控，Stokes 涉嫌参与骇客组织 Scattered Spider，该组织被认为涉及超过 100 起网路入侵事件。其中，2025 年 5 月曾攻击一家精品珠宝零售商，骇客假冒员工致电客服协助中心，利用社交工程手法重设帐号凭证与多重验证（MFA），窃取至少 77GB 资料，并勒索约 800 万美元 的加密货币。

根据起诉文件，Stokes 曾透过代理伺服器（Proxy）及多个化名掩饰身分，自认难以被追查。然而，联邦调查局（FBI）向微软取得其装置的 GDID 后，发现相同的装置识别码曾在建立攻击者 ngrok 帐号时连线至注册页面，数小时后又透过同一组代理伺服器存取受害企业的系统。

调查人员进一步发现，相同的 GDID 还出现在爱沙尼亚首都塔林、美国纽约及泰国等地的 IP 纪录中，时间跨度长达数个月。这些纪录与 Stokes 的旅行资料及社群媒体贴文相互吻合，最终串联成完整的数位证据链。

值得注意的是，此案不仅是 GDID 首度在公开司法案件中被用作关键追踪依据，也首次获得微软证实这项机制的存在，使这项过去鲜为人知的 Windows 装置识别技术正式进入大众视野。

根据微软在 United States v. Peter Stokes 一案提交的法院文件，GDID 是一组「可长期存在、用于唯一识别 Windows 作业系统安装实例的装置层级识别码」。

GDID 为一组 64 位元（64-bit） 的数值，通常以 「g:」 作为开头，后方接续一长串数字。这组识别码并非由使用者装置自行建立，而是由微软伺服器产生后回传，再储存在本机登录档中。无论是实体电脑或虚拟机器，只要安装 Windows，系统都会取得一组专属的 GDID。

依据文件内容，当使用者在 Windows 设定 Microsoft 帐户 时，系统的 Passport 身分验证服务会主动与微软伺服器通讯。伺服器回传 GDID 后，系统便会将其写入 Windows 登录档 HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties 路径下的 LID 键值。

接着，Windows 的 Connected Devices Platform 会将这组识别码注册至微软的跨装置身分管理系统 Device Directory Service，完成本机装置与云端帐户之间的身分绑定。

值得注意的是，法院文件指出，GDID 并不会因一般 Windows 更新而改变，多数系统设定调整也不会影响其识别码。虽然重新安装 Windows 后会重新产生新的 GDID，但旧有的 GDID 及其在微软伺服器上的相关纪录仍会保留，不会随着重灌而一并清除。

换言之，微软保存的 GDID 资料具有累积性，每次装置与服务互动所留下的纪录，都可能持续纳入该装置的历史资料中，形成长期的识别与追踪纪录。

GDID 无所不在

根据独立研究人员对该机制进行逆向工程后的分析，GDID 的用途并非仅限于辨识装置，而是已深入整合至 Windows 多项核心服务与功能之中。

在系统层面，GDID 会与 Windows 的启用资讯建立关联，微软商店的购买纪录、应用程式授权验证等流程，也都会附带这组装置识别码。换言之，使用者在 Microsoft Store 的交易与授权资讯，都可能与特定装置身分相互连结。

在跨装置功能方面，Windows 的「手机连结」会利用 GDID 建立手机与电脑之间的配对关系，而跨装置剪贴簿同步也会透过这项识别机制确认装置身分。例如，当使用者在手机复制文字并贴到 Windows 电脑时，GDID 就会在背景协助完成装置辨识与配对。

此外，诊断资料也与 GDID 有关。研究指出，Windows 一般的诊断资料会包含这组识别码；若使用者启用 Microsoft Edge 的增强诊断功能，浏览纪录同样可能与 GDID 建立关联。

这项特性也成为 Peter Stokes 案的重要调查依据。调查人员正是透过 GDID，将 Edge 浏览纪录与特定装置串联，即使嫌犯透过代理伺服器隐藏来源 IP，仍无法摆脱 GDID 所建立的装置识别纪录，使相关数位证据得以串接成完整的追查路径。

使用者能做什么

一般使用者也可以自行查询电脑的 GDID。只要在 PowerShell 执行以下指令，即可读取储存在 Windows 登录档中的识别码：$hex = (Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID

接着再执行：g:$([Convert]::ToUInt64($hex,16)) 系统便会显示该装置对应的 GDID。整个查询过程不需要系统管理员权限，任何登入 Windows 的使用者皆可直接查看。

不过，目前使用者仅能查阅自己的 GDID，尚无已知方法可阻止 Windows 建立这组识别码，也无法删除微软伺服器中已留存的历史纪录。换言之，即使重新安装作业系统或变更部分系统设定，也无法清除微软过去已建立的 GDID 关联资料。

资安研究团队 Zerotrace Lab 曾尝试透过自订金钥修改装置上的 GDID，并公开完整实验流程，希望验证这组装置识别码是否能被窜改或伪造。

测试结果显示，虽然使用者可以修改本机 Windows 登录档中的 GDID 值，但若本地资料与微软伺服器保存的识别资讯不一致，部分 Windows 功能便会出现异常。研究人员因此推测，GDID 并非仅依赖本机资料，而是采用本地端与云端同步验证的机制。

目前没有证据显示微软会将 GDID 提供给广告商或其他第三方，微软官方文件也表示，这项识别码仅供内部服务使用。然而，执法机关仍可透过法院命令或传票等合法程序向微软调阅相关资料，Peter Stokes 一案就是实际案例之一。

不过，许多资安专家认为，真正引发争议的并非 GDID 本身，而是微软对其存在与用途缺乏充分揭露。

目前主流作业系统大多具备某种程度的装置识别或追踪机制，但通常都会提供较明确的告知或管理方式。例如，苹果 (AAPL-US) 要求 App 必须透过 App Tracking Transparency（ATT） 机制取得使用者授权；Google 则允许 Android 使用者重设广告识别码；至于 Linux 发行版，由于采用开源模式，相关资料搜集机制也能接受社群公开检视。

相较之下，Windows 对 GDID 的公开资讯相当有限。研究指出，微软目前唯一公开提及 GDID 的内容，仅是在 Azure Monitor 的参考文件中，将 GlobalDeviceId 简单描述为「供微软内部使用的全球装置识别码」，除此之外，并未提供专门的说明文件，也没有明确告知使用者这项机制的存在。

直到 Peter Stokes 案曝光后，微软才在法院文件中披露更多 GDID 的运作细节。考量 Windows 目前约部署于全球 16 亿台电脑，这项识别机制涵盖范围之广、存在时间之久，以及外界长期缺乏相关资讯，都使其成为近期备受关注的隐私议题。

微软将强化 KMS 验证机制

另一方面，微软也宣布，未来将为企业大量授权启用服务 Key Management Service（KMS） 导入新的硬体信任验证机制，以提升 Windows 启用流程的安全性，并遏止非法大量启用。

KMS 是企业环境常用的 Windows 大量授权技术，企业只需部署一台 KMS 主机，内部电脑即可透过区域网路向该主机完成启用，而不必逐一连线至微软伺服器，因此广泛应用于大型组织。

然而，长期以来，不少盗版工具会架设伪造的 KMS 主机，模拟企业环境，让未经授权的 Windows 系统完成启用。

为防堵这类手法，微软将要求 KMS 主机透过 可信任平台模组（Trusted Platform Module，TPM） 建立硬体身分证明。TPM 可安全储存加密金钥并验证装置完整性，目前 Windows Hello、BitLocker 及 System Guard 等 Windows 安全功能皆依赖 TPM 运作。

新机制下，KMS 主机必须先利用 TPM 产生硬体验证资讯，由微软确认装置未遭窜改且符合可信任状态后，才能继续提供 Windows 启用服务。

依据微软规画，自 2026 年 8 月 起，Windows Server 2025 将率先加入检测功能，系统管理员可透过 slmgr /dlv 指令确认伺服器是否符合硬体安全要求，符合条件的系统将显示「符合具有硬体安全性的 KMS 主机条件」。

待下一个 Windows Server 长期服务通道（LTSC） 版本（预计为 Windows Server 2028）正式推出后，TPM 验证将成为 KMS 主机的必要条件，未具备硬体身分验证能力的 KMS 主机将无法再提供合法启用服务。

值得注意的是，这次调整仅影响 KMS 主机端，一般个人电脑作为 KMS 用户端，目前不会直接受到影响。不过，随着伪造 KMS 主机的难度提高，未来网路上常见的各类 Windows「一键启用」工具，预料将面临更大的限制。