Windows 11 : peut-on vraiment supprimer l’identifiant GDID de son PC ?

[Tlemceni13]

L’identifiant GDID utilisé par Microsoft peut suivre une même installation de Windows malgré les changements d’adresse IP. Aucun bouton ne permet de le désactiver, mais plusieurs réglages limitent les informations auxquelles il pourrait être associé.

Windows 11 : peut-on vraiment supprimer l’identifiant GDID de son PC ? © dennizn / Shutterstock

 

L’affaire Peter Stokes, membre présumé de Scattered Spider arrêté en avril dernier, a levé le voile sur un identifiant Windows jusqu’ici inconnu du grand public. En croisant le GDID de son PC avec des adresses IP, des horaires de connexion et plusieurs comptes en ligne, le FBI est parvenu à relier différentes activités au même appareil. Cet identifiant n’a pas révélé à lui seul l’identité du suspect, mais il a fourni aux enquêteurs un point de repère stable pour raccrocher entre elles des connexions observées sous différentes IP, dont l’une était attribuée à un service VPN.

 

Un identifiant attribué par les serveurs de Microsoft

 

Le GDID, pour Global Device Identifier, identifie une installation de Windows auprès de certains services Microsoft. Contrairement à une empreinte matérielle classique, il ne semble pas être calculé localement à partir du processeur, de la carte mère ou du disque dur. Selon la plainte visant Stokes, une réinstallation complète de Windows suffit d’ailleurs à en obtenir un nouveau, sans changer les composants du PC.

 

D’après le travail de rétro-ingénierie publié sur GitHub par un chercheur indépendant connu sous le pseudonyme SmtimesIWndr, sa création passerait par les services d’identité de Microsoft, autrement dit les composants chargés d’authentifier le compte, d’enregistrer l’appareil et de maintenir le lien entre les deux.

 

Pour reconstituer son fonctionnement, le chercheur a observé une installation de Windows 11 en s’appuyant sur les symboles publics fournis par Microsoft, qui permettent d’identifier le rôle de fonctions internes du système, sur les traces ETW, le journal technique utilisé par Windows pour enregistrer l’activité de ses composants, ainsi que sur plusieurs valeurs inscrites dans le registre.

 

Ces différents indices lui ont permis de suivre le parcours supposé de l’identifiant entre les services de compte, Windows et les serveurs de Microsoft. D’après ses observations, lors de l’enregistrement de l’appareil, ces derniers lui transmettent un Device PUID, pour Passport Unique ID.

 

Dans la chaîne décrite par le chercheur, Windows conserve ensuite ce numéro dans le registre, avant que la plateforme Connected Devices, utilisée par les fonctions qui font communiquer Windows avec d’autres appareils et services Microsoft, ne le récupère et ne l’enregistre sous une forme commençant par g:. Il retrouve cette même valeur dans le champ technique GlobalDeviceId des rapports liés à l’Optimisation de la distribution : il s’agirait donc du Global Device Identifier, ou GDID, évoqué plus haut.

 

Peut-on supprimer ou réinitialiser le GDID ?

 

Lorsque l’appareil est utilisé avec un compte Microsoft, le GDID peut plus facilement être rapproché d’une identité et des autres services associés au même compte, comme OneDrive, Edge ou le Microsoft Store. Passer à un compte local limite donc certains recoupements, sans faire disparaître l’identifiant. D’après les recherches de SmtimesIWndr, Windows disposerait également d’un mode d’enregistrement anonyme auprès de la plateforme Connected Devices lorsqu’aucun compte Microsoft n’est connecté.

 

Windows 11 ne propose aucun réglage permettant d’afficher, de supprimer ou de renouveler directement le GDID. À ce jour, la seule méthode explicitement documentée pour obtenir un nouvel identifiant consiste à réinstaller Windows. Cela ne garantit toutefois pas que Microsoft perde le lien avec l’installation précédente. En se reconnectant au même compte, l’utilisateur ou l’utilisatrice rattache de nouveau Windows et les services utilisés à la même identité. Microsoft peut donc reconnaître le compte, même si l’installation possède désormais un autre GDID.

 

Il faut donc distinguer le fait de changer la valeur du GDID de celui d’empêcher Microsoft de reconnaître l’appareil ou la personne qui l’utilise. La première opération est possible après une réinstallation du système ; la seconde ne l’est pas tant que le PC continue d’utiliser les mêmes comptes, services et données d’identification.

 

Les réglages à modifier pour limiter les données envoyées

 

Bien que rien ne permette de bloquer explicitement le GDID, il est toujours possible de réduire une partie des informations facultatives transmises à Microsoft et de limiter les services auxquels elles peuvent être associées. Ces modifications n’empêchent pas Windows Update et d’autres fonctions essentielles d’envoyer leurs propres données requises, qui peuvent elles aussi contenir un identifiant de l’appareil.

 

Commencez par ouvrir les Paramètres > Confidentialité et sécurité > Diagnostics et commentaires. Dans la section Données de diagnostic, désactivez Envoyer des données de diagnostic facultatives. Windows continuera de transmettre les données obligatoires nécessaires à la sécurité, aux mises à jour et au fonctionnement du système, mais écartera les informations supplémentaires sur l’utilisation des applications, la configuration et les performances.

 

 

Désactivez l'envoi des données de diagnotic facultatives dans Windows 11. © Clubic

 

Sur cette même page, désactivez Améliorer la saisie manuscrite et la frappe. Vous pouvez également ouvrir la section Supprimer les données de diagnostic et cliquer sur Supprimer. Cette opération efface les données de diagnostic déjà associées à l’appareil sur les serveurs de Microsoft, mais pas celles qui sont associées au compte Microsoft. Elle ne désactive pas non plus les futurs envois.

 

 

Désactivez les options d'amélioration de l'écriture et de la saisie, et supprimez les données de diagnostic déjà collectées. © Clubic

 

Dans l’Espace économique européen, Microsoft Edge gère ses données de diagnostic séparément de Windows. Si vous utilisez le navigateur, ouvrez Paramètres > Confidentialité, recherche et services > Confidentialité, puis désactivez également l’envoi des données de diagnostic facultatives à Microsoft.

 

 

Désactivez la collecte et l'envoi des données de diagnostic facultatives sur Edge. © Clubic

 

Rendez-vous ensuite dans les Paramètres > Windows Update > Options avancées > Optimisation de la distribution et désactivez Autoriser les téléchargements à partir d’autres appareils. On l’a vu, le GDID apparaît dans l’un des rapports associés à cette fonction, aux côtés d’informations sur les téléchargements et la connexion. Gardez toutefois en tête que ce réglage réduit l’activité pair-à-pair, sans empêcher d’autres composants de Windows Update d’utiliser le même identifiant.

 

 

Désactivez les paramètres d'optimisation de la distribution. © Clubic

 

Utiliser un compte local, couper la synchronisation d’Edge, déconnecter OneDrive et désactiver les fonctions entre appareils peut encore réduire les données rattachées au même compte Microsoft, la solution la plus radicale consistant évidemment à… quitter Windows pour Linux.