Récemment, un procès fédéral unifié aux États-Unis a révélé le « secret de polichinelle » le mieux gardé de Microsoft : un identifiant persistant qui ne peut pas être désactivé par l'utilisateur, capable de traverser les VPN, les proxys et les frontières. Une fonction de suivi qui a permis de capturer un pirate informatique international insaisissable ouvre désormais un débat terrifiant sur la surveillance totale de plus de 1,6 milliard d'ordinateurs, à leur insu et sans aucun moyen de la désactiver.
Pourchassé jusqu'au bout du monde
En avril 2026, un jeune homme de 19 ans marchait d'un pas régulier dans les couloirs de l'aéroport d'Helsinki, en Finlande. Il avait avec lui un billet pour le Japon et deux disques durs de deux téraoctets remplis d'informations cryptées. Pour les agences de cybersécurité des entreprises, ce garçon n’était rien de plus qu’une ombre numérique insaisissable ; Pour le ministère de la Justice des États-Unis, il s’agissait de Peter Stokes, l’un des cerveaux derrière la redoutable organisation criminelle. Araignée dispersée.
Stokes pensait avoir pris toutes les précautions nécessaires : il a utilisé des réseaux privés virtuels (VPN), des serveurs proxy géographiquement dispersés et des systèmes cryptés pour brouiller les traces après avoir extorqué 8 millions de dollars à ses victimes. Cependant, malgré tous ces soins, Stokes n’a pas réussi à monter dans cet avion. Une notice rouge d'Interpol, alimentée par le Federal Bureau of Investigation (FBI), l'a arrêté net peu avant de monter à bord de l'avion.
C'est EthSystems, le nouvel engagement de Lubin envers la confidentialité institutionnelle d'Ethereum
Attrape-moi si tu peux, version numérique
La question qui en découle est Comment le FBI a-t-il démêlé le labyrinthe complexe de fausses identités et de tunnels cryptés qui protégeaient Stokes ? La réponse n’est pas que le FBI a eu de la chance, ni que tout cela soit dû à une faille dans ses outils d’anonymat ou à un informateur infiltré. La réalité est bien plus tordue : il provenait directement du système d’exploitation qu’il utilisait, Windows.
Et cela est devenu public lorsque des documents judiciaires déclassifiés en juillet 2026 ont tout révélé : Microsoft possède et maintient une technologie intégrée au cœur de Windows 11, capable de suivre, d'identifier de manière unique et de marquer de manière indélébile chaque installation sur la planète.. Son nom technique est Global Device Identifier (GDID), un outil de confidentialité mortel dépourvu de kill switch, vous permettant d'être ciblé n'importe où dans le monde.
L'anatomie du tracker Comment fonctionne le GDID ?
Pendant des années, l’écosystème de la cybersécurité a supposé qu’il suffisait de changer constamment les adresses IP ou de réinstaller certains paramètres pour contourner l’analyse de masse. Fondamentalement, si vous étiez prudent, désactiviez certaines choses et utilisiez des protocoles sécurisés, vous étiez en sécurité. Le GDID est une torpille contre cette idée, car il brise complètement ce paradigme. Comme l'a admis un représentant de Microsoft dans la plainte fédérale, le GDID est :
Un identifiant persistant au niveau de l'appareil conçu pour identifier de manière unique une installation d'un système d'exploitation Windows, que ce soit dans un environnement physique (un ordinateur portable ou un téléphone) ou un environnement virtuel, dans certains services et scénarios Microsoft.
Invisible à tout moment
Le mécanisme est activé automatiquement et de manière invisible au moment où un utilisateur se connecte à Windows à l'aide d'un compte Microsoft ou lors de la fourniture de la licence de l'appareil. Le processus technique suit une chaîne rigoureuse :
- Tout d'abord, un service système natif appelé wlidsvc communique avec les serveurs centraux d'authentification (login.live.com).
- À ce stade, un serveur répond en délivrant un identifiant appelé PUID (Passport Unique ID). Ce paramètre est attribué en externe ; Windows ne le calcule jamais localement.
- La chaîne alphanumérique est ensuite enregistrée en texte brut dans le registre d'utilisateurs, spécifiquement dans le chemin : HKCUSOFTWAREMicrosoftIdentity CRLExtended Properties sous la valeur LID.
- La plateforme des appareils connectés (contrôlée par la bibliothèque cdp.dll via le service CDPSvc), chargée de synchroniser les outils tels que le presse-papiers dans le cloud, lit cette valeur et la saisit dans le service d'annuaire des appareils Microsoft. Là, une lettre minuscule « g » est préfixée, la transformant en la formule du tracker : g : décimal.
- Enfin, ce code est tamponné dans chaque paquet d'optimisation de livraison (UCDOStatus.GlobalDeviceId) envoyé à l'entreprise technologique à chaque fois que l'ordinateur télécharge ou partage des mises à jour.
Impossible de désactiver
Mais le fonctionnement du GDID ne s’arrête pas là. Le collectif d’ingénierie inverse Massgrave déclaré à ce propos :
Il est pratiquement impossible d'empêcher Windows de générer et de transmettre un GDID sans interrompre complètement l'activation du système d'exploitation et l'accès aux applications UWP. Il ne s'agit pas d'une fonction facultative ; C'est l'épine dorsale de l'identité forcée de Microsoft.
Fondamentalement, la désactivation de GDID vous laisse sans Windows. Si vous supprimez la valeur ou la modifiez, les mises à jour ne fonctionnent pas, l'accès aux applications UWP ne fonctionne pas, l'accès aux services en ligne qui nécessitent une lecture latérale de celles-ci (comme la connexion à l'aide d'un compte Live) ne fonctionne pas. Littéralement, supprimer le GDID et comme effectuer une lobotomie sur le système.
L’envers de l’open source : 40 000 molécules mortelles en six heures
De l'écran à la cellule
L’affaire pénale contre Stokes a constitué le cadre idéal pour démontrer la létalité de ce traqueur. Le groupe Scattered Spider avait accédé aux systèmes de la bijouterie en utilisant des techniques d'ingénierie sociale, incitant le support technique à réinitialiser les informations d'identification administratives. Ils ont ensuite installé des outils de tunneling comme ngrok et Teleport pour extraire 77 gigaoctets d'informations sensibles. En enquêtant sur le serveur proxy de l'infrastructure ngrok utilisé dans l'attaque, le FBI a découvert une adresse IP anonyme fournie par la société d'hébergement Tzulo. La piste semblait morte.
Cependant, en délivrant un mandat à Microsoft, les agents fédéraux ont obtenu le relevé télémétrique exact. Au moment même où le compte malveillant était créé à partir du proxy anonyme, un appareil Windows avec l'identifiant exact g:6755467234350028 connecté au site Internet correspondant. À partir de ce chiffre fixe et immuable, le FBI a pu tracer une chronologie infaillible sur trois continents :
- Estonie (juin 2024) : le GDID de l'appareil fonctionnait sous une adresse IP de Tallinn. Quatre minutes plus tôt, cette même adresse IP avait été utilisée pour se connecter au compte Snapchat personnel de Stokes, et quatre-vingts minutes plus tard à son Facebook.
- New York (novembre 2024) : le même identifiant est apparu sous les adresses IP de New York, correspondant étroitement à l'accès au compte Apple de Stokes et à une réservation à l'Empire Hotel. Les agents sont venus valider la moquette et le papier peint de la chambre à travers des photos publiées par le suspect sur ses réseaux sociaux.
- Thaïlande (février 2025) : la même machine physique a de nouveau signalé une activité à Microsoft à partir d'une adresse IP de Bangkok, synchronisant en même temps que Stokes téléchargeait des images étiquetées avec l'hôtel Waldorf Astoria.
Un autre clou dans le cercueil de la vie privée
Bien entendu, tout cela a une double lecture. D’un côté, la capture d’un dangereux cyberextorsionniste responsable de pertes de plusieurs millions de dollars est célébrée, ce qui n’est pas discutable. Mais dans le même temps, la révélation du GDID a sonné l’alarme au sein de la communauté internationale des droits numériques et de la cybersécurité. Et pour rien : si le FBI peut le faire, pourquoi d’autres agences ou acteurs malveillants ne pourraient-ils pas le faire ? La réponse est simple : ils peuvent le faire et ils le feront.
Par conséquent, de nombreux membres de la communauté ont exprimé leur profonde inquiétude quant au fait que cet élément fonctionne dans l'ombre, sans écran de consentement clair ni notification explicite, contrairement aux identifiants publicitaires Apple ou Android qui permettent la révocation et le redémarrage à la volonté de l'utilisateur (du moins pour le moment).
En fait, des experts comme Matthew Hickey n’ont pas hésité à classer les systèmes d’exploitation modernes avec ce niveau de persistance dans la catégorie des « logiciels de surveillance ». Et le principal souci est que le GDID ne disparaît pas avec une mise à jour technique et, bien qu'une réinstallation propre du système génère un nouveau nombre décimal, les modèles d'activation historiques et les comptes liés à OneDrive permettent à Microsoft de lier l'ancien identifiant au nouveau en quelques secondes.
Pour les journalistes d’investigation, les militants politiques des régimes autoritaires et les dissidents, la confirmation de ce schéma détruit la confiance dans l’environnement de bureau conventionnel.
Pourquoi Jeremy Allaire pense que la blockchain sera le système économique de l'IA
Linux est-il une option ?
La recommandation des experts face à ce nouveau panorama est radicale : Dans les environnements où la sécurité physique ou la confidentialité absolue dépendent de l’anonymat, il est impératif d’abandonner les systèmes commerciaux et de migrer vers des plateformes open source comme Linux, acheminées nativement via des réseaux décentralisés comme Tor.
Mais est-ce suffisant ? La réponse est NON, et la raison est très simple : sous Linux, selon les distributions que vous utilisez, vous trouvez des choses similaires. Un exemple clair est le célèbre DUID (Device Unique Identifier) qui est stocké dans /etc/identifiant-machine. Il s'agit d'un identifiant qui sert à marquer votre ordinateur comme un élément unique et qui est implémenté dans des logiciels tels que systemd et dbus, une partie essentielle de pratiquement tous les systèmes Linux aujourd'hui.
Bien que le DUID ne soit pas utilisé pour « suivre ouvertement les utilisateurs d'une distribution », la réalité est que ledit DUID est utilisé et stocké sur des serveurs de distribution tels que Ubuntu / Red Hat (États-Unis) ou OpenSUSE (Europe), il peut donc être utilisé dans un but similaire. De plus, le DUID est utilisé pour dériver d'autres identifiants (tels que l'ID du service réseau) et sert donc de « fil d'Ariane » qui peut être utilisé pour vous suivre à l'échelle mondiale.
Par exemple, Google Chrome et Firefox utilisent le DUID pour dériver certains identifiants internesservant de fil d'Ariane. Cela signifie que Google et Mozilla disposent d'informations qui peuvent être utilisées pour vous identifier, comme cela s'est produit dans ce cas avec Microsoft, Windows et leur GUID.
Voir l’article original en espagnol
