Microsoft có thể theo dõi người dùng bằng Windows Device ID

• Trong vụ án của Peter Stokes 19 tuổi, người bị cáo buộc liên quan đến Scattered Spider, đã lộ ra việc FBI dùng bản ghi Global Device ID (GDID) của Microsoft để liên kết PC Windows với hoạt động trực tuyến
• GDID là định danh cấp thiết bị bền vững dùng để nhận diện một bản cài đặt Windows trên các dịch vụ và kịch bản của Microsoft, có thể áp dụng cho cả thiết bị vật lý lẫn máy ảo
• Đơn khiếu tố hình sự bao gồm bản ghi cho thấy vào lúc 19:21 UTC ngày 12/5/2025, GDID gắn với máy tính của Stokes đã truy cập trang đăng ký ngrok và nhiều trang trên máy chủ Tzulo
• GDID vẫn được giữ nguyên sau khi Windows cập nhật, nhưng sẽ đổi sang giá trị mới nếu cài đặt lại, và một người dùng Microsoft có thể có nhiều GDID
• Vụ việc làm dấy lên lo ngại rằng hoạt động trực tuyến trên PC Windows có thể bị theo dõi ngay cả khi không có cookie trình duyệt bên thứ ba, khiến một số người dùng bắt đầu tìm cách kiểm tra hoặc xóa GDID

---

GDID được sử dụng ra sao trong vụ bắt giữ

• Mỹ đã dẫn độ Peter Stokes 19 tuổi từ châu Âu, người bị cáo buộc là thành viên của nhóm hacker Scattered Spider
• Trong đơn khiếu tố hình sự được công bố, hồ sơ của Microsoft được dùng như manh mối then chốt để liên kết Stokes với các hành vi hack bị nghi ngờ
• Stokes bị cáo buộc đã tấn công một nhà bán lẻ trang sức cao cấp không được nêu tên vào tháng 5/2025, và hồ sơ cho thấy khi đó anh ta sử dụng VPN
• Thông qua hồ sơ Microsoft, FBI xác nhận địa chỉ IP của anh ta được liên kết với một định danh thiết bị của Microsoft có tên Global Device ID (GDID)

GDID nhận diện điều gì

• Theo phần giải thích của Microsoft được trích trong đơn kiện, GDID được định nghĩa là định danh cấp thiết bị bền vững trong hệ sinh thái Windows
• Định danh này được thiết kế để phân biệt duy nhất từng bản cài đặt hệ điều hành Windows
  • Có thể áp dụng cho thiết bị vật lý như laptop hoặc điện thoại
  • Cũng bao gồm cả máy ảo
  • Được dùng trên nhiều dịch vụ và kịch bản cụ thể của Microsoft
• Việc gán ID riêng cho tài khoản hoặc thiết bị là chuyện phổ biến, nhưng trong vụ này, GDID được cho là có thể liên kết cả lịch sử truy cập dịch vụ bên thứ ba lẫn thời điểm truy cập

Bản ghi gắn với hoạt động trực tuyến

• Stokes bị cáo buộc lạm dụng công cụ phát triển web ngrok để vượt qua hệ thống phòng thủ mạng của nhà bán lẻ trang sức
• Trong hồ sơ Microsoft có ghi lại rằng vào lúc 19:21 UTC ngày 12/5/2025, GDID gắn với máy tính của Stokes đã truy cập https://dashboard[.]ngrok.com/signup
  • URL này là trang thiết lập tài khoản ngrok
  • Cùng GDID đó cũng được ghi nhận đã truy cập các trang ngrok khác
• Tài liệu cũng nêu rằng GDID này đã truy cập “nhiều trang” trên máy chủ của nhà cung cấp dịch vụ lưu trữ web Tzulo nhằm hỗ trợ việc thực hiện vụ hack
• GDID của PC Stokes được nêu trong đơn khiếu tố là 6755467234350028

Khả năng theo dõi và phản ứng của người dùng

• Việc cơ quan điều tra liên bang xác định được hacker bị nghi ngờ thông qua định danh của Microsoft đã làm gia tăng lo ngại về lạm dụng cho mục đích giám sát
• Chuyên gia an ninh mạng Matthew Hickey viết trên X rằng “Microsoft Windows is surveillance software”
• GDID chỉ được nhắc ngắn gọn trên một trang hỗ trợ của Microsoft, và công ty chưa công khai giải thích thêm
• Một số người dùng đã bắt đầu tìm cách hạn chế hoặc xóa định danh GDID

Cài lại hệ thống và những câu hỏi còn lại với nền tảng khác

• Theo đơn khiếu tố, GDID vẫn giữ nguyên sau khi cập nhật hệ điều hành Windows trên cùng một thiết bị
• Nếu cài đặt lại Windows trên cùng thiết bị hoặc thiết bị khác, một GDID mới sẽ được gắn vào
• Chú thích trong đơn cho biết một người dùng Microsoft có thể có nhiều GDID
• Nhà nghiên cứu an ninh mạng Costin Raiu đặt câu hỏi liệu các công ty công nghệ khác có năng lực giám sát tương tự dựa trên việc dùng định danh duy nhất hay không
  • Liệu điều này có xảy ra ở quy mô tương tự trên thiết bị Apple hay không
  • Liệu mức độ gắn với phần cứng có tồn tại bất kể việc cài đặt lại hay không
  • Ông cho rằng nếu muốn ẩn danh hoàn toàn, có thể cần dùng Linux, FreeBSD... trong môi trường phát triển và đi qua proxy, Tor, VPN...

[GN⁺]

Các ý kiến trên Hacker News

• Phần thú vị không phải là bản thân việc định danh thiết bị tồn tại. Gần như mọi hệ điều hành hiện đại đều có thứ tương tự. Câu hỏi lớn hơn là ranh giới nằm ở đâu: thành phần nào có thể truy cập, và khi nào một định danh cục bộ trở thành định danh theo dõi từ xa. Một machine-id nằm trên đĩa và việc nhà cung cấp hệ điều hành liên kết nó với hoạt động mạng là hai chuyện hoàn toàn khác nhau.

  • Đây chính là phần thiếu sót lớn nhất trong bài. Không rõ định danh thiết bị của Microsoft đã được liên kết chính xác với phiên ngrok như thế nào. Thông thường, phiên ngrok được khởi chạy bằng CLI mã nguồn đóng. Chỉ nhìn vào bài viết thì không thể phân biệt được liệu Microsoft đã chèn định danh thiết bị vào lưu lượng mạng theo cách đáng ngờ nào đó, hay chính phần mềm client ngrok mã nguồn đóng đã lấy định danh thiết bị. Nếu là trường hợp sau, các hệ điều hành khác cũng có thể làm y hệt, như /etc/machine-id trên Linux. Vì ngrok dùng mô hình freemium, sẽ chẳng có gì đáng ngạc nhiên nếu client gửi ID thiết bị để bắt những người dùng cố vượt giới hạn miễn phí.
  • Systemd được đưa vào nhiều bản phân phối Linux lớn, và chẳng hạn có machine-id. Giá trị này nằm dưới /etc/machine-id và bất kỳ ai trên thiết bị đó cũng có thể đọc. https://www.freedesktop.org/software/systemd/man/latest/mach...
  • NetworkID trong about:networking#networkid của Firefox cũng là một ví dụ tương tự. Nó từng gây tranh cãi, và mọi AI đều có thông tin sai về nguồn gốc cũng như mục đích sử dụng của nó.
  • Phần này không rõ ràng, và rõ ràng là điểm thú vị nhất. Điều cốt lõi là ở bước nào, tại thời điểm nào GDID được liên kết với công cụ hoặc yêu cầu web. Nếu chỉ nhìn bài hiện tại thì nghe như “telemetry” của Microsoft thu thập mọi thứ, tìm kiếm hàng loạt một hoạt động cụ thể, rồi kéo GDID ra để liên kết với người dùng.

• Có vẻ điều này có nghĩa là Microsoft thực hiện một dạng phân tích lưu lượng nào đó trên endpoint và liên kết nó với GDID. Có lẽ là một phần của tính năng bảo vệ thời gian thực của Defender hoặc MAPS. Một chi tiết thú vị: tên cũ của Microsoft Defender MAPS là SpyNet. https://en.wikipedia.org/wiki/Microsoft_Active_Protection_Se... Tuy vậy, định danh GDID có vẻ mang tính phần mềm. Nếu muốn mạnh tay hơn, họ có thể gắn nó với số sê-ri bo mạch chủ như một số trò chơi đang làm. Khi đó việc theo dõi sẽ kéo dài suốt vòng đời của phần cứng, chứ không chỉ theo từng bản cài Windows.

  • Ý tưởng của SecureBoot và chip TPM chính là cung cấp GDID dựa trên dấu vân tay phần cứng. Một số trò chơi đã theo dõi người dùng như vậy dưới danh nghĩa “chống gian lận”, và Microsoft cũng đã làm từ thời Windows 7. Điểm khác là giờ TPM cung cấp thẩm quyền phần cứng kiểu đó.

• Có lẽ sắp có một công cụ Windows đổi định danh của nghi phạm này thành “g:6755467234350028”. Nhân tiện, đó là một ID kỳ lạ. Tôi hiểu vì sao là 16 chữ số, nhưng đã nghĩ nó sẽ là hệ thập lục phân. Tôi cũng tò mò cơ chế của câu “Theo hồ sơ của Microsoft, vào 19:21 UTC ngày 12/5/2025, GDID liên kết với máy tính của Stokes đã truy cập một trong nhiều trang ngrok, ‘https://dashboard[.]ngrok.com/signup’” hoạt động thế nào. Nếu trình duyệt gửi thông tin đó cho Microsoft, chẳng lẽ không ai nhận ra rằng PC kết nối tới Microsoft mỗi khi mở bất kỳ trang web nào sao? Hay dữ liệu được gom lại rồi gửi sau? Nếu vậy, chuyện này chỉ ảnh hưởng “hạn chế” tới người dùng trình duyệt của Microsoft? Hay Chrome cũng gửi dữ liệu cho Google theo cách tương tự? Một khả năng khác là nó xảy ra ở tầng thấp hơn, và tôi có thể nghĩ ra nơi một thành phần hệ thống có thể truy cập tên miền, nhưng không rõ nơi nào có thể thấy được toàn bộ URL.

  • Tất cả đều là dựng chứng cứ song song. https://en.wikipedia.org/wiki/Parallel_construction
  • Có lẽ là Microsoft Defender SmartScreen của Edge. Tên miền đã truy cập được gửi lên Microsoft để kiểm tra xem có phải malware hoặc trang phishing đã biết hay không. Và như ta biết ở đây, thông tin đó được liên kết với GDID và tài khoản Microsoft, đồng thời có thể được truy cập theo yêu cầu của cơ quan thực thi pháp luật.
  • Đó là biểu diễn thập phân của một số nguyên 64-bit.
  • URL đó cho thấy có 16 yêu cầu bị chặn, và ít nhất nó cố tải Datadog và Google Tag Manager. Tôi đoán cảnh sát đã liên hệ với mọi công ty phân tích mà Ngrok trực tiếp hoặc gián tiếp gửi dữ liệu tới, và các công ty đó đã lưu lại mọi thứ họ có được. Điều đáng ngạc nhiên nhất là người đó làm tất cả những việc này trên một môi trường cài Windows. Nhưng ta chỉ được nghe các câu chuyện về những tên tội phạm ngốc bị bắt, nên cuối cùng cũng hợp lý.
  • Ngay cả với trình duyệt không phải Edge, hệ điều hành vẫn lấy được tên miền từ kết nối HTTPS, và cũng biết tiêu đề trang được đặt làm tiêu đề cửa sổ. Trong nhiều trường hợp, chừng đó có lẽ đủ để xác định URL. Ví dụ, URL đăng ký đặt tiêu đề là “ngrok Sign Up”.

• Điều này cho thấy khá rõ rằng Microsoft không hề quan tâm đến quyền riêng tư, bất kể họ tuyên bố gì trong tiêu đề của màn hình đồng ý cookie. Họ hoàn toàn không quan tâm, và điều này cần được nói về mọi nhà cung cấp Big Tech. Nghe có vẻ sáo mòn, nhưng đã đến lúc phải nói điều cần nói. Họ không quan tâm đến quyền riêng tư, sự độc lập hay sự an toàn của bạn. Thật sự là không.

• Đứa trẻ này dùng máy tính của mình ở nhà, họ truy vết bằng địa chỉ IP, và địa chỉ IP đó cũng gửi các yêu cầu Windows Updates. Nhờ vậy Device ID được thu hẹp, rồi ID thiết bị đó dẫn tới đứa trẻ này. Đây chính là loại chuyện mà những người ủng hộ quyền riêng tư đã liên tục cảnh báo. Khả năng như vậy về cơ bản xóa sạch mọi tuyên bố về quyền riêng tư. Xa hơn nữa, các công ty như Google đã dùng điều này để khiến kỳ vọng về quyền riêng tư hoàn toàn biến mất.

• Bài viết mơ hồ. Không có bằng chứng nào cho thấy Microsoft có thể xem người dùng truy cập những trang web nào trên Chrome hay Firefox

  • Trong phần trả lời ở trên có nội dung như sau

    27. Hồ sơ của Microsoft cũng cho thấy: hơn ba giờ một chút sau khi tài khoản ngrok được tạo, người dùng đã truy cập “[Company F].com” từ máy chủ proxy .168.

  • Với Edge cũng tương tự nếu đã tắt các tùy chọn dưới đây

    Gửi dữ liệu chẩn đoán tùy chọn để cải thiện sản phẩm Microsoft [Bao gồm cách bạn sử dụng trình duyệt, các trang web bạn truy cập và báo cáo lỗi nâng cao. Được xác định bởi thiết lập dữ liệu chẩn đoán Windows của bạn] Cho phép Microsoft lưu hoạt động duyệt web của bạn, bao gồm lịch sử, mức sử dụng, mục yêu thích, nội dung web và dữ liệu duyệt web khác để cá nhân hóa và cải thiện Microsoft Edge cũng như các dịch vụ Microsoft như quảng cáo, tìm kiếm, mua sắm, tin tức và Copilot [Bao gồm lịch sử, mức sử dụng, mục yêu thích, nội dung web và dữ liệu duyệt web khác của bạn]

• Cái này chẳng phải vi phạm luật bảo vệ dữ liệu cá nhân của châu Âu sao?

  • Có lẽ là đúng. Tuy nhiên nếu là trường hợp hack website để bắt người ta gửi trang sức đắt tiền về địa chỉ nhà mình thì cũng có thể chẳng có nhiều ý nghĩa
  • Nếu vi phạm thì có gì khác đi? Chắc họ vẫn tiếp tục hành xử tệ hại rồi bị phạt khoản tương đương doanh thu 6 giờ thôi
  • GDPR chỉ xử lý thông tin nhận dạng cá nhân, còn đây là một ID được tạo ngẫu nhiên và thay đổi mỗi khi cài hệ điều hành Nếu kết hợp với thông tin khác thì có thể theo dõi người dùng, nhưng chỉ riêng nó thì không đủ để gỡ ẩn danh một ai đó

• Nghe có thể điên rồ, nhưng tôi tin chắc rằng loại telemetry này somehow có liên quan đến bối cảnh quảng cáo VPN được đẩy mạnh một cách khổng lồ và có tổ chức trong vài năm qua Càng ngày “bàn tay vô hình của thị trường” càng trông đúng nghĩa như bàn tay của một vài nhóm khổng lồ có quyền lực và vốn. Họ nhào nặn và gần như kiểm soát cấu trúc kinh tế của toàn thị trường, tạo ra độ nghiêng để các công ty tối ưu hóa tổn thất VPN có thể là spyware trực tiếp làm tăng khả năng theo dõi, hoặc vì giờ đã có thể theo dõi cả khi không cần IP nên nó được cung cấp để kiếm tiền từ nỗi sợ của người dùng mà vẫn tiếp tục theo dõi họ Nhìn rộng hơn thì có vẻ thị trường tự do hay dân chủ chẳng còn lại bao nhiêu. Giờ mọi chính phủ cũng đang thúc đẩy có tổ chức để loại bỏ quyền riêng tư

• Ngành công nghệ Mỹ đang nhanh chóng trở nên giống Nga và Trung Quốc

  • Bạn từng nghe nói đến một website tên là facebook chưa?
  • Không hiểu vì sao khi người Mỹ làm gì đó thì nhất định phải lôi Nga và Trung Quốc vào Nhưng cũng có thể là do tôi không giỏi tuyên truyền. Nếu gọi đây là hành vi “kiểu Trung Quốc”, có lẽ nó sẽ hiệu quả với một nhóm nhất định vốn thường ủng hộ những hành vi như vậy với lý do bảo vệ bản thân khỏi “Black Crime”

• Đây là một thread liên quan, trong đó các nhà phát triển Massgrave.dev giải thích một phần cơ chế GDID https://x.com/massgravel/status/2074304593303892354

  • Đây là liên kết tiện lợi cho những ai không muốn tạo tài khoản Twitter https://xcancel.com/massgravel/status/2074304593303892354 Hiện tại từ máy tính/vị trí của tôi, có vẻ trang này không thích các biện pháp chống bot của nó, nhưng hy vọng nó hoạt động tốt với người khác