第 887 期：任务管理器之父为 Windows 11 的 GDID 追踪机制辩护

此前，我们对微软的全球设备标识符（GDID）进行了最为详尽的报道。正是这一技术帮助联邦调查局在 彼得·斯托克斯——这名被指为 “Scattered Spider” 黑客组织成员——使用特制网络的情况下，仍得以将其追踪至三个国家，相关报道随即被广泛转载。

曾负责开发任务管理器、Windows 弹球游戏以及产品激活功能的前（Dave Plummer），试图以技术层面的反驳为他的老东家辩护。然而，X 社区备注对此并不认同，事实也与他的说法相左。以下是事件的来龙去脉，以及它所揭示的关于 GDID 的真相。

微软的 GDID 极其隐秘，甚至连前员工都可能将其混淆

引发此事的视频片段，报道了我们关于 GDID 的调查，主持人 林纳斯·塞巴斯蒂安 称这种追踪 “是个严重问题”，联合主持人 卢克·拉弗雷尼耶 则谈到了他们自己转向 Linux 系统的经历。另一位网友截取了这一段，并配文称：“微软承认使用一种全局唯一设备标识来跨三个国家追踪用户，这意味着，只要您的电脑装的是 Windows，即便使用特制网络也毫无意义。”

普拉默引用并发布了那段视频，同时附上了一篇长篇技术澄清，开篇写道：“照例，林纳斯（Linus）为了流量又来搞事，然后还得我免费给大家解释。”

他的论点聚焦于 GUID，而非 GDID。他指出，在现代 Windows 系统上，通过 CoCreateGuid、Guid.NewGuid() 或 UuidCreate() 生成的 Windows 标识符无法追溯到 MAC 地址，因为微软已主动移除了这一功能。

他将之与 UuidCreateSequential() 形成对比：后者生成的是版本 1 的 UUID，其最后 12 个字符中确实嵌入了 MAC 地址。他甚至以一个示例详细剖析了该格式——1be8d85d-63d1-11e1-80db-b8ac6fbe26e1——并指出其中的 b8:ac:6f:be:26:e1 部分即为暴露的节点 ID。

当然，我们早就知道 戴夫·普拉默 善于打造实用的软件，甚至还亲自试用了他最新推出的、仅有 2.5 KB 的记事本替代品——RetroPad。

正如预期的那样，他提出的每一项说法都经得起检验。微软关于 UuidCreateSequential 的文档明确指出，UuidCreate 确实已被修改，不再使用 MAC 地址。而顺序型 UUID 的存在，正是为了在有需要的场景下重新引入基于 MAC 地址的生成方式。版本 1 的 UUID 确实包含一个 48 位的节点标识符，它可以是真实的 MAC 地址，相关说明并无任何错误。

然而，这也不是事情的真相。GDID 与 GUID 或 MAC 地址毫无关系。社交媒体平台上的评论一针见血地指出：“文中提到的标识符是微软的 GDID（格式为 g: 后接十进制数字），这是一种由服务器分配、与账户关联的 ID，而非基于 MAC 地址的版本 1 UUID”，并援引了微软 Azure Monitor 的官方文档以及在线代码仓库上一份独立的 GDID 解释。

一些评论者还具备相应的技术知识，有助于消除误解：“这种跟踪机制旨在生成一个唯一的标识符（即 GID），该标识符随后可用作跨不同活动的唯一关联键，从而实现来自互联网的数据关联，因为 GID 和 IP 会定期向微软上报并被记录下来。”

普拉默 随即纠正了自己的说法。他补充道：“我刚才的说法并没有错，但我还是在无端地信口开河，因为他实际上讨论的是 GDID，而我则是在谈如何通过 GUID 唯一标识一台设备。我其实应该去看完整的节目，而不是仅凭片段摘要就做出推断，这确实是我的疏忽！”，他还表示，自己正准备对自己的帖子添加社区注释。

有趣的是，根据社交媒体平台的披露，该社区备注是由一名 “实验性 AI 贡献者” 提出的，而非经过认证的人类事实核查员。

GDID 和 GUID 并不是一回事

两者都是标识符，在 Windows 内部机制中都会出现，而且 GDID 甚至会以一个看似与 GUID 相似的长数字形式呈现出来。

什么是 GUID？

GUID，即通用唯一标识符（UUID），是由您的计算机在本地、离线状态下通过算法生成的一个 128 位值。Windows 无需联系微软服务器即可为您分配一个 GUID。

根据创建它的具体函数不同，GUID 可能是纯随机数，也可能基于时间戳生成。而在普拉默所描述的顺序版本中，它甚至会将 MAC 地址嵌入其中。

GUID 的使用

软件在文件标识符、数据库主键、COM 对象注册等诸多场景中频繁使用 GUID，而其中绝大多数并不透露创建它们的物理机器信息。

什么是GDID？

针对 斯托克斯 的投诉援引了一位微软代表的表述，称其为 “一种持久性的设备级标识符，旨在跨多项微软服务与应用场景，唯一地识别设备上 Windows 操作系统的安装实例，无论该设备是物理设备（如手机或笔记本电脑）还是虚拟机。”

GDID 是一种 64 位设备 PUID，即“Passport 唯一 ID”，由微软的登录服务器在 Windows 首次使用微软账户进行激活时分配，并非在本地生成。斯托克斯投诉中出现的值 g:6755467234350028，经转换后为一个 64 位的十六进制数，而非 GUID 所采用的 128 位格式。此外，该值以小写字母 g 和冒号分隔，也不同于 GUID 使用的带连字符的十六进制块形式。

GDID 背后的链条贯穿一组特定的 Windows 服务。wlidsvc，即微软账号服务，它会与微软服务器进行通信，并在服务器的响应中获取一个设备 PUID；该值随后以明文形式写入注册表的 HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties 键下。

“手机链接” 和 “附近共享” 功能的后台服务——连接设备平台，则会读取该值并将其注册到微软的设备目录服务中。此后，当某台电脑以点对点方式共享或下载更新数据时，传递优化组件便会将该值作为 UCDOStatus.GlobalDeviceId 上报给微软。

GDID 是如何锁定斯托克斯的？

我们此前已详细报道过该案，以下为简要概述。

调查人员将 2025 年 5 月针对一家美国珠宝零售商的攻击溯源至一个通过网络代理地址注册的账户，但仅凭这一线索难以进一步突破。微软的记录显示，一台设备标识符为 g:6755467234350028 的终端在该账户创建的同一分钟访问了注册页面，随后又于三小时后经由同一代理访问了该零售商的官网，从而为联邦调查局提供了一台可追踪的设备，而非可能频繁变更的 IP 地址。

随后，调查人员将该 GDID 的 IP 地址历史记录与斯托克斯在爱沙尼亚、纽约、泰国等地以及一款育碧游戏中的登录记录进行了比对，时间跨度约为八个月。单凭任何一个数据点都无法定案，但 “人工分析” 发现了这四国之间的关联，并据此锁定了嫌疑人。

微软的 GDID 可以在 Windows 系统中关闭吗？

法国科技博客 Korben 的独立测试发现，即使关闭 Windows 的标准遥测功能开关， GDID 仍会被上报。

在一台已停止遥测服务的测试虚拟机上，GDID 依然存在于注册表中，且可被读取，同时上报服务仍在全速运行。这是因为 GDID 并不经由大多数隐私设置所针对的诊断遥测管道传输，而是通过 “连接设备平台”和 “传递优化” 组件发出，这也正是为何删除该注册表项也无济于事的原因。

商店会在几秒钟内再次从微软下载相同的值，因为该数值一开始并未真正存储在本地设备上。它实际上保存在微软的服务器上，而您的电脑只是在获取一份副本。

为什么 Windows 一开始就内置了 GDID？

微软开发 GDID 并非为了追踪黑客。它的起源可以追溯到 Windows 产品激活机制——微软于 2001 年随 Windows XP 推出的反盗版系统，该机制会将许可证与特定的硬件配置绑定，并在每次启动时向微软的服务器进行验证。

GDID 正是这一理念的现代延续，现已扩展至涵盖微软商店的应用购买、UWP 应用的许可授权，以及 Delivery Optimization 的点对点更新分发功能。

Massgrave——这个知名项目 “Microsoft Activation Scripts” 的幕后团队——在社交媒体平台上解释称：Windows 安装过程中会将硬件信息发送至微软，并接收回一些标识符。这些标识符随后会被用于商店访问和激活验证。他们的结论是：“在不破坏激活机制和 UWP 应用的前提下，根本无法阻止Windows 获取 GDID。”

凡是更换过主板后丢失了 Windows 许可证的人，都已遇到过这一机制的简化版。

需要注意的是，这确实是持久性设备标识符存在的一个合理技术原因。然而，这并不能解释，为什么微软将其排除在所有面向消费者的文档之外，也无法说明，为何用户无法像使用苹果和谷歌的设备标识符那样，在系统设置中查看或重置它。

macOS 有没有类似 GDID 的东西？

可以说有，也可以说没有。macOS 在许可、激活以及生态系统的同步等方面确实使用了类似的持久性标识符，但其处理方式与 Windows 不同。每台 Mac 都有一个由主板直接生成的固定、永久的硬件 UUID，苹果会将其与您的 Apple ID 绑定在他们的服务器上，用于设备管理、激活锁以及推送服务等功能。

然而，与微软由服务器分配的 GDID 不同，苹果严格将这一硬件标识符与第三方开发者隔离，以防止跨应用追踪。对于后台遥测及涉及隐私的敏感功能，macOS 采用随机生成的临时令牌，而非与账户绑定的持久性标识符。

一位用户在社交媒体平台上发文称，苹果也存在类似的直接对应机制，其中包括一个与 Mac 主板绑定的硬件 UUID、一个与 Apple ID 关联的 “目标信令标识符”（DSID），以及用于广告追踪的可重置 IDFA。

Mac 的硬件 UUID 由逻辑板生成，并且在操作系统重装后仍会保留。苹果社区中关于仅在更换逻辑板后 UUID 才会发生变化的讨论，也证实了其与硬件绑定的特性。IDFA 则可以重置，自 iOS 14.5 起，苹果已要求应用在读取 IDFA 前必须先弹出明确的 “应用跟踪透明度” 提示。

DSID 实际上是 “目录服务标识符”，从某种程度上说，它与 GDID 更为接近。安全研究人员发现，即使用户已关闭分析数据共享功能，DSID 仍会随 App Store 的分析数据一同传输，并将相关行为唯一地关联到特定的 iCloud 账户，包括姓名和电子邮件地址。苹果官方文档也确认，DSID 支持在同一 iCloud 账户下各设备之间的 “即时热点” 设备发现功能。

两家公司均未公布在何种情况下会主动向执法机构提供此类标识符的政策，而这种疏忽在苹果和微软身上同样存在。

Windows 在 2026 年努力挽回公众信任，却因 GDID 而功亏一篑

2025 年，Windows 11 因召回（Recall）功能未加密地截取屏幕以及将 Copilot 按钮强行嵌入记事本、画图和文件资源管理器而饱受舆论反弹，批评之声之强烈，以至于微软不得不公开对 Copilot 作出退让。

Windows 部门总裁 帕万·达武鲁里 于 2026年 3 月发布了一份关于 Windows 质量的承诺；到了 5 月，Windows 预览体验计划负责人 马库斯·阿什 也开始定期公布进展报告，显示公司在性能与可靠性方面至少正在切实落实相关举措。

但事实证明，Windows 既可以在提升速度、弱化人工智能功能的同时，继续植入一个无法关闭且未予披露的标识符，将用户的浏览活动与特定设备及账户关联起来。而这一机制，既没有可供用户手动关闭的设置，微软也从未公开过在何种情况下会将这些数据移交给执法机构的政策。

改善文件资源管理器的性能与披露一项跟踪机制，是两种性质截然不同的承诺，而微软目前只在其中一项上取得了进展。

另外值得一提的是，如果您是一位高效能人士，拓扑梅尔智慧办公平台最近也更新了版本，带来了一些新的办公小工具，可以帮助您进一步提升日常工作效率。

您觉得微软的 Windows 操作系统安全吗？

本文来自：Task Manager creator defended Windows 11’s GDID tracking, and got community noted on X