Ora c'è un modo per bloccare il tracciamento di Microsoft in Windows, ma ha un prezzo

Ora esiste uno strumento gratuito che rimuove il Windows GDID, l'identificatore di dispositivo che Microsoft assegna alla vostra installazione e che nessuna schermata di impostazioni consente di disattivare. Si chiama deGDID, è uno script PowerShell aperto e fa quello che promette. Rompe anche l'accesso all'account Microsoft, allo Store, a Xbox e a OneDrive. Questo scambio è tutta la storia, ed è la parte che quasi nessuno racconta.

Un breve promemoria su cosa sia il GDID

Dell'identificatore ci siamo occupati a luglio, quando è emerso in un procedimento penale negli Stati Uniti: Windows GDID, il tracker di dispositivo che ha aiutato a prendere un hacker. In breve: quando si accede a Windows con un account Microsoft, i server dell'azienda emettono un identificatore di dispositivo, Windows lo memorizza e il servizio Connected Devices Platform registra la macchina nella directory di Microsoft. Fino al 1 luglio, quando è stata desecretata la denuncia contro un presunto membro di Scattered Spider, Microsoft non aveva pubblicato quasi nulla in proposito. A renderlo rilevante è stato il fatto che gli inquirenti hanno ricevuto log che correlavano quell'identificatore con l'attività di rete.

La novità è la contromisura. Windscribe ha annunciato deGDID il 27 luglio e il codice si trova in un repository GitHub pubblico. La stampa in lingua russa lo ha ripreso il 6 agosto, ed è per questo che molti ne vengono a conoscenza solo adesso.

Cosa fa davvero deGDID

Lo script agisce in due direzioni contemporaneamente, ed è per questo che risulta più efficace dei consigli di pulizia del registro che circolavano prima:

• Blocca la riemissione. Windows chiede un nuovo identificatore a un endpoint Microsoft nel dominio live.com. deGDID aggiunge voci al file hosts e le rinforza con regole del Windows Firewall, così la richiesta non va a buon fine. Senza questo passaggio cancellare l'identificatore è inutile, perché Windows ne chiede semplicemente un altro.
• Ripulisce ciò che è già memorizzato. Azzera lo stato di identità per l'utente interessato, per SYSTEM e per il profilo predefinito: ID dispositivo nei token, device ticket, voci di Gestione credenziali e le cache di Connected Devices Platform, TokenBroker e WAM.

Si esegue da una sessione PowerShell a 64 bit con privilegi elevati. C'è una modalità di sola lettura che mostra la situazione prima di qualsiasi modifica, una modalità di protezione che esegue l'intera procedura, e le modifiche sono reversibili. Lo strumento si rifiuta deliberatamente di funzionare dove potrebbe creare danni organizzativi: niente macchine in dominio, niente registrazione Entra o MDM, niente configurazioni ambigue con più profili. Supporta Windows 10 22H2 e Windows 11 build 22000 o successive.

Il prezzo: cosa smette di funzionare

Questa è la parte da leggere prima di eseguire qualsiasi cosa. Bloccare gli endpoint di identità di Microsoft non asporta chirurgicamente un identificatore, taglia un percorso da cui dipendono diverse funzioni quotidiane. La documentazione del progetto mette in conto rotture nell'accesso all'account Microsoft, nell'autenticazione di Microsoft Store e Xbox, nell'accesso a OneDrive con account Microsoft, in Phone Link e nelle funzioni del grafo dei dispositivi che permettono alle vostre macchine di vedersi. Windscribe aggiunge alla lista passkey e Windows Hello legati a un account Microsoft. Una prova indipendente ha dato esattamente questo esito: lo script è andato a buon fine e subito dopo Xbox, Outlook e Microsoft Store non accettavano più l'accesso.

Cosa deGDID non fa

Windscribe è insolitamente diretta sui limiti, e pesano più dell'elenco delle funzioni. Lo strumento non cancella i dati che Microsoft possiede già. Tutto ciò che è stato trasmesso prima resta dalla loro parte, e un provvedimento giudiziario può ancora arrivarci. Non vi rende anonimi. E gli stessi autori lo descrivono come un esperimento di ricerca fornito così com'è, a vostro rischio, non come un prodotto con assistenza.

La formulazione onesta è quindi stretta: impedisce la correlazione futura tramite questo specifico identificatore su questa specifica macchina. Vale qualcosa, ed è molto meno di "Windows non vi traccia più".

Alternative più morbide se vi serve l'account Microsoft

Per la maggior parte delle persone perdere Store, Xbox e OneDrive costa troppo. Non esiste un'impostazione che disattivi il GDID, ma diverse scelte riducono ciò che vi resta agganciato:

1. Usare un account Windows locale invece di un account Microsoft. L'identificatore viene emesso proprio all'accesso con account Microsoft, quindi è la leva più grande disponibile senza script.
2. Disattivare i dati diagnostici facoltativi in Impostazioni, Privacy e sicurezza, Diagnostica e feedback.
3. Disattivare annunci e consigli personalizzati in Privacy e sicurezza.
4. Disattivare la ricerca cloud nello stesso posto, così le ricerche locali non salgono.
5. Se volete comunque provare deGDID, eseguite prima il controllo in sola lettura e accertatevi di poter rientrare in tutto ciò da cui dipendete.

Vale la pena essere precisi sul ruolo di una VPN qui. Una VPN cambia l'indirizzo che la rete vede, e contro gran parte del tracciamento questo conta. Qui non serve, perché l'identificatore non viene osservato sul filo: lo comunica dall'interno della vostra macchina un software a cui avete effettuato l'accesso. Cambiare IP non spezza un collegamento che Microsoft conserva sui propri server, ed è esattamente ciò che ha mostrato il fascicolo giudiziario. Privacy del canale e identità del dispositivo sono due problemi distinti.

Conclusione