Já há forma de cortar o rastreio da Microsoft no Windows, mas tem um preço

Já existe uma ferramenta gratuita que remove o Windows GDID, o identificador de dispositivo que a Microsoft atribui à sua instalação e que nenhum ecrã de definições permite desligar. Chama-se deGDID, é um script aberto em PowerShell e faz aquilo que promete. Também estraga o início de sessão na conta Microsoft, na Store, no Xbox e no OneDrive. Essa troca é a história toda, e é a parte que quase nenhuma notícia conta.

Uma breve recordação do que é o GDID

Tratámos o identificador em julho, quando surgiu num processo penal nos Estados Unidos: Windows GDID, o rastreador de dispositivos que ajudou a apanhar um hacker. Em resumo: quando inicia sessão no Windows com uma conta Microsoft, os servidores da empresa emitem um identificador de dispositivo, o Windows guarda-o e o serviço Connected Devices Platform regista a máquina no diretório da Microsoft. Até 1 de julho, data em que foi desclassificada a acusação contra um alegado membro do Scattered Spider, a Microsoft quase nada tinha publicado sobre o assunto. O que o tornou relevante foi os investigadores terem recebido registos que correlacionavam esse identificador com atividade de rede.

A novidade é a contramedida. A Windscribe anunciou o deGDID a 27 de julho e o código está num repositório público no GitHub. A imprensa em língua russa pegou no tema a 6 de agosto, razão pela qual muita gente só agora tem conhecimento.

O que o deGDID faz realmente

O script atua em duas direções ao mesmo tempo, e é por isso que resulta melhor do que as dicas de limpeza do registo que circulavam antes:

• Bloqueia a reemissão. O Windows vai buscar um novo identificador a um endpoint da Microsoft no domínio live.com. O deGDID acrescenta entradas ao ficheiro hosts e reforça-as com regras da Firewall do Windows, pelo que o pedido não se conclui. Sem este passo, apagar o identificador não serve de nada: o Windows pede simplesmente outro.
• Limpa o que já está guardado. Apaga o estado de identidade do utilizador visado, do SYSTEM e do perfil predefinido: IDs de dispositivo nos tokens, device tickets, entradas do Gestor de Credenciais e as caches do Connected Devices Platform, TokenBroker e WAM.

Corre a partir de uma sessão do PowerShell de 64 bits com privilégios elevados. Tem um modo apenas de leitura que mostra o que existe antes de mexer em alguma coisa, um modo de proteção que executa todo o processo, e as alterações podem ser revertidas. A ferramenta recusa deliberadamente correr onde possa causar dano organizacional: nada de máquinas em domínio, nem inscrição em Entra ou MDM, nem configurações ambíguas com vários perfis. Destina-se ao Windows 10 22H2 e ao Windows 11 build 22000 ou posterior.

O preço: o que deixa de funcionar

Esta é a parte a ler antes de executar seja o que for. Bloquear os endpoints de identidade da Microsoft não retira cirurgicamente um identificador, corta um caminho de que dependem várias funções do dia a dia. A documentação do projeto conta com falhas no início de sessão da conta Microsoft, na autenticação da Microsoft Store e do Xbox, no acesso ao OneDrive com conta Microsoft, no Phone Link e nas funções de grafo de dispositivos que permitem às suas máquinas verem-se umas às outras. A Windscribe acrescenta a essa lista as passkeys e o Windows Hello associados a uma conta Microsoft. Um teste independente deu exatamente este resultado: o script correu sem erros e, a seguir, Xbox, Outlook e Microsoft Store deixaram de aceitar o início de sessão.

O que o deGDID não faz

A Windscribe é invulgarmente direta quanto aos limites, e eles pesam mais do que a lista de funcionalidades. A ferramenta não apaga os registos que a Microsoft já tem. Tudo o que foi transmitido antes fica do lado deles, e uma decisão judicial ainda lá chega. Não o torna anónimo. E os próprios autores descrevem-na como uma experiência de investigação fornecida tal como está, por sua conta e risco, não como um produto com suporte.

A formulação honesta é, portanto, estreita: impede a correlação futura através deste identificador concreto nesta máquina concreta. Isso vale alguma coisa, e é muito menos do que "o Windows já não o segue".

Opções mais suaves se precisar da conta Microsoft

Para a maioria das pessoas, perder Store, Xbox e OneDrive sai demasiado caro. Não há qualquer definição que desative o GDID, mas várias escolhas reduzem o que fica ligado a ele:

1. Usar uma conta local do Windows em vez de uma conta Microsoft. O identificador é emitido no início de sessão com conta Microsoft, por isso esta é a maior alavanca disponível sem scripts.
2. Desligar os dados de diagnóstico opcionais em Definições, Privacidade e segurança, Diagnóstico e comentários.
3. Desligar anúncios e recomendações personalizados em Privacidade e segurança.
4. Desligar a pesquisa na nuvem no mesmo sítio, para que as pesquisas locais não subam.
5. Se ainda assim quiser experimentar o deGDID, execute primeiro a verificação apenas de leitura e garanta que consegue voltar a entrar em tudo aquilo de que depende.

Vale a pena ser preciso sobre o papel de uma VPN aqui. Uma VPN muda o endereço que a rede vê, e contra a maior parte do rastreio isso conta. Aqui não ajuda nada, porque o identificador não é observado no fio: é comunicado a partir de dentro da sua máquina por software onde tem sessão iniciada. Mudar de IP não quebra uma ligação que a Microsoft guarda nos seus próprios servidores, que foi exatamente o que o processo judicial demonstrou. Privacidade do canal e identidade do dispositivo são dois problemas distintos.

Conclusão