Votre PC Windows possède un identifiant permanent qui vous suit partout, même avec un VPN

Résumé : Révélée lors d'une enquête judiciaire ayant permis l'arrestation d'un membre du groupe de cybercriminels Scattered Spider, l'existence de l'identifiant global d'appareil (Global Device ID ou GDID) montre que Microsoft attribue à chaque installation de Windows 10 ou 11 un code unique, permanent et inaltérable. Stocké localement et sur les serveurs de l'entreprise, cet identifiant permet à Microsoft de reconnaître un ordinateur donné et de suivre ses activités lorsqu'il communique avec ses services, et ce, même si l'utilisateur emploie un VPN ou un serveur proxy pour masquer son adresse IP. Bien que Microsoft affirme utiliser cette fonctionnalité à des fins de sécurité et de gestion des appareils, la capacité de l'éditeur à associer cet identifiant à l'activité d'un utilisateur et à transmettre ces données aux autorités suscite de vives inquiétudes quant au respect de la vie privée. 

Un suspect passe d’un pays à l’autre, achemine son trafic via des VPN et change d’adresse IP comme on change de téléphone jetable. Il a tout de même été arrêté — non pas parce que le VPN a été défaillant, mais parce que Windows lui-même a servi de mouchard. Des documents judiciaires relatifs à l’affaire de piratage « Scattered Spider » révèlent que Microsoft a fourni au FBI un historique complet des adresses IP associé à ce qu’on appelle un « Global Device ID » (GDID), selon des articles publiés par Security Online et WindowsLatest. Ce GDID a permis de retracer les déplacements de l’appareil d’une juridiction à l’autre, sessions VPN comprises. Des millions d’utilisateurs de Windows utilisent des VPN en pensant être invisibles aux yeux de Microsoft. Au vu de ce que révèlent ces documents, cette hypothèse doit être remise en question — en particulier pour tous ceux qui ont pris connaissance des applications qui traquent secrètement les utilisateurs au niveau du système d’exploitation et des applications.

Qu'est-ce que le GDID exactement (et pourquoi vous ne pouvez pas le supprimer)

Cet identifiant persistant est attribué lors de l'installation, lié côté serveur à votre matériel et à votre certificat TPM, et résiste à toutes les solutions de contournement, à l'exception d'un effacement complet du disque dur.

Le GDID est un identifiant 64 bits attribué lors de l'installation de Windows. Il est stocké localement dans le registre utilisateur, mais la liaison réelle se trouve sur les serveurs de Microsoft — associée à des descripteurs matériels et à un certificat de périphérique basé sur le TPM, selon l'analyse technique réalisée par ZeroTraceLab. Modifier la valeur du registre local revient à rayer le numéro d'identification du véhicule (VIN) de votre tableau de bord alors que la préfecture de police conserve toujours vos données dans ses fichiers. Aucun paramètre accessible à l'utilisateur ne permet de le désactiver complètement. 

Voici ce que cela signifie concrètement :

• Le GDID est conservé malgré les mises à jour du système d’exploitation et les changements de compte, jusqu’à ce que le disque dur soit entièrement effacé et qu’une réinstallation complète soit effectuée.
• Microsoft enregistre les adresses IP de sortie du VPN en même temps que votre GDID, ce qui permet de relier des sessions provenant de différents pays à un même appareil.
• Les services Microsoft auxquels vous êtes connecté — OneDrive, la synchronisation d’Edge, Outlook, Bing — renforcent ce lien en associant les données de votre compte à l’identité de l’appareil.
• Même en réglant les données de diagnostic au minimum, l’identifiant n’est pas supprimé.

Votre VPN fonctionne toujours – mais pas contre Microsoft

L'affirmation selon laquelle le GDID « annule toute utilité » d'un VPN est exagérée, mais ce point de faiblesse spécifique revêt une importance considérable en fonction de votre modèle de menace.

Un VPN continue de chiffrer le trafic provenant des FAI et des réseaux peu fiables des lieux publics comme les cafés. Il masque toujours votre adresse IP aux sites web tiers qui n'ont pas accès aux journaux d'activité des appareils Microsoft. La faille est spécifique mais significative : si votre modèle de menace inclut Microsoft — ou toute entité disposant d’un accès légal aux données télémétriques de Microsoft —, un VPN seul ne peut pas vous protéger. Comme l’ont souligné des chercheurs spécialisés dans la protection de la vie privée, « un VPN n’empêche pas la télémétrie ni la collecte de données par les systèmes d’exploitation, les applications ou les sites web ». L’affaire « Scattered Spider » en est la preuve de concept, et une application de surveillance conçue pour cibler des utilisateurs au-delà des frontières illustre à quel point ces architectures de suivi peuvent devenir complexes.

Limiter les risques

Vous pouvez limiter les données transmises, mais pour neutraliser complètement le GDID sous Windows, il faut soit renforcer considérablement la sécurité du système, soit changer complètement de plateforme.

Les utilisateurs expérimentés peuvent limiter les risques :

• Régler les données de diagnostic au minimum via la stratégie de groupe
• Désactiver le service DiagTrack (Expériences utilisateur connectées et télémétrie)
• Désactiver la synchronisation de l'historique d'activité et l'identifiant publicitaire
• Utiliser des outils tels que Wireshark ou Pi-hole pour auditer le trafic de télémétrie sortant 

Pour les situations où la confidentialité est d’une importance capitale, un analyste spécialisé dans la confidentialité sous Windows, cité dans des rapports techniques sur l’affaire GDID, résume clairement la situation : « Si vous avez véritablement besoin de confidentialité, utilisez un système d’exploitation qui n’est pas conçu pour « envoyer des informations à la maison mère » ». Linux reste l’alternative la plus souvent citée dans ce contexte. Les lecteurs qui évaluent leur exposition globale peuvent également envisager des systèmes de sécurité physique recommandés par les experts dans le cadre d’une stratégie de confidentialité et de protection à plusieurs niveaux.

Les VPN ne sont pas défaillants. Ils résolvent un problème différent de celui que la plupart des gens imaginent. Le GDID correspond au numéro de série gravé sur le châssis : votre VPN ne fait que changer la plaque d'immatriculation. 

traduction de : https://tech.yahoo.com/vpn/articles/windows-pc-permanent-id-follows-163404919.html