Windows записала, какой URL ngrok открыл подозреваемый — с точностью до секунды
12 мая 2025 года в 19:21 UTC устройство с меткой g:6755467234350028 открыло страницу dashboard.ngrok.com/signup. Microsoft зафиксировала это и привязала к IP-адресу — так лог помог установить личность хакера.
Арест показал: Microsoft хранит для каждой установки Windows уникальный идентификатор устройства (GDID) и умеет связывать его с IP-адресами и URL, которые открывал пользователь. Тред взволновал не сам идентификатор, а то, насколько широко система видит активность человека.
Главный вопрос — какой именно компонент это делает. Идентификатор на диске — обычное дело, а вот когда производитель ОС привязывает его к реальной сетевой активности, это другое. Никто в треде не смог точно сказать, виноват ли Edge, Defender или что-то ниже в стеке.
Что раскрыл арест хакера о Windows
Расследование PCMag отталкивается от материалов суда. Подозреваемого, использовавшего туннельный инструмент ngrok, отчасти разоблачили благодаря тому, что уголовное заявление Минюста США, найденное одним из читателей, показывает: логи Microsoft зафиксировали, как его устройство открыло конкретную страницу регистрации ngrok в конкретную секунду, и это совпало с его IP-адресом. Такое возможно благодаря постоянному идентификатору устройства Windows, GDID, который телеметрия передаёт вместе с данными о сетевой активности.
Сам комментатор формулирует вывод резко: для пользователей Windows «приватность… полностью уничтожена этими логами», и его решение простое: перейти на Linux. Отдельный тред с разработчиками Massgrave.dev пытается реверс-инжинирить, как именно работает механизм GDID.
Никто в треде не может назвать точный механизм
Неприятная часть в том, что никто не уверен, как именно Microsoft это получает. Идентификатор устройства — вещь обычная, а вот полный URL так просто не получить.
«Я могу представить компонент системы, у которого есть доступ к доменному имени, но не могу придумать такой, у которого был бы доступ к полному URL.» — комментатор с высокой кармой, прослеживающий путь данных
Версии звучали разные: от Edge до обычной телеметрии и защитных инструментов. Один комментатор указал на облачный сервис Defender, MAPS, заметив, что раньше он назывался SpyNet. Итог треда склонился к тому, что обычная телеметрия незаметно отправляет ID установки, текущий IP и недавно разрешённые домены.
«У каждой ОС есть идентификатор устройства. Дело не в этом»
Самый точный разворот темы дал инженер iOS:
«Интересно тут не столько само существование идентификатора устройства: эквивалент есть почти в каждой современной ОС. Куда важнее граница: какие компоненты могут получить к нему доступ и в какой момент локальный идентификатор превращается в идентификатор слежки?» — инженер iOS, среди интересов которого приватность
Но не все посчитали, что статья доказала свой тезис:
«Расплывчатая статья. Нет доказательств, что Microsoft видит, какие страницы вы открываете в Chrome или Firefox.» — скептик из треда
Арест читают сразу двумя способами: поймали преступника и заодно подтвердили саму возможность слежки. Тред взволновал не тот факт, что нашли одного хакера, а то, что та же цепочка (IP, идентификатор установки, URL) по умолчанию работает на миллиарде устройств, и участники так и не сошлись, какой именно компонент это делает. Такой надёжной корреляции достаточно одной судебной повестки, чтобы указать на кого угодно.
Получайте такие разборы каждый день
Главные истории Hacker News — на email, в Telegram или RSS.
Компания берёт деньги за удаление кода, который написал ИИ
Клиент звонит и просит «небольшой рефакторинг», а потом присылает 100 000 строк ИИ-спагетти. Для Slopfix это не головная боль. Это и есть весь бизнес.