GDID 調査と実用的な強化リポジトリ紹介

概要

マイクロソフトの**「グローバルデバイス識別子（GDID）」**に関する調査と、プライバシー強化のためのスクリプト運用について解説します。

• GDID とは: サーバーから割り当てられる 64 ビットのデバイス PUID（プロセスユーザー識別子）です。
• 特性: マイクロソフトの DeviceAdd インフラストラクチャーによって生成され、ローカルアカウントであっても取得可能です。
• 本リポジトリの目的: GDID のライフサイクルを文書化し、**既知のローカルストアにある「本物のサーバー発行 GDID ステートを削除」**することを目指します。
• 重要な位置づけ: 単なるテレメトリ削減やブラウザのプライバシー向上が主目的ではなく、**「GDID の完了ゲート（完了閾値）」**を設けて Identity Add パスを継続的にブロックする仕組みです。

なぜ GDID は存在するのか？

• 生成メカニズム: Windows がマイクロソフトの DeviceAdd インフラを通じて生成し、複数のローカルアイデンティティストアを横断して保持します。
• ローカルアカウントとの関係: ユーザーがローカルアカウントであっても、マシンレベルでの GDID 生成や保持は阻止されません。
• 裁判所報告の背景: 2026 年の裁判所への報告では、GDID と URL/時刻/IP の関連付けを保持していたことが判明しましたが、公衆記録上責任を負うコンポーネントやチャネルの特定はされていません。
  • 注記: 本ツールはこの不明なチャネルを直接ブロックする主張を行っていません。

対象となるシステム要件

このスクリプト（変異パス）は、以下の環境に限定して適用されます：

• OS バージョン:
  • Windows 10 22H2 / ビルド 19045 以降
  • Windows 11 ビルド 22000 以降
  • 注: Windows 11 25H2 / ビルド 26200 はラボ環境で完全検証済みです。その他の承認ビルドでは警告が出る場合があります。
• アカウント状況:
  • ドメイン、Entra（旧 Azure AD）、職場、または MDM への登録を行っていないこと。
  • プライベートなマシンのみ（複数のプロファイルを持つシステムはサポート外）。
• 実行環境:
  • 64 ビット版 Windows PowerShell セッションでのエレベート権限が必要です。

クイックスタート：初期設定

管理権限付きの PowerShell ウィンドウを開き、以下のコマンドを順に実行してください。

.\degdid.ps1 -Status
.\degdid.ps1 -Protect
.\degdid.ps1 -Status

判定結果の解釈

• 成功の定義: 「ProtectedNoRealGdid」という表示のみが完全な保護状態を意味します。
  • サポート環境での正常動作確認
  • ローカルストアに残っている「本物の PUID」の不在
  • DeviceAdd ゲートの検証完了
• 再実行が必要な場合: Windows の大規模更新、ファイアウォール変更、セキュリティ製品の設定変更、またはホストファイルの変更後には必ず

  Status

  を再実行してください。

復旧（解除）方法

保護を解除し、Windows が再び GDID を生成できるようにするには、以下のオプションを使用します。

.\degdid.ps1 -Unblock

• 詳細情報: すべてのコマンドの挙動、終了コード、DryRun の動作、および復旧手順については 使用法 と CLI リファレンス を参照してください。

Protect

コマンドが実行する処理

-Protect

• ホストブロック適用: ダブルスタックのホストブロックを適用し、実際の DeviceAdd パスの有効性を確認します。
• ファイアウォール強化: ポリシーが許可する場合、ディフェンス・イン・デプス（多層防御）を更新します。
• GDID 関連データの削除: 対象ユーザー、

  .DEFAULT

  、および

  SYSTEM

  から既知の GDID コピーとデバイスアイデンティティの再水和源をクリアします。
• ネットワークゲート確認: アイデンティティの状態が復元されていないことを確認し、成功として処理を進めます。

注意点: 保護はアイデンティティの変異が発生する前に実施されます。必要なチェックに失敗した場合はスクリプトは停止し、部分的な保護状態には移行しません。

• 正規の手法: 「Wipe（消去）」が推奨されます。
• デコイモード: 調査目的のみで存在し、クリーンな完了状態とはみなされません。

成功後の定義と注意点

• 「ProtectedNoRealGdid」の意味:
  • マイクロソフトの履歴データを削除したことを意味しません。
  • 関連しないテレメトリが停止したことを意味しません。

  • Status

    コマンドは、完全なローカルアカウント情報や PUID (

    g:<十進数>

    ) を意図的に表示します。
• データの扱い: スクリプト出力にはプライベートなマシン識別データが含まれているため、注意深く取り扱ってください。

ラボでの検証結果と限界

以下の環境でライフサイクルが完全に検証されています：

• Windows 11 25H2 / ビルド 26200:
  • 最初のネットワークアクセス前の予防措置。
  • 自然な生成、

    Protect

    実行、再起動、および繰り返しのアイデンティティトリガー。
  • ローカルアカウントを持つ VM で33 時間以上保護状態を維持できたこと。
• 復旧プロセス:

  Unblock

  後の再生成観測、再度の

  reprotect

  、そしてクリーンな再起動の成功。
• MSA（マイクロソフトサービスアカウント）接続時:
  • サインアウト/イン、スリープ/再開、再起動を踏んで18 時間にわたり保護が維持されたこと。

警告: この証拠は記録されたマシンと Windows バージョンに限られています。Windows 10 や他のビルドについては警告付きで受け入れますが、ラボでの検証結果とは同等ではない可能性があります。実験インデックス（

docs/experiments/

）で設計の失敗事例や制限事項を確認してください。

想定される互換性への影響

DeviceAdd パスブロックにより、以下のサービスに影響が出る可能性があります：

• 認証・サインイン: MSA のサインイン、Store および Xbox の認証、OneDrive の MSA サインイン。
• 連携機能: Phone Link、CDP グラフ機能、関連するアイデンティティワークフロー。
  • 影響: 壊れたり、性能が低下したりする可能性があります。
• ラボでの検証状況: コアデスクトップアクセスは機能していましたが、以下の項目は完全に検証されていません：
  • Windows Update のスキャンおよび Defender の更新動作。
  • ブロック期間中にインストールされたプログラムの挙動。
  • 制御された待機中の累積更新と機能更新。
• サポート外: ドメイン、Entra、MDM、および複数のプロファイルを持つシステムは、互換性が保証されません（推測ではなく拒否されます）。

さらに詳しい情報

詳細なドキュメントへのリンクです：

docs/usage.md

docs/countermeasures.md

docs/architecture.md

docs/surfaces.md

docs/experiments/

docs/open-questions.md

セーフティと倫理

• 目的: 研究、プライバシーの強化、そして不透明なデバイスアイデンティティの分析のために使用されます。
• 禁止事項:
  • 法的な手続きを回避するためのガイドではありません。
  • プライベートなマシンの GDID、デバイスチケット、未改行された Status JSON、あるいはマシン識別ダンプデータを公開しないでください。
  • 引用された公衆裁判の例は情報源であり、ラボの機密情報ではありません。

ライセンス

• ライセンス: MIT License
• 免責事項: この作業は無保証の状態で提供されます。システムの変更に対する責任は利用者のみにあります。