Microsoft’un uzun süredir Windows işletim sisteminde kullandığı ancak kamuoyuna ayrıntılı şekilde açıklamadığı cihaz tanımlama sistemi ilk kez resmi belgelerle doğrulandı. Federal mahkeme dosyasında yer alan bilgiler, Global Device Identifier (GDID) adlı mekanizmanın her Windows kurulumuna benzersiz bir kimlik atadığını ortaya koydu. Mahkeme süreciyle gündeme gelen Microsoft cihaz kimliği sistemi, kullanıcı gizliliği konusunda yeni tartışmalar başlatırken güvenlik araştırmacılarının uzun süredir dile getirdiği bazı iddiaları da doğrulamış oldu.

Mahkeme Dosyası GDID’nin Nasıl Oluşturulduğunu Açıklığa Kavuşturdu

ABD’de görülen United States v. Peter Stokes davasına sunulan belgeler, Microsoft’un “Global Device Identifier” adını verdiği yapının işletim sistemi düzeyinde çalışan kalıcı bir tanımlayıcı olduğunu gösterdi. Microsoft’un mahkemeye sunduğu tanıma göre GDID, belirli bir Windows kurulumunu benzersiz biçimde tanımlamak amacıyla oluşturulan cihaz seviyesinde kalıcı bir kimlik olarak görev yapıyor. Kimlik değeri doğrudan kullanıcının bilgisayarında üretilmiyor; Windows kurulumu Microsoft hesabıyla ilişkilendirildiğinde Passport kimlik hizmeti şirketin sunucularından bu değeri alarak kayıt defterine yazıyor.

Araştırmacılar, 64 bit uzunluğundaki bu değerin Windows yeniden başlatıldığında ya da sistem güncellendiğinde değişmediğini belirtiyor. İşletim sistemi yeniden kurulduğunda yeni bir GDID oluşturuluyor ancak önceki kimlik Microsoft sunucularındaki kayıtlarla birlikte saklanmaya devam ediyor. Şirketin kamuya açık teknik belgelerinde GDID hakkında yalnızca Azure Monitor dokümanlarında tek satırlık kısa bir açıklama bulunması ise sistemin neden bugüne kadar geniş kitleler tarafından fark edilmediğini gösteriyor.

Microsoft cihaz kimliği yalnızca işletim sistemini tanımlamak için kullanılmıyor. Bağımsız güvenlik araştırmalarına göre Windows’un Connected Devices Platform bileşeni bu kimliği Device Directory Service altyapısına kaydederek cihazlar arası hizmetlerle ilişkilendiriyor. Böylece aynı Windows kurulumu farklı Microsoft servisleri tarafından ortak bir cihaz kimliği üzerinden tanınabiliyor.

Teknik incelemeler, GDID’nin Windows etkinleştirme sürecinden Microsoft Store lisanslarına kadar çok sayıda hizmette kullanıldığını ortaya koyuyor. Phone Link, cihazlar arası pano senkronizasyonu, uygulama lisans doğrulamaları, Microsoft hesabıyla çalışan çeşitli servisler ile Windows tanılama verileri aynı tanımlayıcıdan yararlanabiliyor. Microsoft Edge’in gelişmiş tanılama seçenekleri etkinleştirildiğinde tarayıcıdan gönderilen bazı teşhis bilgilerinin de aynı cihaz kimliğiyle ilişkilendirilebildiği belirtiliyor.

Güvenlik araştırmacıları, GDID’nin doğrudan kullanıcı hareketlerini izlemek amacıyla tasarlanmış bir sistem olduğuna dair kanıt bulunmadığını özellikle vurguluyor. Microsoft da şirketin resmi açıklamalarında bu kimliğin yalnızca dahili amaçlarla kullanıldığını, reklam verenlerle paylaşılmadığını ifade ediyor. Resmî makamların mahkeme kararı veya yasal talepler doğrultusunda bu bilgilere erişebilmesi ise istisna olarak değerlendiriliyor.

GDID’nin kamuoyunda gündeme gelmesini sağlayan olay ise Scattered Spider grubuyla bağlantılı olduğu iddia edilen Peter Stokes hakkındaki soruşturma oldu. ABD Adalet Bakanlığı tarafından hazırlanan iddianameye göre FBI, Microsoft kayıtlarından elde edilen aynı GDID’nin farklı VPN bağlantıları üzerinden yapılan oturumlarla eşleştiğini belirledi. Soruşturma dosyasında yer alan teknik kayıtlar, aynı cihaz kimliğinin farklı ülkelerde görülen IP adresleriyle ilişkilendirilebildiğini ortaya koydu. Söz konusu veriler tek başına delil olarak kullanılmasa da diğer dijital kayıtlarla birlikte soruşturmanın önemli parçalarından biri hâline geldi.

Microsoft, Windows kullanıcılarına GDID oluşturmayı engelleyen bir seçenek sunmuyor. Tanılama verileri azaltılabiliyor, etkinlik geçmişi sınırlandırılabiliyor ancak bunlar yalnızca sisteme gönderilen ek verileri etkiliyor. Oluşturulan cihaz kimliği işletim sisteminin çalışma mantığının bir parçası olarak varlığını sürdürüyor.

İlginç olan ayrıntılardan biri ise GDID’nin bilgisayarın kayıt defterinde yerel olarak saklanması. Teknik bilgiye sahip kullanıcılar basit bir PowerShell komutuyla kendi cihaz kimliğini görüntüleyebiliyor. Buna karşın Microsoft, bu değerin değiştirilmesini veya kaldırılmasını destekleyen resmî bir yöntem sunmuyor.

Windows ekosisteminde yaklaşık 1,6 milyar aktif cihaz bulunduğu düşünüldüğünde GDID tartışmasının yalnızca güvenlik araştırmacılarını değil kurumsal BT ekiplerini, kamu kurumlarını, bireysel kullanıcıları, siber güvenlik uzmanlarını, dijital gizlilik savunucularını ve düzenleyici otoriteleri de yakından ilgilendirdiği görülüyor. Tartışmanın merkezinde sistemin varlığı değil, Microsoft’un yıllardır kullandığı bu mekanizma hakkında ayrıntılı teknik bilgilendirme yapmaması yer alıyor. Uzmanlar, kullanıcı güveninin korunabilmesi için işletim sistemlerinde kullanılan kalıcı cihaz tanımlayıcılarının daha şeffaf şekilde belgelenmesinin önem kazandığını değerlendiriyor.