Als u Windows gebruikt, bent u er waarschijnlijk(nieuw venster) ten minste(nieuw venster) vaag van op de hoogte(nieuw venster) dat uw laptop u bespioneert(nieuw venster). Deze week ontvingen we een concrete herinnering aan hoe invasief(nieuw venster) voor de privacy(nieuw venster) het alomtegenwoordige besturingssysteem van Microsoft werkelijk is.
Peter Stokes, een 19-jarige die ervan wordt verdacht lid te zijn van de beruchte criminele hackersgroep Scattered Spider(nieuw venster), is door Finland uitgeleverd aan de Verenigde Staten en wordt beschuldigd van het hacken van “Company F, een retailer in luxe juwelen.”
Wat de zaak echter interessant maakt, is hoe hij is gepakt.
Windows als spyware
Volgens de strafklacht(nieuw venster) van de FBI gebruikte Stokes een VPN om zijn online activiteiten te verbergen. Dit wordt algemeen beschouwd als een verstandige optie, aangezien een VPN uw echte IP-adres verbergt voor websites die u bezoekt en uw online activiteiten voor uw ISP. Maar hij maakte een fatale beginnersfout: hij gebruikte Windows.
De autoriteiten identificeerden Stokes aan de hand van Microsoft-gegevens die zijn computer koppelden aan verdacht gebruik van ngrok, een tunnelingtool voor webontwikkeling die werd gebruikt om “de netwerkbeveiliging van Company F te omzeilen en permanente ongeoorloofde toegang tot het datacenter van Company F in te schakelen.”
Microsoft kon de computer van Stokes identificeren dankzij de Global Device Identifier (GDID), een “identificator op apparaatniveau die is ontworpen om een installatie van een Windows-besturingssysteem op een apparaat uniek te identificeren.”
Met andere woorden, elke installatie van Windows heeft een GDID die Microsoft kan gebruiken om een apparaat te identificeren (inclusief virtuele apparaten) en om telemetrie te verzamelen(nieuw venster). Het opnieuw installeren van Windows maakt een nieuwe GDID aan voor dat apparaat, maar wist de oude niet uit de systemen van Microsoft, waardoor deze nog steeds kan worden gebruikt om een apparaat te identificeren.
Microsoft heeft deze informatie vervolgens aan derden verstrekt.
Hoe de FBI de door Microsoft verstrekte informatie heeft gebruikt
Dit bewijs alleen was niet genoeg om de misdaad met Stokes te verbinden, maar het kennen van de GDID gaf de FBI een geschiedenis van IP-adressen waartoe zijn apparaat in de loop der tijd toegang had gekregen. Om te bewijzen dat die IP’s specifiek van Peter Stokes waren, vergeleken rechercheurs deze IP-geschiedenis met aanmeldingen bij accounts waarvan bekend is dat ze van hem zijn, waaronder Apple, Snapchat, Facebook en zijn Growtopia-game-inlog.
Het verbinden van de GDID met accounts waarvan bekend is dat ze van Stokes zijn, hielp bewijzen dat de GDID die werd gebruikt om de juwelier te hacken, toebehoorde aan een apparaat dat eigendom was van Stokes, aldus de aanklacht.
Dat een van de op deze manier geïdentificeerde IP-adressen toebehoorde aan een hotel in New York dat volgens onderzoekers overeenkomt met het interieur dat te zien is op een Snapchat-selfie die toont hoe Stokes zijn gezicht bedekt met een stapel biljetten van $100, zal zijn zaak waarschijnlijk niet helpen.
Wat betekent dit voor de rest van ons?
Het eerste dat benadrukt moet worden, is dat het systeem in dit geval werkte zoals bedoeld.
Stokes wordt onder andere beschuldigd van samenzwering, cyberinbraak en fraude in verband met meer dan 100 miljoen dollar aan losgeldbetalingen bij meer dan 100 bedrijfsinbraken sinds 2022. Het gebruik van Microsoft-gegevens door de FBI valt binnen wettelijke kaders die gerechtelijke bevelen en dagvaardingen vereisen.
Maar de GDID roept belangrijke vragen op over de toestemming van de gebruiker en wie daadwerkelijk de eigenaar is van de hardware waarvoor u betaalt. U wordt nooit gevraagd om akkoord te gaan met de GDID op uw apparaat en er is geen eenvoudige manier om deze te verwijderen. Zelfs het volledig opnieuw installeren van Windows is slechts een gedeeltelijke oplossing.
In alle uitgebreide online documentatie van Microsoft wordt GlobalDeviceId slechts één keer vermeld, verborgen(nieuw venster) in een uiterst onduidelijk technisch document dat waarschijnlijk nooit door iemand gelezen zal worden.
Het is echter waar dat alle andere grote commerciële besturingssystemen, zoals macOS, Android en iOS, apparaten vrijwel zeker ook uniek kunnen identificeren voor hun fabrikanten. Het jammere is dat de meesten van ons deze situatie simpelweg accepteren.
Voor degenen die dat niet doen, is de enige praktische manier om dit te vermijden het gebruik van open source-besturingssystemen, zoals Linux.
