このVPN企業がWindowsのMicrosoft隠れ追跡ツールを止める手段を開発—ただし一部機能は失われる…

Windscribeは、Windowsシステムから永続的な追跡識別子を完全に取り除くオープンソーススクリプト「deGDID」を開発しました。

このツールが標的とするのは、VPNが機能するネットワーク層よりも下層で動作する、Microsoftの永続的な識別マーカー「Global Device Identifier」です。

今回の公開は、この識別子がFBIによる容疑者特定に一役買ったとされる連邦裁判の事案を受けたものです。

スクリプトの仕組み

この無料スクリプトは管理者権限でPowerShellから実行するもので、GitHubから直接ダウンロードできます。

動作を制御する4つの実行フラグが用意されており、まずGDIDが有効かどうかを確認する読み取り専用の-Statusチェックがあります。

-Status -Redactオプションは、識別子を伏せた診断ログを生成し、安全に共有できるようにします。一方、-Protectは中核となる機能を実行します。

このフラグは、レジストリからキャッシュされたGDIDキーを消去したうえで、アクセス制御リストとレジストリのアクセス権を変更し、Windowsが新たなGDIDを再発行できないようにします。

さらに内部のDeviceAddエンドポイントに対してファイアウォールを構築し、Microsoftのアイデンティティサービスがそのマシンを登録済みとして認識すること自体を遮断します。

4つ目のフラグ「—Unprotect」を使えば、必要に応じてこの処理を元に戻し、デフォルト設定を復元できます。

Windows 11搭載マシンでのテストでは、スクリプトが説明どおりに機能することが確認されました。-Statusフラグでは、削除前に複数のキャッシュされた識別子が確認されています。

システム再起動後も新たなGDIDは生成されませんでしたが、その代償はほぼ直後に明らかになりました。

一部のMicrosoftアプリケーションは接続エラーを返しましたが、オンラインゲームなどのソフトウェアはテストを通じて正常に動作し続けました。

deGDIDが対処するのはあくまで追跡であり悪意あるソフトウェアではないため、ユーザーは引き続きアンチウイルスやエンドポイント保護を有効にしておく必要があります。

Windscribeは、すでにMicrosoftのサーバーに保存されているキーは削除できないと認めています。つまり同社は、これまでに収集されたデータへの無期限アクセスを保持し続けることになります。

また、このスクリプトは管理対象システムやドメイン参加済みアカウントでは実行を拒否するため、利用は個人所有の非管理マシンに限られます。

Windowsには現時点でGDIDを無効化する組み込みの方法が存在せず、この識別子はVPNトンネリングの有無にかかわらず、IPアドレスをまたいで持続します。

「Windows 11搭載のコンピューターでこのスクリプトを試したところ、意図したとおりに動作しました」と同社はテスト過程の文書でこう述べています。

Windscribeはdeb GDIDについて、この識別子の仕組みに関する詳細が明らかになるにつれて今後も進化を続ける、継続的な研究の取り組みだと説明しています。

機能が失われるサービスは、このプライバシー面でのトレードオフがMicrosoftアカウントの一部機能の喪失に見合うかどうかを判断する上で、ユーザーにとって現実的なコストとなります。

サーバー側に保存されたキーが引き続きMicrosoftから永続的にアクセス可能である以上、このスクリプトは完全な解決策ではなく部分的な対処にとどまります。