Quante volte vi è capitato di formattare il PC convinti di ripartire completamente da zero, senza più alcun legame con la vecchia installazione? Ecco, se utilizzate Windows 11 la realtà è leggermente diversa: ogni installazione del sistema operativo di Microsoft riceve infatti un identificatore univoco e permanente, chiamato GDID (Global Device Identifier), che collega tutte le attività online svolte da quel computer ad un’unica identità digitale.
A portare il tema all’attenzione del grande pubblico è stato un recente approfondimento di Windows Latest, che ha analizzato nel dettaglio il funzionamento di questo identificatore e, soprattutto, ha evidenziato un aspetto tutt’altro che secondario: il GDID non può essere disattivato completamente. È però possibile limitare, e anche di parecchio, la quantità di dati che vi viene associata. Vediamo come.
Cos’è il GDID
Secondo la definizione della stessa Microsoft, il GDID è “un identificatore persistente a livello di dispositivo, progettato per identificare in modo univoco un’installazione di un sistema operativo Windows su un dispositivo“. In parole povere: una sorta di impronta digitale del vostro PC, che rimane costante nel tempo e che permette di ricondurre alla stessa macchina anche ad attività molto diverse tra loro.
Tra i dati che possono essere correlati tramite il GDID troviamo la posizione del dispositivo (ricostruita tramite lo storico degli indirizzi IP), gli accessi ai servizi Microsoft, i login ai social network, le abitudini di navigazione, l’utilizzo delle applicazioni e l’attività sui servizi di cloud storage.
L’articolo di Windows Latest racconta come l’FBI abbia utilizzato proprio il GDID per collegare le attività di un sospettato attraverso quattro Paesi diversi, nell’arco di otto mesi, incrociando l’utilizzo del dispositivo con specifici indirizzi IP e con i login ai social network. Uno strumento potentissimo, insomma, di cui però l’utente medio ignora completamente l’esistenza.
Come viene generato l’identificatore
Il meccanismo di generazione del GDID è tanto silenzioso quanto efficace. Quando si accede a Windows con un account Microsoft, il servizio wlidsvc contatta i server di login.live.com, che restituiscono un PUID (Passport Unique ID), ovvero un numero identificativo univoco associato al dispositivo.
Questo valore viene salvato in chiaro nel registro di sistema, alla chiave:
HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties
sotto il valore denominato “LID”. A questo punto entra in gioco la Connected Devices Platform (il servizio CDPSvc, per intenderci), che legge il PUID e lo registra presso il Device Directory Service di Microsoft. Il numero riceve infine il prefisso “g” minuscolo, assumendo il formato “g:decimale”, e viene riportato nella telemetria di sistema, ad esempio dal servizio di Ottimizzazione recapito durante la condivisione peer-to-peer degli aggiornamenti.
Il tutto, è bene sottolinearlo, senza alcuna richiesta di consenso: a differenza di quanto avviene su iPhone con l’App Tracking Transparency di Apple, o dell’equivalente su Android, l’assegnazione del GDID non prevede alcuna notifica o autorizzazione da parte dell’utente.
Perché non può essere disattivato
Qui arriva la nota dolente: Microsoft non fornisce alcuna opzione per disabilitare in modo permanente la generazione del GDID. Non esiste un interruttore, né nelle impostazioni né tramite criteri di gruppo.
Il gruppo Massgrave (noto per i suoi studi sui meccanismi di attivazione di Windows, ndr) è stato piuttosto chiaro in proposito: “È impossibile impedire a Windows di ottenere un GDID senza compromettere l’attivazione e le app UWP”.
E non finisce qui: reinstallare Windows genera sì un nuovo GDID, ma Microsoft è comunque in grado di ricollegarlo al vostro profilo originale attraverso i servizi collegati, OneDrive e lo storico delle attivazioni. In altre parole, la formattazione non è la via di fuga che molti immaginano.
Le impostazioni per limitare la raccolta dati
Se eliminare il GDID non è possibile, si può però ridurre sensibilmente la quantità di informazioni che vi viene associata. Ecco le contromisure suggerite, che potete applicare fin da subito.
1. Utilizzare un account locale
Il consiglio più efficace è anche il più semplice: evitare di accedere a Windows con un account Microsoft, preferendo un account locale. È proprio il login con l’account Microsoft, come abbiamo visto, ad innescare la catena che porta alla generazione dell’identificatore. Negli ultimi anni Microsoft ha reso questa scelta sempre più complicata, anche se recentemente sembra aver parzialmente invertito la rotta.
2. Disattivare i dati di diagnostica facoltativi
Recatevi in Impostazioni > Privacy e sicurezza > Diagnostica e feedback e disattivate l’invio dei dati di diagnostica facoltativi. In questo modo il flusso di telemetria verso i server di Microsoft viene ridotto al minimo indispensabile.
3. Bloccare l’ID annunci e i suggerimenti personalizzati
Sempre nella sezione Privacy e sicurezza, disattivate gli annunci personalizzati e il monitoraggio dell’avvio delle app (a seconda della versione di Windows 11, trovate queste voci sotto “Generale” oppure “Consigli e offerte”). Così facendo impedirete che il vostro profilo pubblicitario venga arricchito con le vostre abitudini di utilizzo.
4. Disattivare la ricerca nel cloud
In Impostazioni > Privacy e sicurezza > Autorizzazioni di ricerca disattivate la ricerca di contenuti cloud: eviterete che le ricerche effettuate localmente sul PC vengano inviate anche a Bing.
A queste quattro contromisure si può aggiungere la disattivazione delle numerose funzionalità AI e dei servizi in background introdotti nelle ultime versioni di Windows 11, che rappresentano ulteriori canali di raccolta dati.
Conclusioni
È importante essere onesti: anche applicando tutte le impostazioni viste sopra, il GDID continuerà ad esistere e a comunicare con i server di Microsoft. Quello che si ottiene è una drastica riduzione dei dati raccolti, non l’eliminazione del tracciamento in sé.
Per la stragrande maggioranza degli utenti, queste contromisure rappresentano comunque un ottimo compromesso tra privacy e praticità, e non richiedono alcun software di terze parti. Per scenari ad alto rischio (giornalismo investigativo, attivismo, situazioni di violenza domestica, ndr) il discorso cambia: in questi casi l’unica soluzione realmente efficace è abbandonare Windows in favore di una distribuzione Linux, magari con il traffico instradato tramite rete Tor. Come sottolinea Windows Latest, infatti, al GDID non interessa quale VPN utilizziate: gli basta sapere che si tratta sempre della stessa installazione di Windows.
Come sempre, la parola d’ordine è consapevolezza: conoscere questi meccanismi è il primo passo per decidere, con buon senso, quanto della nostra vita digitale siamo disposti a condividere.
