Microsoft vám do počítače s Windows vypálil tajné číslo – VPN ho nedokáže skrýt
Nástroj, který odhalil skutečného hackera, je identicky přítomen v počítači každého nevinného uživatele.
Devatenáctiletý mladík si před obličejem držel vějíř vyrobený ze stodolarových bankovek a fotku zveřejnil na Snapchatu. O několik dní dříve poslal přátelům fotku estonské policejní stanice s popiskem: „Cítím se jako Raymond Reddington, 1. série, 1. epizoda“ – odkaz na televizního padoucha, který jde do ústředí FBI a sám se udá. Později přišel citát, který nezestárne dobře: „Federálové nemají tušení, co právě zpackali,“ napsal.
Federálové to věděli. Věděli to už přes rok. A to, co Peter Stokes odhalil, nebyl přeřeknutí, zrádce ani prolomené heslo. Byl to jeho notebook s Windows, který dělal přesně to, k čemu ho Microsoft navrhl.
Stokes, který má dvojí občanství USA a Estonska a žil v Tallinnu, byl zatčen ve Finsku při pokusu o nástup do letadla a vydán do Chicaga, kde čelí obviněním souvisejícím s hackerskou skupinou Scattered Spider.
Vláda skupinu obviňuje z více než 100 narušení sítě od roku 2022, z výkupného ve výši přesahujícího 100 milionů dolarů a z řady útoků na společnosti, které vypadají jako žebříček „kdo je kdo“ v obchodním světě.
Státní zástupci tvrdí, že Stokes pomohl nabourat se do prodejny luxusních šperků, ukrást jeho data a vydírat přibližně 8 milionů dolarů v kryptoměnách. Společnost odmítla zaplatit, ale i tak přišla o škodu ve výši nejméně 2 milionů dolarů.
Ale to není důvod, proč výzkumníci v oblasti kybernetické bezpečnosti, inženýři ochrany dat a celá řada běžných uživatelů Windows tento týden zírali na soudní spis. Důvodem je jediný řetězec znaků skrytý v obžalobě FBI – číslo, o kterém většina majitelů Windows nikdy neslyšela a které nemůže najít ani ve svých vlastních počítačích.
Kopii obžaloby jsme vám poskytli ke stažení zde .
Microsoft tomu říká Globální identifikátor zařízení (GDID) . GDID je důvodem, proč byl zločinec, který udělal téměř vše správně, přesto dopaden – a nyní je ve vašem počítači.
Jedna věc, kterou VPN nemůže skrýt
Stokes nebyl neopatrný, pokud jde o anonymitu. Své aktivity směroval přes VPN (virtuální privátní síť), standardní nástroj pro skrytí skutečné polohy na internetu.
VPN nahrazuje vaši skutečnou IP adresu – číselný identifikátor vašeho internetového připojení – adresou VPN serveru. Webové stránky vidí server, ne vás. Váš poskytovatel internetových služeb vidí šifrovaný provoz do VPN, nikoli webové stránky, které navštěvujete. Při správném použití je to skutečný štít – stejný štít, na který se spoléhají novináři, aby chránili své zdroje, aktivisty pracující pod nepřátelskými vládami a oběti zneužívání, které se skrývají před stalkery.
VPN sice splnila svou funkci. Co ale nedokázala, bylo změnit identitu počítače za ní.
Podle společnosti Microsoft je globální identifikátor zařízení „trvalý identifikátor související se zařízením, který se používá k jedinečné identifikaci instalace operačního systému Windows na zařízení – ať už jde o fyzické zařízení (např. mobilní telefon nebo notebook), nebo virtuální počítač.“
Jednoduše řečeno: Když se systém Windows nainstaluje do počítače, přiřadí této instalaci sériové číslo a hlásí jej společnosti Microsoft. Toto číslo putuje s telemetrií – neustálým proudem diagnostických a aktivitních dat, která systém Windows odesílá na servery společnosti Microsoft. Nezáleží na tom, jakou IP adresu daný den používáte; číslo sleduje instalaci.
Společnost Microsoft soudu sdělila, že identifikátor „zůstává konzistentní napříč aktualizacemi operačního systému Windows v zařízení“. Při přeinstalaci systému Windows získáte nový GDID, ale ten starý nezmizí ze záznamů společnosti Microsoft. Společnost si jej uchovává a stále jej lze přiřadit k zařízení, ze kterého pochází. Nelze se odhlásit. V Nastavení není žádný přepínač, který by vám umožnil tuto funkci vypnout. Nikdy jste nebyli dotázáni.
Od sériového čísla k tváři
Podle Stokesovy vlastní časové osy to znamená, že aby se hackeři nabourali do klenotnictví, nainstalovali na servery společnosti nástroj s názvem ngrok.
Ngrok vytváří šifrovaný tunel, který obchází síťovou obranu a umožňuje vnějším osobám přístup k počítačům, které by jinak měly být nepřístupné. Obžaloba uvádí, že skupina jej použila „k obejití síťové obrany společnosti F a umožnění trvalého neoprávněného přístupu do datového centra společnosti F“ a následnému úniku dat tímto tunelem.
Nastavení služby ngrok vyžadovalo vytvoření účtu. Tento účet byl vytvořen 12. května 2025 z adresy VPN proxy končící na .168. VPN skryla identitu uživatele. Neskryla však instalaci Windows. Záznamy společnosti Microsoft ukázaly, že přesně ve stejnou minutu, kdy byl účet ngrok vytvořen, navštívilo přihlašovací stránku služby ngrok zařízení s GDID g:6755467234350028.
O tři hodiny později se ze stejného zařízení, s použitím stejné proxy, dostalo k webovým stránkám klenotnictví. Počítač, který nainstaloval útočný nástroj, měl jméno, ačkoli jeho majitel ho neměl.
Od sériového čísla k tváři
Identifikátor zařízení je pro vyšetřovatele bezcenný, dokud jej nemohou propojit s osobou. V tomto okamžiku přestal být GDID technickou kuriozitou a stal se páteří případu.
Protože identifikátor putuje pomocí telemetrie, mohl Microsoft předat FBI něco, co VPN nikdy nemůže smazat: nepřetržitou historii IP adres, které dané zařízení používalo po celé měsíce. Vyšetřovatelé tuto historii umístili vedle záznamů o přihlášeních k účtům, o kterých se již domnívali, že patří Stokesovi – jeho Snapchatu, jeho Facebooku, dvou účtů Apple a jeho přihlašovacích údajů k online hře Growtopia.
4. června 2024 zařízení GDID používalo IP adresu v Tallinnu. Během několika hodin se stejná adresa přihlásila do Stokesových účtů na Snapchatu a Facebooku. V listopadu 2024 se zařízení objevilo na IP adrese v New Yorku. Cestovní záznamy ministerstva zahraničí ukazují, že Stokes byl v tyto dny v New Yorku, a jeho vlastní fotografie ze Snapchatu ho ukazují v hotelech Four Seasons a Waldorf Astoria a také na zápase UFC ve městě 16. listopadu.
Zařízení později navštívilo webové stránky hotelu Empire v New Yorku a státní zástupci tvrdí, že koberec a nábytek na jedné ze Stokesových selfie na Snapchatu odpovídaly apartmá hotelu Empire. V únoru 2025 se zařízení nacházelo v Thajsku. Stokes tam byl také a pózoval s lahví na vodu s nápisem „WALDORF ASTORIA BANGKOK“.
Vláda potřebovala zařízení, které by se oznamovalo, ať už se objeví kamkoli – a mladého muže, který by nemohl přestat fotografovat své luxusní cesty. GDID byl vláknem, které spojovalo účet ngrok, maskovaný proxy, se skutečnou osobou, která neustále zveřejňovala svou polohu na sociálních sítích.
Co zákon předepisuje – a co ne
Právní rámec, který za tím stojí, ukazuje, jak malé tření existuje mezi zařízením na vašem stole a spisem v neznámé kanceláři.
Obvinění proti Stokesovi jsou založena na zákoně o počítačových podvodech a zneužívání (Computer Fraud and Abuse Act), nejdůležitějším americkém zákoně proti hackingu, který kriminalizuje neoprávněný přístup k počítači, jakož i způsobení škody nebo vydírání po vniknutí. Tato část je nesporná.
Nabourání klenotnictví a požadování 8 milionů dolarů je zločin v jakékoli formě.
Odhalující je způsob, jakým vyšetřovatelé shromáždili důkazy. Microsoft nečekal na žádost. Podle obžaloby společnost v říjnu 2024 proaktivně odkázala Stokese americkým úřadům – více než rok před vznesením obvinění – a svého interního podezřelého označila za „pravděpodobného provozovatele Octo Tempest“ (vlastní název společnosti pro Scattered Spider) a odhadla jeho „pravděpodobné skutečné jméno Peter Stokes“. Microsoft dobrovolně poskytl jméno, město a teorii o zločinu ještě předtím, než společnosti kdokoli cokoli poskytl.
Když poté vláda podnikla právní kroky, nástroje byly běžné. Státní zástupce získal zpětný příkaz podle ustanovení zákona o uchovávané komunikaci, paragrafu 2703(d), zaměřený na dvě IP adresy v Tallinnu.
Opačné pořadí otázek obrací obvyklou otázku. Místo aby se dodavatele ptali, co známý podezřelý udělal, systém požaduje, aby dodavatel identifikoval všechny účty, které se dotkly konkrétní adresy, a poté poskytl související adresy. Microsoft vyhověl a poskytl další IP adresy spojené se Stokesem. Zbytek pokryly domovní prohlídky.
Doktrína, která to umožňuje, je stará desítky let a soudy ji jen zřídka zpochybňují. Podle doktríny o třetích stranách informace, které dobrovolně sdílíte se společností, obecně ztrácejí ochranu podle čtvrtého dodatku – na základě teorie, že nemáte žádné legitimní očekávání soukromí v souvislosti s údaji, které jste již sdíleli.
Nejvyšší soud tuto logiku porušil v roce 2018 v případu Carpenter v. Spojené státy , když rozhodl, že policie potřebuje soudní příkaz k přístupu k podrobným historiím polohy uloženým mobilními operátory. Zda trvalý identifikátor zařízení a historie jeho IP adres spadají pod Carpenterovu ochranu, nebo se kvalifikují jako běžné obchodní záznamy, nebylo ověřováno. Obžalovaný, jako je Stokes, tváří v tvář drtivým důkazům, není ten, kdo to bude ověřovat. Zákon zde není ustálený. Je jednoduše nezpochybnitelný.
Doktrína třetí strany se točí kolem jednoho slova: dobrovolnost . Teorie předpokládá, že jste se rozhodli sdílet data. Nevybrali jste si GDID. Nemůžete ho vidět, nemůžete ho smazat a nikdy jste nebyli požádáni o souhlas. Právní odůvodnění pro zacházení s těmito daty jako s nelegálními daty spočívá v souhlasu, který nikdy nebyl udělen.
Obhájci tohoto nařízení uvádějí oprávněný argument a zaslouží si svou nejsilnější formu. Moderní operační systémy potřebují diagnostická data k uzavření bezpečnostních mezer, opravě pádů a identifikaci přesného malwaru, který Scattered Spider používá. Stabilní identifikátor zařízení pomáhá společnosti Microsoft rozlišit jeden počítač od druhého, když dodává tyto aktualizace a vyhledává tyto hrozby. Stejná telemetrie, která odhalila Stokese, také pohání obranu, která chrání miliony lidí, kteří nikdy neudělají nic špatného. A Microsoft v tom zdaleka není sám. Apple, Google a ostatní téměř jistě také dokážou zjistit otisky prstů zařízení, na kterých běží jejich software.
To všechno je pravda a je to druhořadé ve srovnání s tím, co by vás mělo zajímat.
Microsoft dokáže identifikovat hackera. Dokáže také identifikovat kohokoli jiného – tiše, standardně, bez upozornění a bez tlačítka vypnutí – a sdílet tuto identitu s třetími stranami. Funkce navržená k odhalení nejhorších uživatelů existuje identicky i na počítačích těch nejlepších. Než označí vaši instalaci a začne protokolovat, nekontroluje vaše úmysly. Zdravotní sestra, odborový organizátor, novinář setkávající se s oznamovatelem, teenager zkoumající stigmatizovanou otázku – všichni nesou stejné neviditelné číslo, generují stejnou sledovatelnou historii, nacházejí se na stejných serverech a jsou k dispozici za stejných rutinních podmínek.
Tento design je záměrný. Jde o trvalý identifikátor, vázaný na váš hardware, který zaznamenává vaši aktivitu, uchovává se i po vymazání počítače a je jednou zmíněn v dokumentu, který je napsán tak, aby byl ignorován. Trvalost, neviditelnost a uchovávání jsou vlastnosti – a každá z nich umožnila důkazy proti Stokesovi.
Kluzký svah zde není hypotetická rétorika, protože stejná architektura již slouží normálním orgánům činným v trestním řízení prostřednictvím obrácených příkazů, které shromažďují všechny osoby v blízkosti určité adresy. Přeneste to z IP bloku v Tallinnu na protest, kliniku, mešitu nebo redakci a zařízení, které vás všude doprovází, se stane svědkem, který určí vaši polohu.
Anonymita je předpokladem pro to, aby zdroj mohl hovořit s novinářem, aby se disident mohl organizovat, aby si člověk mohl přečíst o diagnóze, přesvědčení nebo politice, aniž by si vytvořil trvalý záznam někde, ke kterému nemá přístup. Stejný nástroj, který identifikuje hackera, identifikuje i protestujícího.
Nic z toho Stokese nedělá sympatickým. Dělá ho to poučným. Jeho případ je tím vzácným okamžikem, kdy je stroj popsán u veřejného soudu – konkrétně s uvedením sériových čísel a časových razítek – než znovu zmizí v rutině proaktivních doporučení a zapečetěných příkazů. Ukázal nám tento nástroj tím, že byl dostatečně neopatrný, aby byl s ním přistižen.
Co vlastně můžete dělat
Upřímný závěr je nepříjemný. VPN – nástroj, kterému většina lidí důvěřuje v oblasti soukromí – s tím nic neudělala. Chránila síťovou cestu a zajistila plnou identifikovatelnost zařízení. Každý, kdo se spoléhá výhradně na VPN pro zajištění anonymity ve Windows, chrání špatný konec připojení.
Skutečná řešení jsou strukturální a přesně to byste měli požadovat. Microsoft by mohl zdokumentovat GDID v jednoduchém jazyce, informovat uživatele o jeho existenci a poskytnout jim způsob, jak si ho zobrazit a deaktivovat. Regulační orgány – zejména v Evropě, kde Stokes žil a kde je ochrana osobních údajů nejsilnější – by mohly zpochybnit, jak je trvalý, nekonsenzuální identifikátor zařízení slučitelný s pravidly, která vyžadují informovaný souhlas právě pro tento typ sledování. Soudy by konečně mohly prozkoumat, zda si historie IP adres zařízení zaslouží ochranu v podobě zatykače, kterou Carpenter rozšířil na data o poloze telefonu. Nic z toho se neděje bez tlaku a tlak nevzniká bez toho, aby lidé věděli, že identifikátor existuje.
Jediný způsob, jak se zcela vyhnout identifikátoru zařízení proprietárního operačního systému, je přestat proprietární operační systém používat. Systémy s otevřeným zdrojovým kódem, jako je Linux, jehož kód si může prohlédnout kdokoli, neodesílají skryté číslo, které by se hlásilo jediné společnosti. To je pro většinu lidí velký krok a předstírat, že tomu tak není, by bylo nečestné.
Peter Stokes bude mít u soudu svůj den a důkazy proti němu vypadají působivě. Číslo, které ho srazilo, před soudem neobstojí. Bude i nadále běžet na miliardě počítačů, jejichž majitelé s jeho používáním nikdy nesouhlasili – generovat stejnou historii a čekat na stejnou rutinní objednávku. Myslel si, že ho VPN učiní neviditelným. Mýlil se – a mýlí se i každý, kdo si myslí totéž. Věc, která ho viděla, je všechny sleduje – a téměř nikdo nezná její jméno.
