Smukx dari ZeroTrace Lab mempublikasikan temuan mendalam mengenai Global Device Identifier (GDID), mekanisme tracking internal Microsoft yang memberikan setiap instalasi Windows identifier unik 64-bit yang dipetakan secara permanen ke hardware fingerprint perangkat. Meskipun nilai registry GDID tampak bisa diubah secara lokal, validasi hardware yang dilakukan di sisi server Microsoft membuat anonymisasi praktis tidak mungkin tanpa mengganti seluruh komponen fisik komputer.
APA YANG TERJADI?
Setiap instalasi Windows menerima Global Device Identifier yang disebut PUID (Passport Unique Identifier) dengan prefix 0x0018 yang menunjukkan kategori device. Identifier ini tersimpan sebagai plaintext di registry path HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties dengan nama value LID, yang bisa dibaca maupun dimodifikasi oleh proses tanpa memerlukan hak administrator. Namun, binding yang sebenarnya terjadi di sisi server: Microsoft menyimpan catatan hardware fingerprint yang mencakup SMBIOS UUID, TPM Endorsement Key, disk serial numbers, dan MAC addresses. Ketika wlidsvc.dll mengirimkan deskriptor hardware ke login.live.com, server selalu memetakan perangkat yang sama ke identitas yang sama terlepas dari modifikasi lokal.
DETAIL TEKNIS
GDID disimpan dalam tiga lapisan: Layer 1 adalah registry plaintext LID; Layer 2 berupa sertifikat X.509 yang dienkripsi dengan DPAPI dan tersimpan di path Token AppContainer; Layer 3 berupa mapping PUID pengguna ke local SID di HKLM Negative Cache. Semua lapisan dikelola oleh wlidsvc.dll yang berjalan di bawah svchost.exe dengan hak LocalSystem. Pada saat registrasi awal, service mengirimkan POST ke login.live.com berisi SOAP envelope dengan deskriptor hardware seperti system manufacturer, product name, SMBIOS serial, SMBIOS UUID, disk serials, MAC address, dan TPM public key. Server merespons dengan puid yang unik namun deterministik untuk hardware yang identik. Percobaan untuk melakukan impersonation dengan mengganti registry, mengimpor sertifikat, atau bahkan mengganti hardware virtual selalu gagal pada validasi TPM Endorsement Key karena private key EK tidak pernah meninggalkan chip fisik.
DAMPAK TERHADAP INDONESIA
UU Pelindungan Data Pribadi (PDP) yang berlaku di Indonesia mensyaratkan transparansi dalam pengumpulan dan penggunaan data pribadi. Namun, mekanisme tracking tingkat device oleh vendor sistem operasi asing sering kali berada di luar cakupan audit dan transparansi yang bisa dilakukan oleh regulator lokal. Pengguna Indonesia yang menghubungkan Microsoft Account ke perangkat Windows secara tidak sadar menyerahkan hardware fingerprint komprehensif ke infrastruktur cloud internasional. Hal ini menimbulkan pertanyaan serius mengenai kedaulatan data dan kemampuan law enforcement asing untuk melakukan attribution terhadap perangkat milik warga negara Indonesia melalui permintaan data ke Microsoft.
REKOMENDASI MITIGASI
Pengguna yang mengutamakan privasi harus menggunakan local account alih-alih Microsoft Account pada instalasi Windows, serta mempertimbangkan menonaktifkan layanan wlidsvc jika fitur Store dan digital license tidak diperlukan. Untuk aktivitas yang memerlukan anonimitas tinggi, penggunaan virtual machine terisolasi adalah solusi paling praktis karena hardware fingerprint pada VM tidak terhubung dengan perangkat fisik. Organisasi harus mengaudit registry queries ke path IdentityCRL oleh proses yang bukan bagian dari sistem operasi, serta menerapkan kebijakan telemetri yang ketat. Pada konteks forensik, tim response harus mendokumentasikan baseline GDID dan deskriptor hardware pada perangkat sebelum insiden agar bisa mendeteksi deviasi.
Analisa Retasan
GDID mengungkapkan bahwa privasi pada ekosistem Windows modern bersifat kosmetik lebih daripada substantif. Meskipun pengguna teknis bisa memodifikasi registry LID dalam hitungan detik menggunakan PowerShell atau tool sederhana, server-side hardware binding yang melibatkan SMBIOS UUID dan TPM Endorsement Key membuat anonymisasi praktis tidak mungkin tanpa mengganti motherboard, disk, NIC, dan TPM secara bersamaan. Barikade terdalam terletak pada kriptografi TPM: server Microsoft mengirimkan nonce yang dienkripsi dengan EK public key, dan device harus mengembalikan nonce yang didekripsi menggunakan EK private key melalui TPM2_ActivateCredential. Private key EK tidak pernah bisa diekstrak dari chip fisik, sehingga relay challenge ke TPM sumber tidak mungkin dilakukan tanpa modifikasi hardware yang intensif. Arsitektur ini secara efektif menjadikan setiap instalasi Windows sebagai node yang secara permanen teridentifikasi dalam ekosistem Microsoft.
Dari perspektif forensik digital, GDID menetapkan preseden hukum yang signifikan. Kasus US v. Peter Stokes pada Juli 2026 menunjukkan bahwa mekanisme tracking ini telah diakui pengadilan sebagai bukti attribution yang valid, di mana GDID dari sebuah instalasi Windows dikaitkan langsung dengan akun ngrok milik terdakwa. Jika dibandingkan dengan Apple ID dan Google Advertising ID yang juga menyediakan tracking tingkat device, GDID berbeda karena tidak bisa di-reset oleh pengguna dan terikat secara kriptografis ke hardware. Kurangnya transparansi kepada pengguna awam mengenai mekanisme ini bertentangan dengan prinsip informed consent yang menjadi dasar regulasi privasi modern seperti GDPR dan UU PDP Indonesia.
Bagi Indonesia, temuan ini sangat relevan dengan diskusi kedaulatan digital dan data residency yang sedang berkembang. Instansi pemerintah dan BUMN yang menggunakan Windows dengan Microsoft Account secara bawaan menyerahkan metadata hardware ke infrastruktur cloud asing tanpa mekanisme audit yang transparan. UU PDP mensyaratkan perlindungan terhadap data sensitif, namun mekanisme binding hardware yang tidak didokumentasikan secara eksplisit kepada pengguna awam menciptakan celah kepatuhan. Kebijakan “data dalam negeri” harus diperluas untuk mencakup tidak hanya data konten tetapi juga metadata hardware dan identifier device yang disimpan oleh vendor asing. Pertimbangan serius mengenai migrasi ke sistem operasi dengan arsitektur tracking yang lebih transparan, atau setidaknya penerapan VM terisolasi untuk aktivitas yang menangani data sensitif negara, perlu menjadi bagian dari strategi keamanan siber nasional jangka panjang.
Sumber: Smukx, ZeroTrace Lab
