Windscribe เปิดสคริปต์ deGDID ลบตัวระบุติดตามของ Microsoft จาก Windows

Lead – บริษัท VPN ชื่อ Windscribe เปิดตัวสคริปต์โอเพ่นซอร์สชื่อ deGDID ที่สามารถลบตัวระบุอุปกรณ์แบบถาวรของ Microsoft (Global Device Identifier – GDID) ออกจากระบบ Windows ได้โดยตรง ผ่าน PowerShell ที่ใช้สิทธิ์ผู้ดูแล ระบบนี้มุ่งลดความเป็นส่วนตัวที่ถูกติดตามแม้เมื่อใช้ VPN อย่างไรก็ตาม การทำงานของสคริปต์อาจทำให้บริการคลาวด์บางอย่างของ Microsoft หยุดทำงานได้

Overview

Windscribe ระบุว่า deGDID ถูกออกแบบมาเพื่อ “ลบคีย์การติดตามที่เก็บไว้ในรีจิสตรีของ Windows อย่างถาวร” ซึ่ง GDID ทำหน้าที่เป็นเครื่องหมายระบุอุปกรณ์ระดับล่างเหนือชั้นเครือข่าย VPN สคริปต์นี้เผยแพร่บน GitHub ฟรีและสามารถเรียกใช้ด้วย PowerShell ที่ต้องมีสิทธิ์ผู้ดูแลระบบ การพัฒนาเกิดขึ้นหลังจากกรณีคดีของ FBI ที่ใช้ GDID เพื่อตามหาผู้ต้องสงสัยว่าเป็นแฮ็กเกอร์

การเปิดตัวสคริปต์ในช่วงที่ Microsoft ยังไม่มีวิธีปิดใช้งาน GDID ใด ๆ ทำให้ผู้ใช้ Windows มีทางเลือกใหม่ในการปกป้องข้อมูลส่วนบุคคล แม้ว่าตัวเครื่องจะยังคงส่งข้อมูลอื่น ๆ ไปยังเซิร์ฟเวอร์ของ Microsoft อยู่บ้าง

How the Script Works

สคริปต์ทำงานโดยการอ่านค่า GDID ที่เก็บไว้ในรีจิสตรีและลบออก จากนั้นปรับ Access Control Lists (ACLs) และสิทธิ์ของรีจิสตรีเพื่อป้องกันไม่ให้ Windows สร้างค่าดังกล่าวใหม่ อีกทั้งยังตั้งไฟร์วอลล์เพื่อบล็อก DeviceAdd endpoint** ของ Microsoft ซึ่งเป็นช่องทางที่บริการระบุตัวตนใช้ตรวจสอบอุปกรณ์

สคริปต์มีตัวเลือก (flags) สี่แบบ ที่ผู้ใช้สามารถกำหนดได้ตามความต้องการ:

`-Status` – ตรวจสอบว่ามี GDID อยู่หรือไม่โดยแสดงผลแบบอ่านอย่างเดียว
`-Status -Redact` – ส่งออกบันทึกวินิจฉัยพร้อมซ่อนค่า GDID เพื่อแชร์ข้อมูลปลอดภัย
`-Protect` – ทำหน้าที่หลัก ลบคีย์ GDID จากรีจิสตรีและตั้งค่า ACL/ไฟร์วอลล์เพื่อป้องกันการสร้างใหม่
`—Unprotect` – ยกเลิกการเปลี่ยนแปลง คืนค่าการตั้งค่าเริ่มต้นของระบบ

เมื่อรันด้วย flag `-Protect` ระบบจะลบคีย์ที่เก็บไว้ทั้งหมดและไม่ให้ Windows สร้าง GDID ใหม่แม้ต้องรีสตาร์ทเครื่อง

Compatibility and Service Impact

การทดสอบบนเครื่อง Windows 11 พบว่าฟังก์ชันทำงานตามที่อธิบายไว้ โดย `-Status` แสดงรายการ GDID ที่ค้างอยู่หลายรายการก่อนจะถูกลบ หลังจากใช้ `-Protect` แล้วไม่มี GDID ใหม่ปรากฏแม้หลังรีสตาร์ท อย่างไรก็ตาม ผลข้างเคียงก็เด่นชัด:

การตรวจสอบบัญชีผ่าน login.live.com หยุดทำงานในทุกเบราว์เซอร์ที่ทดสอบ
บริการ login.microsoftonline.com ยังคงใช้งานได้ตามปกติ
แอปพลิเคชันบางตัวของ Microsoft แสดงข้อผิดพลาดในการเชื่อมต่อ แต่เกมออนไลน์และซอฟต์แวร์อื่น ๆ ทำงานไม่มีอาการเสีย

ผู้ใช้จึงต้องตัดสินใจว่าความเป็นส่วนตัวที่เพิ่มขึ้นคุ้มค่ากับการสูญเสียฟีเจอร์บางอย่างของ Microsoft หรือไม่

Limitations and Security Considerations

Windscribe ยอมรับว่า deGDID ไม่สามารถลบคีย์ GDID ที่เก็บไว้บนเซิร์ฟเวอร์ของ Microsoft ได้ ซึ่งหมายความว่าบริษัทยังคงเข้าถึงข้อมูลที่เคยรวบรวมมาอย่างถาวรได้ นอกจากนี้สคริปต์ไม่ทำงานบนเครื่องที่อยู่ภายใต้การจัดการ (managed) หรือเชื่อมต่อกับโดเมนขององค์กร ทำให้ผู้ใช้ระดับบุคคลทั่วไปเท่านั้นที่สามารถใช้งานได้

แม้สคริปต์จะลบตัวระบุจากด้านไคลเอนต์ แต่ไม่ได้ทำหน้าที่เป็นซอฟต์แวร์ป้องกันมัลแวร์ ผู้ใช้จึงควรยังคงเปิดการทำงานของโปรแกรมแอนตี้ไวรัสและระบบรักษาความปลอดภัยอื่น ๆ อยู่

Windscribe อธิบายว่า deGDID เป็น “ความพยายามด้านวิจัยต่อเนื่อง” ที่จะอัปเดตตามข้อมูลใหม่เกี่ยวกับกลไกการทำงานของ GDID ดังนั้นผู้ใช้ควรติดตามเวอร์ชันล่าสุดและเอกสารประกอบอย่างใกล้ชิด

Broader Implications

การเปิดเผยเครื่องมือที่สามารถ “ปิดบัง” ตัวระบุอุปกรณ์ระดับระบบปฏิบัติการได้ ทำให้เกิดการถกเถียงใหม่เกี่ยวกับความสมดุลระหว่าง privacy และ functionality ของบริการคลาวด์ การที่ผู้ใช้ส่วนบุคคลมีวิธีลบ GDID อาจกระตุ้นให้ Microsoft พิจารณาพัฒนาฟีเจอร์จัดการหรือปิดใช้งานตัวระบุนี้ในเวอร์ชันต่อ ๆ ไปของ Windows

จากมุมมองด้านกฎหมาย ตัวอย่างกรณี FBI ที่ใช้ GDID ในการสืบสวนอาจทำให้หน่วยงานรัฐสนใจเพิ่มข้อกำหนดเกี่ยวกับการเก็บรักษาและเปิดเผยข้อมูลระยะยาวของผู้ใช้งานในอนาคต อย่างไรก็ตาม ผู้เชี่ยวชาญด้านความปลอดภัยยังคงเตือนว่าการลบ GDID เพียงส่วนหนึ่งอาจไม่เพียงพอต่อการปกป้องข้อมูลโดยรวม

Summary

deGDID ของ Windscribe ให้วิธีใหม่ในการลบ Global Device Identifier จาก Windows แต่การทำเช่นนั้นมาพร้อมกับผลกระทบต่อบริการ Microsoft บางอย่างและข้อจำกัดด้านการใช้งานบนเครื่องที่จัดการไว้แล้ว ผู้ใช้ต้องพิจารณา trade‑off ระหว่างความเป็นส่วนตัวและความสะดวกในการเข้าถึงบริการคลาวด์ของ Microsoft อย่างรอบคอบ.