Posté par Faya .
Évalué à 8 (+6/-0).
Dernière modification le 08 juillet 2026 à 07:32.
C'est fort dommage, ça mérite carrément un journal. Que les installations Windows aient un identifiant unique, ça ne m'étonne pas. Nos cartes réseaux en ont un, systemd aussi : cat /etc/machine-id
Au vu des informations recueillies on ne peut que supposer que Microsoft opère une surveillance de masse en enregistrant toutes les requêtes associées à tous les GDID (ce qui doit représenter une quantité de données asse énorme), ou que ces requêtes soit journalisées localement et que Microsoft y ait ensuite accès à volonté. Je doute que cet identifiant soit transmis aux serveurs web dans les en-têtes, cela aurait été décrit depuis longtemps.
Le côté positif c'est que cela va peut-être mettre définitivement un terme au mythe du VPN soit-disant « anonymisant ».
Ce qui s'est passé est plus prosaïque. Le FBI avait des IOCs (indicator of compromise), comprendre des IPs associées avec l'activité criminelle en question (notamment des IPs de sortie d'un VPN). Ils ont envoyés ça à divers entreprises pour chercher si ils ont des indices, dont Microsoft.
Le suspect a utilisé le même pc pour attaquer divers cibles via un VPN et pour aller sur Facebook et ailleurs sans VPN.
Donc Microsoft a du trouver un match entre les IOCs du FBI via le système de mise à jour (qui doit utiliser le fameux GDID), ce qui a donné d'autre IOCs (les IPs/dates hors VPNs, par exemple) que le FBI a pu corrélé avec Meta, etc pour retrouver par exemple son compte instagram, etc.
Mais bon, "le FBI fait son taf en corrélant des traces visibles depuis la lune", ça fait quand même moins de clics.
Donc Microsoft a du trouver un match entre les IOCs du FBI via le système de mise à jour (qui doit utiliser le fameux GDID),
Ce qui suppose que la personne arrêtée ait fait des mises à jour alors que le VPN était utilisé. C'est assez probable.
Mais dans ce cas, je ne m'explique pas comment cette machine en particulier avec son GDID a pu être identifiée parmi les nombreuses susceptibles d'avoir utilisé la même IP.
De ce que j'ai compris, Microsoft utilise le GDID comme login ou ce genre de choses. Ce thread semble indiqué que c'est lié à l'activation de Windows (eg, les mesures anti piratages), donc ça me choque pas que ça se retrouve dans les requêtes pour les mises à jour (qui vérifient aussi que tu as une licence Windows valable, assez logiquement).
Ensuite, oui il y a sans doute plein d'autres machines avec la même IP à un moment T, mais si tu as assez d'IP et de moment T, les chances d'avoir 2 machines ayant la même IP au même moment, sont assez faible. Une fois que le FBI a pu corréler ça avec les comptes meta ou apple, je pense que c'est mort (vu que la, ils peuvent commencer à voir que par exemple, tu t'es payé des vacances à Bali avec tes photos sur la plage alors que ton compte linkedin dit "je suis au chomage lol").
Alors de ce que je vois, c'est aussi sans doute lié à la télémétrie dans Edge (qui est optionnelle, que je sache).
Je n'utilise pas Edge, mais je suis pas non plus étonné que la télémétrie inclue des infos assez détaillés sur ce qui tourne et ce qui crashe etc, vu que par exemple, Google avait décidé de bloquer l'injection de code dans Chrome en 2019 car ça fait planter trop de choses. Comme l'a dit un dev sur Chrome en 2011, Windows est une zone de guerre avec les programmes qui viennent modifier ton code sans scrupule.
Donc ouais, je suppose que la télémétrie envoie le GDID pour que les devs puissent voir ce qui crashe, ce qui tourne, et voir que tel antivirus fait planter tel site web.
Oui cela me semble possible si plusieurs IP publiques (A et B) du VPN on été utilisées, la machine a pu être identifiée par recoupements. Mais je penche quand même pour des données de télémétrie récupérables par Microsoft qui contiennent à la fois le GDID et certaines requêtes.
Intervention mi question mi réponse : nos machines Linux génèrent également des identifiants uniques à chaque installation. Par exemple les clefs ssh identifiants la machine. Peut être y en a-t-il encore bien d'autres ? Et l'article ne raccroche pas assez à mes maigres connaissances en réseau et sécurité pour que je puisse affirmer qu'il n'arriverait pas la même mésaventure à un autre script kiddy utilisant naïvement un Linux. Quelqu'un saurait-il ?
Posté par gUI (Mastodon) .
Évalué à 5 (+2/-0).
Dernière modification le 08 juillet 2026 à 10:09.
Si mais déjà encore faut-il que le port soit forwardé sur Internet (pas le cas de ma machine perso par exemple, j'ai un bastion à la maison et rien en déplacement) et surtout la grosse différence c'est que le FBI n'a personne à qui le demander. Il va pas aller sur les forums pour demander si à tout hasard un gamin aurait pas tracé l'adresse IP machin tel jour et aurait pu suivre à la trace cette même personne.
Là si j'ai bien compris on apprend que Microsoft a en gros une base de donnée déjà prête, yapuka l'interroger. C'est la grosse différence entre "ce serait théoriquement possible" et "oui on a ça, vous cherchez quoi exactement ?"
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
comment te répondre sans donner des infos à un potentiel script-kiddie ? (qui ne se pose même pas la question, par nature)
pourquoi crois-tu que certaines données sont anonymisées dans les remontées sur https://linux-hardware.org/ ?
les adresses MAC de tes cartes (blutooth, wifi, ethernet) sont des données de ta machine…
comme indiqué plus haut, /etc/machine-id par exemple
tu peux spoofer les adresses MAC, ce qui est légitime : demande-toi ce qui les transmet :D
Bref, je ne te donne qu'un éventail de ce qui pourrait t'identifier de manière unique (non fiable), il y en a d'autres bien plus précises. Rien que parcourir https://cnil.fr t'en fournira d'autres beaucoup plus triviales.
J'ai mémoire d'une vieille histoire lié à Word qui enregistrait dans les metadata l'adresse MAC de la première carte réseau de la machine. Si je google un peu, je tombe là dessus:
Discovering the MAC Address of the System that Wrote a Word Document
Loading a Word document for any version of Office 97 and later (up to, but not including, Office XP) into a text editor that is not Word will show you the raw binary data in the document. Search that document for the keyword PID_GUID, and after some other data appears, you will see a bracket-enclosed piece of Unicode text:
{ 1 0 4 A 8 A 2 2 - 6 2 3 B - 1 1 D 4 - 8 8 D D - 0 0 D 0 B 7 1 B 0 4 C 4 }
The string 0 0 D 0 B 7 1 B 0 4 C 4 is the MAC (Media Access Control) or the hardware address MAC assigned to an Ethernet card. The Ethernet MAC is important to us because it allows us to tie the creation of a document to a particular user’s system.
This is powerful evidence in showing that a user was involved or directly responsible for
some activity.
j'ai pas de word sous la main, mais je serais curieux de savoir si ça se fait encore.
J'avais lu un magazine MISC qui disait que l'anonymat sur internet c'est très simple pour le commun des mortes, mais si tu veux être anonyme à 100% des tiers, la complexité est phénoménale et globalement, même si un premier message peut être anonyme, dès que tu donnes suite à ton premier message c'est mort. Paranoïaques s'abstenir.
# OK, ça pue c'est pas libre
Posté par cévhé . Évalué à 4 (+2/-0). Dernière modification le 08 juillet 2026 à 07:32.
néanmoins c'est un argument de plus pour utiliser linux, non ?
Je mets ça simplement en lien et pas en nourjal, je laisse de bien plus compétents que moi l'exploiter si besoin
[^] # Re: OK, ça pue c'est pas libre
Posté par Faya . Évalué à 8 (+6/-0). Dernière modification le 08 juillet 2026 à 07:32.
C'est fort dommage, ça mérite carrément un journal. Que les installations Windows aient un identifiant unique, ça ne m'étonne pas. Nos cartes réseaux en ont un, systemd aussi :
cat /etc/machine-idMais je ne comprends pas comment ça a été lié aux sites Web visités, est-ce que ce "GDID" est envoyé avec chaque requête ? Dans les headers ?
[^] # Re: OK, ça pue c'est pas libre
Posté par Voltairine . Évalué à 5 (+3/-0). Dernière modification le 08 juillet 2026 à 07:32.
C'est évidemment toute la question et le document de la justice américaine n'y répond pas vraiment.
Au vu des informations recueillies on ne peut que supposer que Microsoft opère une surveillance de masse en enregistrant toutes les requêtes associées à tous les GDID (ce qui doit représenter une quantité de données asse énorme), ou que ces requêtes soit journalisées localement et que Microsoft y ait ensuite accès à volonté. Je doute que cet identifiant soit transmis aux serveurs web dans les en-têtes, cela aurait été décrit depuis longtemps.
Le côté positif c'est que cela va peut-être mettre définitivement un terme au mythe du VPN soit-disant « anonymisant ».
[^] # Re: OK, ça pue c'est pas libre
Posté par Misc (site web personnel) . Évalué à 10 (+8/-0).
Ce qui s'est passé est plus prosaïque. Le FBI avait des IOCs (indicator of compromise), comprendre des IPs associées avec l'activité criminelle en question (notamment des IPs de sortie d'un VPN). Ils ont envoyés ça à divers entreprises pour chercher si ils ont des indices, dont Microsoft.
Le suspect a utilisé le même pc pour attaquer divers cibles via un VPN et pour aller sur Facebook et ailleurs sans VPN.
Donc Microsoft a du trouver un match entre les IOCs du FBI via le système de mise à jour (qui doit utiliser le fameux GDID), ce qui a donné d'autre IOCs (les IPs/dates hors VPNs, par exemple) que le FBI a pu corrélé avec Meta, etc pour retrouver par exemple son compte instagram, etc.
Mais bon, "le FBI fait son taf en corrélant des traces visibles depuis la lune", ça fait quand même moins de clics.
[^] # Re: OK, ça pue c'est pas libre
Posté par Voltairine . Évalué à 4 (+2/-0).
Ce qui suppose que la personne arrêtée ait fait des mises à jour alors que le VPN était utilisé. C'est assez probable.
Mais dans ce cas, je ne m'explique pas comment cette machine en particulier avec son GDID a pu être identifiée parmi les nombreuses susceptibles d'avoir utilisé la même IP.
[^] # Re: OK, ça pue c'est pas libre
Posté par Misc (site web personnel) . Évalué à 4 (+1/-0).
De ce que j'ai compris, Microsoft utilise le GDID comme login ou ce genre de choses. Ce thread semble indiqué que c'est lié à l'activation de Windows (eg, les mesures anti piratages), donc ça me choque pas que ça se retrouve dans les requêtes pour les mises à jour (qui vérifient aussi que tu as une licence Windows valable, assez logiquement).
Ensuite, oui il y a sans doute plein d'autres machines avec la même IP à un moment T, mais si tu as assez d'IP et de moment T, les chances d'avoir 2 machines ayant la même IP au même moment, sont assez faible. Une fois que le FBI a pu corréler ça avec les comptes meta ou apple, je pense que c'est mort (vu que la, ils peuvent commencer à voir que par exemple, tu t'es payé des vacances à Bali avec tes photos sur la plage alors que ton compte linkedin dit "je suis au chomage lol").
[^] # Re: OK, ça pue c'est pas libre
Posté par Voltairine . Évalué à 2 (+0/-0).
Effectivement je vois qu'il y a eu pas mal de données de connexion à des dates différentes. Merci pour l'explication.
[^] # Re: OK, ça pue c'est pas libre
Posté par Faya . Évalué à 3 (+1/-0).
Il manque quelque chose. Parce que visiblement le GDID a été rattaché à une URL précise, pas juste une communication d'une IP à une autre :
[^] # Re: OK, ça pue c'est pas libre
Posté par Misc (site web personnel) . Évalué à 4 (+1/-0).
Alors de ce que je vois, c'est aussi sans doute lié à la télémétrie dans Edge (qui est optionnelle, que je sache).
Je n'utilise pas Edge, mais je suis pas non plus étonné que la télémétrie inclue des infos assez détaillés sur ce qui tourne et ce qui crashe etc, vu que par exemple, Google avait décidé de bloquer l'injection de code dans Chrome en 2019 car ça fait planter trop de choses. Comme l'a dit un dev sur Chrome en 2011, Windows est une zone de guerre avec les programmes qui viennent modifier ton code sans scrupule.
Donc ouais, je suppose que la télémétrie envoie le GDID pour que les devs puissent voir ce qui crashe, ce qui tourne, et voir que tel antivirus fait planter tel site web.
[^] # Re: OK, ça pue c'est pas libre
Posté par Faya . Évalué à 5 (+3/-0).
Donc on aurait un pirate qui lance un hack
mais qui pensait être protégé par son VPN ? Délicieuse ironie.
[^] # Re: OK, ça pue c'est pas libre
Posté par Misc (site web personnel) . Évalué à 6 (+3/-0). Dernière modification le 08 juillet 2026 à 17:21.
En même temps, c'est aussi le matraquage des vendeurs de VPNs. Je rappelle aussi que le dit pirate, Peter Stokes, a 19 ans.
[^] # Re: OK, ça pue c'est pas libre
Posté par fearan . Évalué à 5 (+2/-0).
Je pense à une corrélation
la requête windows update est venue de IP A au moment T1
le méfait A a été commis de IP A proche de T1
la requête windows update est venue de IP B au moment T2
le méfait B a été commis de IP B proche de T2
Si c'était ajouté dans les trames IPs par la couche réseau Windows, je pense que ce serait pas une nouveauté.
Il ne faut pas décorner les boeufs avant d'avoir semé le vent
[^] # Re: OK, ça pue c'est pas libre
Posté par Voltairine . Évalué à 2 (+1/-1).
Oui cela me semble possible si plusieurs IP publiques (A et B) du VPN on été utilisées, la machine a pu être identifiée par recoupements. Mais je penche quand même pour des données de télémétrie récupérables par Microsoft qui contiennent à la fois le GDID et certaines requêtes.
[^] # Re: OK, ça pue c'est pas libre
Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) . Évalué à 3 (+0/-0).
Intervention mi question mi réponse : nos machines Linux génèrent également des identifiants uniques à chaque installation. Par exemple les clefs ssh identifiants la machine. Peut être y en a-t-il encore bien d'autres ? Et l'article ne raccroche pas assez à mes maigres connaissances en réseau et sécurité pour que je puisse affirmer qu'il n'arriverait pas la même mésaventure à un autre script kiddy utilisant naïvement un Linux. Quelqu'un saurait-il ?
« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
[^] # Re: OK, ça pue c'est pas libre
Posté par gUI (Mastodon) . Évalué à 5 (+2/-0). Dernière modification le 08 juillet 2026 à 10:09.
Si mais déjà encore faut-il que le port soit forwardé sur Internet (pas le cas de ma machine perso par exemple, j'ai un bastion à la maison et rien en déplacement) et surtout la grosse différence c'est que le FBI n'a personne à qui le demander. Il va pas aller sur les forums pour demander si à tout hasard un gamin aurait pas tracé l'adresse IP machin tel jour et aurait pu suivre à la trace cette même personne.
Là si j'ai bien compris on apprend que Microsoft a en gros une base de donnée déjà prête, yapuka l'interroger. C'est la grosse différence entre "ce serait théoriquement possible" et "oui on a ça, vous cherchez quoi exactement ?"
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: OK, ça pue c'est pas libre
Posté par BAud (site web personnel) . Évalué à 3 (+1/-0).
comment te répondre sans donner des infos à un potentiel script-kiddie ? (qui ne se pose même pas la question, par nature)
pourquoi crois-tu que certaines données sont anonymisées dans les remontées sur https://linux-hardware.org/ ?
les adresses MAC de tes cartes (blutooth, wifi, ethernet) sont des données de ta machine…
comme indiqué plus haut,
/etc/machine-idpar exempletu peux spoofer les adresses MAC, ce qui est légitime : demande-toi ce qui les transmet :D
Bref, je ne te donne qu'un éventail de ce qui pourrait t'identifier de manière unique (non fiable), il y en a d'autres bien plus précises. Rien que parcourir https://cnil.fr t'en fournira d'autres beaucoup plus triviales.
# souvenirs
Posté par octane . Évalué à 4 (+2/-0).
J'ai mémoire d'une vieille histoire lié à Word qui enregistrait dans les metadata l'adresse MAC de la première carte réseau de la machine. Si je google un peu, je tombe là dessus:
https://lessons.ee/cybersecurity/files/Hacking_Exposed_Computer_Forensics_Secrets_%2526_Solutions_2nd_Edition.pdf
et si on fouille dans le pdf, on lit bien:
j'ai pas de word sous la main, mais je serais curieux de savoir si ça se fait encore.
J'avais lu un magazine MISC qui disait que l'anonymat sur internet c'est très simple pour le commun des mortes, mais si tu veux être anonyme à 100% des tiers, la complexité est phénoménale et globalement, même si un premier message peut être anonyme, dès que tu donnes suite à ton premier message c'est mort. Paranoïaques s'abstenir.
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.