Windscribe发布deGDID脚本：清除并永久阻断Windows底层GDID追踪

2026年8月6日，Windscribe在GitHub平台公开发布一款名为deGDID的PowerShell脚本，旨在帮助用户识别、清除并阻止Windows系统中Global Device Identifier（GDID）这一隐藏式设备标识符的生成与回传。

GDID是微软嵌入Windows操作系统底层的持久性设备标识机制，无需用户主动启用，亦无官方配置选项可供关闭。该标识在系统连接微软服务时自动发送，即使更换网络地址或使用代理服务器，亦无法规避。此前，执法机构曾借助GDID定位特定设备使用者，引发公众对系统级追踪能力的广泛关切。

deGDID脚本提供四项主要操作模式：

- 使用Status参数可查询当前系统是否存在活跃的GDID缓存；

- 加入Redact选项后，脚本将生成脱敏诊断日志，在保留排查信息的同时隐去敏感标识内容；

- Protect为关键防护模式：首先清除注册表中已存储的GDID密钥，继而调整对应注册表项的访问控制列表（ACL）权限，防止系统再次写入；同时在本地防火墙层面禁用DeviceAdd通信端点，切断设备向微软身份服务上报识别信息的路径；

- Unprotect用于撤销上述防护措施，恢复系统原有行为。

测试表明，仅手动删除GDID密钥无法实现长效防护——系统重启或接入微软服务后，标识将被自动重建。因此，deGDID的设计逻辑强调“清除”与“阻断”同步实施。

在Windows 11环境下实测，启用Status可检测到多个历史GDID缓存；执行Protect后重启系统，未再出现新标识。但需注意，部分依赖微软账户深度集成的功能将受到影响：例如基于login.live.com的账户登录流程在所有浏览器中被拦截，部分微软应用可能出现连接异常；而login.microsoftonline.com及其他非核心服务仍可正常运行。

须特别说明的是，该脚本无法删除已上传至微软服务器的既有GDID数据；仅适用于未加入企业域环境的本地管理员账户，若设备已归属组织管理域，则脚本将自动终止执行。

目前，deGDID仍处于技术探索阶段，后续更新将依据对GDID底层机制的持续分析与验证逐步推进。