Welche Hardware-Kennungen tatsächlich ausgelesen werden
Seriennummern von Mainboard und Datenträgern, SMBIOS UUID, MAC-Adressen, TPM, GPU UUID, Volume-IDs und die MachineGuid in der Registry: wo jeder Wert liegt und was ein Spoofer auf Kernel-Ebene ändern kann und was nicht.
Kurze Antwort
Software liest keine einzelne HWID, sondern eine zusammenhängende Menge: Seriennummern von Mainboard und Datenträgern, SMBIOS UUID, MAC-Adressen, den Zustand des TPM, GPU UUID, Volume-IDs und die MachineGuid. Ein Spoofer auf Kernel-Ebene kann ändern, was Windows zu den meisten davon meldet, aber keine Werte aus signierter Firmware.
Auf dieser Seite10
- Gibt es eine einzelne HWID?
- Wo liegt jede Kennung und lässt sie sich spoofen?
- Was ändert ein Spoofer auf Kernel-Ebene?
- Was kann ein Spoofer auf Kernel-Ebene nicht ändern?
- Warum fallen unpassende Werte auf?
- Kann eine einzige übersehene Kennung den Rest zunichtemachen?
- Was dich außer der Hardware noch identifiziert
- Solltest du diese Werte selbst ändern?
- Häufige Fragen zu Hardware-Kennungen
- Quellen
Gibt es eine einzelne HWID?
Nein. HWID ist eine bequeme Abkürzung für etwas, das als einzelner Wert gar nicht existiert. Was existiert, ist eine Menge von Kennungen, jede auf eigenem Weg gelesen und jede mit eigener Herkunft und Lebensdauer. Software, die einen Rechner wiedererkennen will, liest mehrere davon und speichert die Kombination, oft als gemeinsamen Hash. Genau wegen dieses Aufbaus sind Teiländerungen so schwach: Die übrigen Werte reichen meistens, damit die Menge wieder passt.
Wo liegt jede Kennung und lässt sie sich spoofen?
In der letzten Spalte meint Spoofbarkeit das, was ein Werkzeug auf Kernel-Ebene an den Antworten des Betriebssystems ändern kann. Sie bedeutet nie, dass der physische Wert in einem Chip überschrieben wurde.
| Kennung | Wo sie liegt | Ausgelesen über | Übliche Spoofbarkeit |
|---|---|---|---|
| Seriennummer des Mainboards | SMBIOS-Tabellen in der Firmware des Boards | Win32_BaseBoard | Der gemeldete Wert wird üblicherweise auf Ebene des Betriebssystems geändert. Der in der Firmware gespeicherte Wert nicht |
| System-UUID | SMBIOS-Systeminformationen, gesetzt bei der Fertigung | Win32_ComputerSystemProduct | Wird üblicherweise auf Ebene des Betriebssystems geändert. Wird überall gelesen und gehört deshalb oft zur Menge |
| Seriennummer und Version des BIOS | Firmware des Boards | Win32_BIOS | Der gemeldete Wert wird üblicherweise geändert; ein Wert, der nicht zum Modell des Boards passt, ist selbst schon ein Signal |
| Seriennummern der Datenträger | Die Firmware des Laufwerks, zurückgegeben vom Identify-Befehl über SATA oder NVMe | Win32_DiskDrive, Storage-APIs | Der vom Betriebssystem gemeldete Wert wird üblicherweise geändert. Das Laufwerk kennt seine echte Seriennummer weiterhin |
| Seriennummer und GUID des Volumes | Metadaten des Dateisystems auf der Partition, angelegt beim Formatieren | vol, Get-Volume, Volume-APIs | Ändert sich beim Formatieren und wird üblicherweise neu erzeugt. Leicht zu lesen, also auch leicht zu korrelieren, wenn sie übersehen wird |
| MAC-Adressen | Das EEPROM des Netzwerkadapters, darüber eine Override-Schicht des Betriebssystems | getmac, Win32_NetworkAdapter | Die gemeldete Adresse wird üblicherweise geändert. Die eingebrannte Adresse bleibt im Adapter |
| Identität und Attestierungsschlüssel des TPM | Der TPM-Chip, mit Schlüsseln, die der Hersteller zertifiziert hat | Win32_Tpm, APIs zur Attestierung der Plattform | Nicht fälschbar. Ein vom Hersteller signierter Schlüssel lässt sich per Software nicht erfinden, auch wenn sich der Zustand des TPM löschen oder das Gerät deaktivieren lässt, beides mit eigenen Folgen |
| GPU UUID | Die Firmware der Grafikkarte, bereitgestellt vom Treiber des Herstellers | Tools und Treiber-APIs des Herstellers | Wird von einem Spoofer auf Ebene des Betriebssystems in der Regel nicht geändert. Wird über den Treiber des Herstellers gelesen und nicht über SMBIOS |
| MachineGuid in der Registry | Ein Registry-Wert, der bei der Installation von Windows angelegt wird | Der Cryptography-Schlüssel unter HKLM | Reiner Wert des Betriebssystems: ändert sich bei einer sauberen Installation und wird üblicherweise neu erzeugt |
| Installations- und Produktkennungen von Windows | Registry, geschrieben bei Installation und Aktivierung | Registry und Lizenzierungs-APIs | Werte des Betriebssystems, zurückgesetzt durch eine saubere Installation |
| Identifikation der CPU | Der Prozessor selbst | CPUID | Meldet bei Consumer-Modellen eine Modellbezeichnung und keine Seriennummer des einzelnen Exemplars, ist also eine schwache Kennung und selten die entscheidende |
| Seriennummer des Monitors im EDID | Die Firmware des Displays | Display-APIs und der Display-Schlüssel in der Registry | An sich keine Kennung des Rechners, aber sie ist auslesbar und bleibt, wenn du Teile im PC tauschst |
Die Tabelle zeigt, wo Werte liegen und wie sie gelesen werden. Sie ist keine Liste von Dingen, die du bearbeiten sollst, und warum, erklärt die Warnung zum Ändern von Hand.
Was ändert ein Spoofer auf Kernel-Ebene?
Ein Werkzeug auf Kernel-Ebene sitzt unterhalb der APIs, die normale Software benutzt. Wenn ein Client Windows nach der Seriennummer eines Datenträgers oder des Boards fragt, bekommt er die Antwort, die das Werkzeug liefert. Das ist wirklich wirkungsvoll, denn fast alles, was Kennungen liest, liest sie über genau diese Wege. Aber mehr passiert auch nicht: Das Werkzeug ändert eine Antwort und keinen Chip.
Was kann ein Spoofer auf Kernel-Ebene nicht ändern?
Drei Arten von Werten widersetzen sich ihm. Die erste ist alles, was in signierter Firmware liegt, allen voran das, was ein TPM zertifiziert. Diese Werte lassen sich nicht fälschen, weil die Signatur von einem Schlüssel stammt, den das Werkzeug nicht hat. Die zweite sind Werte, die über einen Weg gelesen werden, den das Werkzeug nicht abdeckt: Eine GPU-Kennung, die über den Treiber des Herstellers geholt wird, kommt unverändert zurück. Die dritte sind physische Werte, und die bleiben physisch. Das Laufwerk kennt weiterhin seine Seriennummer und der Netzwerkadapter seine eingebrannte Adresse, egal was Windows darüber meldet. Ein Werkzeug, das etwas anderes behauptet, beschreibt Marketing und keinen Mechanismus.
Info
Warum fallen unpassende Werte auf?
Eine Menge von Kennungen, die nicht zusammenpasst, ist auffälliger als die ursprüngliche. Denk an die Seriennummer eines Notebook-Boards auf einem Desktop-Chipsatz oder an eine Seriennummer eines Datenträgers in einem Format, das dieser Hersteller nie verwendet hat. Ein Board-Modell, das es nicht gibt, oder Werte, die sich bei jedem einzelnen Auslesen ändern, fallen genauso auf. Jeder dieser Fälle ist für sich schon ein Muster, und deshalb sind zufällige Werte nicht dasselbe wie sichere. Und deshalb zählt es mehr, wie plausibel die Werte sind, die ein Werkzeug wählt, als wie viele Felder es anfasst.
Kann eine einzige übersehene Kennung den Rest zunichtemachen?
Wenn die erfasste Menge aus acht Werten bestand und sieben davon jetzt anders gelesen werden, kann der achte trotzdem auf den alten Eintrag passen. Ob er das tut, hängt davon ab, wie der Anbieter Werte korreliert, und das wird nicht veröffentlicht, geh also davon aus, dass das schwächste Glied über das Ergebnis entscheidet. Das ist das praktische Argument dafür, jeden Wert zu prüfen, den du auslesen kannst, statt einer Zusammenfassung auf dem Bildschirm zu vertrauen.
Was dich außer der Hardware noch identifiziert
Leute kaufen ein Werkzeug für die Hardware in der Erwartung, dass es auch damit fertigwird, aber das tut es nicht, und kein anderes lokales Werkzeug tut es auch.
- Der Account selbst und alles, was die Plattform zu ihm erfasst hat
- Die E-Mail-Adresse und die Telefonnummer, die an diesem Account hängen
- Die Zahlungsmethode, mit der du das Spiel oder das Guthaben der Plattform gekauft hast
- Deine IP-Adresse, dein Provider und das Netzwerk, in dem du spielst
- Wie du spielst: Aim-Spuren, Timings, statistische Ausreißer, die Zahl der Meldungen
- Deine Freundesliste und die Leute, mit denen du in die Queue gehst
- Alles, was du in einem öffentlichen Kanal über dich selbst erzählst
Achtung
Solltest du diese Werte selbst ändern?
Nein. Bearbeite diese Werte nicht von Hand, weder in der Registry noch in der Firmware eines Boards. Das Ändern von Hand riskiert einen Rechner, der nicht mehr bootet, eine verlorene Aktivierung und einen Streit über die Garantie. Es kann außerdem eine Menge von Kennungen hinterlassen, die so widersprüchlich ist, dass sie mehr auffällt als die ursprüngliche. Willst du sehen, was dein Rechner meldet, listet die Anleitung zur Prüfung Befehle auf, die nur lesen. Das Ändern ist Sache des Werkzeugs, und tun sollte es nur ein Werkzeug, das dafür gebaut wurde.
Häufige Fragen zu Hardware-Kennungen
Welche Kennung nutzen Anticheats tatsächlich?
Das wird nicht veröffentlicht, es unterscheidet sich je nach Anbieter und ändert sich mit der Zeit. Alles, was zu konkreten Gewichtungen kursiert, sind Rückschlüsse der Community, plane deshalb mit der ganzen Menge und nicht mit einem einzelnen Wert.
Behebt ein neuer Datenträger einen Hardware-Ban?
Nicht zuverlässig. Enthielt die erfasste Menge Werte von Board, UUID, MAC oder TPM, ändert ein neuer Datenträger ein Element und lässt den Rest weiter passen.
Ändert eine saubere Windows-Installation meine HWID?
Sie ändert Werte des Betriebssystems wie die MachineGuid, die Kennungen der Installation und die Seriennummern der Volumes, aber sie fasst nichts in der Firmware an. Für sich genommen ist sie kein Wechsel der Identität der Hardware.
Ist das TPM ein Problem?
Es ist das Element, mit dem sich am schwersten ehrlich umgehen lässt, weil seine Schlüssel vom Hersteller zertifiziert sind und sich nicht fälschen lassen. Was mit dem Zustand des TPM möglich ist, hängt von deinem Board und deinem Werkzeug ab, aber wer behauptet, eine Attestierung zu fälschen, übertreibt.
Zählt eine geänderte MAC-Adresse, wenn ich über WLAN spiele?
Jeder Adapter hat seine eigene Adresse, ob mit Kabel oder ohne, und jede davon lässt sich auslesen. Prüfe alle Adapter, statt anzunehmen, dass nur der sichtbar ist, über den du verbunden bist.
Quellen
Bis auf die Seriennummer im EDID ist die Tabelle Arbeit am Prüfstand: Das Team hat diese Werte auf den eigenen Rechnern ausgelesen. Kein Anbieter veröffentlicht, welche davon ein Anticheat nutzt.
- 01VESA E-EDID standard, release A2
die Seriennummer, die ein Monitor in seinen eigenen EDID-Daten führt
glenwing.github.io
Weiterlesen
Kommst du nicht weiter? Ticket auf Discord öffnen
Alle Anleitungen