Идентификационные признаки в Windows

Ответить на этот вопрос проще, чем кажется.

Особенно, если воспользоваться утилитой dd для получения дампа ВСЕХ секторов флешки "до момента вставки в компьютер" и "после извлечения из компьютера"

Итак, если Вы ничего не делаете с флешкой - то следов не остаётся.

Если же Вы копируете файлы с компьютера на флешку - то у Вас возникает опасноть утечки информации через сами файлы.

Примеры:

1. Файлы word, excel, powerpoint и т.п. - в общем, microsoft office - содержат имя автора, на котрого, как правило, зарегистрирован офис. Можно покопаться - вполне возможно, что они содержат и имя компьютера.

2. Фотографии в практически любом популярном формате содержат EXIF - информацию, которая включает в себя геолокационные координаты, название устройства, которым был сделан снимок, время, когда он был сделан, а также специфические фото-параметры, такие, как выдержка и диафрагма.

Думаю, что файлы любого сложного формата содержат достаточно информации для того, чтобы сказать, что "с большой вероятностью этот файл был создан вот на этом компьютере". Исключением являются чисто текстовые файлы и файлы с открытым форматом - как правило, в таких местах просто невозможно оставить лишний идентификатор

Таким образом, сами файлы, скопированные с компьютера на флешку, представляют собой источник информации для идентификации.

Отдельно стоит обратить внимание на содержимое флешки в случае, когда флешка форматируется на компьютере: в этом случае компьютер записывает туда загрузочный сектор. Правда, мне не удалось в загрузочном секторе найти прямо идентификатор компьютера, но при этом формируется метка тома. Возможно, эта метка тома остаётся где то в логах на самом компьютере.

Может быть, Вы уточните Ваш вопрос, чтобы мой ответ можно было сделать более полезным?

Дополнение после комментария автора вопроса

Вы можете поставить "натурный эксаперимент", если самостоятельно проделаете то, что я сделал в самом начале: снимите дампф флешки, воткнёте её в компьютер и потом снимете дамп еще раз. На таком дампе Вы увидите, что в логической структуре флешки накаих изменений не произошло.

Думаю, если бы Windows нагло помечала все флешки, до котрых она можетт дотянуться, то это был бы epic fail. Поэтому такой наглой пометки не происходит.

Но, ВОЗМОЖНО, существует софт, который специально оставляет следы на носителях, причём стараясь сделать это незаметно. Например, это можно сделать, если писать внутрь сектора "после конца файла". Просто несколько байт, которые следуют за файлом, никак на него не влияя. Но если знать "куда посмотреть" - то Вы эти изменения найдёте - такой фокус можно обнаружить на уровне снятия дампа флешки.

Если точно отвечать на вопрос: " в каких случаях компьютер с Windows может оставить на флешке индивидуальные идентификационные признаки, которые указывают на этот компьютер". Ответ будет следующим. В случае использования стандартных настроек Windows 7/8/10.

После монтирования съёмного накопителя на нём создается каталог System Volume Information со следующими файлами: IndexerVolumeGuid,WPSettings.dat. Первый файл нужен встроенной службе индексирования. Второй - службе хранилища.

В первом хранится уникальный GUID, используемый службой. Описание формата 2-го файла - отсутствует в общем доступе. Но даже если включить опции локальной политики, которые отключают создание этих файлов, то в реестре компьютера остается запись о подключенном устройстве, которая позволяет однозначно идентифицировать его ID и время подключения (за исключением случаев с несколькими идентичными флешками).

Таким образом можно сопоставить конкретную флешку - конкретному компьютеру. Но вот можно ли сопоставить конкретный компьютер - подключаемой флешке? Это вопрос к Microsoft, которая имеет возможность собирать сведения телеметрии ОС Windows.

P.S. надеюсь под флешкой автор вопроса имел в виду накопители данных USB-интерфейса. А не USB-токены, в которые входят класс устройств шифрования, класс HID-устройств и пр.