X-Client-Data başlığı Chrome istifadəçilərinin identifikasiyası metodu kimi

Müzakirə zamanı asılılıqları azaltmaq Google-un HTTP User-Agent başlığı tərkibinin birləşdirilməsi haqqında, Kiwi brauzerinin inkişafçısı diqqətini cəlb etdi Chrome-da qalan "X-Client-Data" HTTP başlığına, hansı ki, potensial olaraq bəziləri üçün iş qabiliyyətini pozur, Amazon.com-da rəsmi olaraq təqdim olunan Amazon Assistant daxil olmaqla. Avropa İttifaqında qüvvədə olan Ümumi Məlumatların Qorunması Qaydaları (GDPR). Müzakirə zamanı həmçinin Google-un ikiüzlülüyü tənqid olunub, çünki bir tərəfdən gizli identifikasiyanı və istifadəçi fəaliyyətlərinin izlənilməsini maneə törətmək üçün irəliləyir, lakin digər tərəfdən Chrome-dan X-Client-Data başlığının dəstəyini silmək üçün tələsik deyil, bu başlıq Google xidmətlərinə müraciət edərkən brauzer instansiyalarını identifikasiya etmək üçün istifadə oluna bilər. metodlar X-Client-Data başlığı gizli bir funksionallıq deyil və onun davranışı

sənədlərdə. X-Client-Data vasitəsilə Google, Chrome-dakı sınaq imkanlarının fəaliyyətini öz saytları ilə əlaqələndirərək məlumatlar alır (məsələn, Google YouTube-da müəyyən sınaq imkanlarını aktivləşdirə bilər, əgər bunlar brauzer tərəfindən dəstəklənirsə və ya sınaq funksiyalarının aktivləşdirilməsi ilə bağlı meydana çıxan problemləri uyğunlaşdırmağa çalışır). yazıldığı kimi Başlıq yalnız Google saytlarına göndərilən sorğular üçün verilir, hansı ki, "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google.<

TLD >" və "*.youtube.<TLD>" şablonlarına uyğun gəlir və HTTPS vasitəsilə göndərilir. Incognito rejimində başlıq doldurulmur, lakin istifadəçi Google-da təsdiqlənmiş profilini qonaq profili ilə dəyişdikdə və ya məlumatların təmizlənməsi əməliyyatı çağırıldıqda, başlıq sıfırlanmayaraq əvvəlki dəyəri ilə göndərilməyə davam edir. Başlıqın şəxsi tanınma məlumatlarını ehtiva etməməsi, sadəcə Chrome-un quraşdırılması və aktiv sınaq imkanlarını təsvir etdiyi bildirilir. Brauzerin istifadəsi haqqında telemetriya göndərilməsi və qəza hesabatlarının yaradılması deaktiv edildikdə, X-Client-Data başlığının təsis dəyərini yaratmaq üçün cəmi 13 bit entropiya (8000 fərqli kombinasiya) istifadə olunur ki, bu da identifikasiya üçün yetərli deyil.Başlıqda eyni zamanda bəzi sistem ayarları və parametrləri kodlaşdırıldığından, X-Client-Data-nın tərkibi, son nəticədə, istifadəçi məlumatlarının qısa bir müddət ərzində qeyri-müəyyən tanınması üçün əlavə məlumat mənbəyi kimi uyğun gəlir (sınaq imkanları zamanla aktivləşdirilib deaktiv olduğu üçün, X-Client-Data-dakı dəyərin dövrü dəyişməsi baş verir).>» və «*.youtube.», HTTPS vasitəsilə göndərilir. İnternetdəki gizli rejimdə başlıq doldurulmur, lakin istifadəçinin Google hesabındakı autentiq edilmiş profilinin qonaq profilinə dəyişdirilməsi və ya məlumatların silinməsi əməliyyatı çağırıldığında başlıq sıfırlanmır və əvvəlki dəyərlə göndərilməyə davam edir.

İddia olunur ki, başlıq şəxsi identifikasiya edilə bilən məlumatlar içermir və yalnız Chrome quraşdırmasının vəziyyətini və aktiv eksperimental imkanları təsvir edir. Əgər tənzimləmələrdə brauzerin istifadəsi ilə bağlı telemetriyanın göndərilməsi və qəza hesabatlarının yaradılması deaktiv edilibsə, X-Client-Data başlığının əsas dəyərinin yaradılması üçün cəmi 13 bit entropiya istifadə olunur (8000 fərqli kombinasiya), bu isə identifikasiya üçün kifayət deyil.

Başlığın bəzilərinin sistem parametrləri və ayarlarını da kodlaşdırdığını nəzərə alaraq, nəticədə X-Client-Data'nın məzmunu qısa müddət ərzində istifadəçi üçün dolayısı ilə identifikasiya etmək üçün əlavə məlumat mənbəyi kimi tam uyğun olur (eksperimental imkanlar zamanla açılır və bağlanır, bu da X-Client-Data-da dəyərin dövri olaraq dəyişməsinə səbəb olur).

Bununla birlikte, X-Client-Data'nın değerinin oluşumunda başlangıç entropisinin yanı sıra, Google sunucuları tarafından döndürülen ve ülkeye, IP adresine ve Google'ın önemli bulacağı diğer kriterlere bağlı olan bir seed dizisi de kullanılıyor (örneğin, kesin bir tanımlayıcı haline gelecek büyük rastgele bir dizi döndürmekten kimseyi alıkoyan bir şey yok).
Ayrıca, X-Client-Data gönderilirken Google'ın alan adı maskeleri kontrolü, kötü niyetli bir kişinin ‘youtube.xn--55qx5d’ gibi bir alan adı kaydetmesini ve tanımlayıcıları toplamaya başlamasını dışlamaz.

Mənbə: opennet.ru