Заглавие X-Client-Data като метод за идентификация на потребителите на Chrome

При обсъждане инициативата Google за унификация на съдържанието на HTTP заглавката User-Agent, разработчикът на браузъра Kiwi обърна внимание на оставащата в Chrome HTTP заглавка „X-Client-Data“, която потенциално нарушава подлежи на общия регламент за защита на данните (GDPR). По време на в дискусията също така беше критикувана двойнствеността на действията на компанията Google, която от една страна промотира методи блокирането на скритата идентификация и проследяването на действията на потребителите, но от друга страна не се бави с премахването на поддръжката на заглавката X-Client-Data от Chrome, която може да се използва за идентифициране на инстанции на браузъра при достъп до услугите на Google.

Заглавието X-Client-Data не е скрита функционалност и неговото поведение е описано. в документацията. Чрез X-Client-Data компанията Google получава данни за активността на определени експериментални възможности в Chrome, свързани със своите сайтове (например, по време на експеримент Google може да активира определени тестови функции в Youtube, ако са поддържани от браузъра или да се опита да сопостави възникващите проблеми с активирането на експерименталните функции).

Заглавие се задава само за заявки към сайтовете на Google, които отговарят на шаблоните „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.<TLD>“ и „*.youtube.“, и се изпращат чрез HTTPS. В режим инкогнито заглавието не се запълва, но в случай на смяна на аутентифицирания потребителски профил в Google на гост профил или при извикване на операция за изчистване на данни, заглавието не се нулира и продължава да се изпраща с предходното значение.

Заявява се, че заглавието не съдържа лично идентифицираща информация, а само описва състоянието на инсталацията на Chrome и активните експериментални функции. Ако в настройките е изключена изпращането на телеметрия за използването на браузъра и генерирането на отчети за сривове, при генерирането на основната стойност на заглавката X-Client-Data се използват само 13 бита ентропия (8000 различни комбинации), което е недостатъчно за идентификация.

С оглед на факта, че заглавието също кодифицира някои настройки и параметри на системата, накрая съдържанието на X-Client-Data напълно подхожда като допълнителен източник на данни за косвена идентификация на потребителя за кратък период от време (експерименталните функции с времето се включват и изключват, което води до периодична смяна на стойността в X-Client-Data).

Въпреки това, освен началната ентропия при генериране на стойността на X-Client-Data, също се използва последователност seed, връщана от сървърите на Google и зависеща от страната, IP адреса и други критерии, които Google счита за важни (например, нищо не пречи да се върне дълга произволна последователност, която да стане точен идентификатор).
Освен това, проверката на домейн маските на Google при изпращане на X-Client-Data не изключва ситуации, в които злонамерените лица могат да регистрират домейн от вида „youtube.xn--55qx5d“ и да започнат да събират идентификатори.

Източник: opennet.ru