Заглавие X-Client-Data като метод за идентификация на потребители в Chrome

При обсъждане инициативи Google относно уеднаквяването на съдържанието на HTTP заглавката User-Agent, разработчикът на браузъра Kiwi обърна внимание на останалата в Chrome HTTP заглавка „X-Client-Data“, която потенциално нарушава влизащия в сила в Европейския съюз Общ регламент за защита на данните (GDPR). В хода на дискусията беше критикувана и двойствеността на действията на компанията Google, която от една страна препоръчва методи блокиране на скритата идентификация и проследяване на действията на потребителите, но от друга страна не бърза да премахне от Chrome поддръжката на заглавката X-Client-Data, която може да се използва за идентификация на екземпляри на браузъра при достъп до услугите на Google.

Заглавието X-Client-Data не е скрита функция и неговото поведение е описано в документацията. Чрез X-Client-Data компанията Google събира данни за активността на определени експериментални функции в Chrome, свързани с техните сайтове (например, в хода на експеримента Google може да активира в Youtube определени тестови функции, ако те се поддържат от браузъра или да се опита да сопостави възникнали проблеми с активирането на експерименталните функции).

Заглавието се изпраща само за заявки към сайтове на Google, отговарящи на шаблоните „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.<TLD>» и „*.youtube.“, и изпращани чрез HTTPS. В режим на инкогнито заглавието не се попълва, но в случай на смяна на удостоверения потребителски профил в Google на гост профил или при извикване на операция по почистване на данни, заглавието не се нулира и продължава да се изпраща със същата стойност.

Декларирано е, че заглавието не съдържа лично идентифицируема информация, а само описва състоянието на инсталацията на Chrome и активните експериментални функции. Ако в настройките е изключена изпращането на телеметрия за използването на браузъра и генерирането на отчети за сривове, при генерирането на основното значение на заглавката X-Client-Data се използват само 13 бита ентропия (8000 различни комбинации), което е недостатъчно за идентификация.

Като се вземат предвид и настройките, кодирани в заглавието, X-Client-Data може да служи като допълнителен източник на данни за косвена идентификация на потребителя за кратък период от време (експерименталните функции понякога се включват и изключват, което води до периодични промени в стойността на X-Client-Data).

Въпреки това, освен началната ентропия при генериране на стойността на X-Client-Data, се използва и seed-последователност, предоставяна от сървърите на Google, която зависи от страната, IP-адреса и други критерии, които Google счита за важни (например, нищо не пречи да се върне голяма произволна последователност, която става точен идентификатор).
Освен това проверката на домейн маски от Google при изпращане на X-Client-Data не изключва ситуации, в които злоумеец може да регистрира домейн от типа „youtube.xn--55qx5d“ и да започне да събира идентификатори.

Източник: opennet.ru