Заглавката на X-Client-Data като метод за идентифициране на потребителите на Chrome

При обсъждане инициативи Google за уеднаквяване на съдържанието на HTTP User-Agent header, разработчик на браузъра Kiwi забелязано към HTTP заглавката „X-Client-Data“, оставаща в Chrome, което потенциално нарушава Общ регламент за защита на данните в сила в Европейския съюз (GDPR). По време на дискусии Критикувана е и двойствеността в действията на Google, която от една страна насърчава методи за блокиране на скритата идентификация и проследяване на действията на потребителите, но от друга страна, не бърза да премахне поддръжката на заглавката X-Client-Data от Chrome, която може да се използва за идентифициране на екземпляри на браузъра при достъп до услугите на Google.

Заглавката X-Client-Data не е скрита функционалност и нейното поведение е описано в документацията. Чрез X-Client-Data Google получава данни за активността на определени експериментални функции в Chrome във връзка със своите сайтове (например по време на експеримент Google може да активира определени тестови функции в Youtube, ако се поддържат от браузъра или да се опита да корелират проблеми с експериментални функции за активиране).

Заглавие изложени само за заявки към сайтове на Google, които съответстват на маските „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.TLD>" и "*.youtube. “ и изпратено чрез HTTPS. В режим „инкогнито“ заглавката не се попълва, но ако удостовереният профил в Google на потребителя се промени на профил на гост или когато се извика операция за изчистване на данни, заглавката не се нулира и продължава да се изпраща със същата стойност.

Посочено е, че заглавката не съдържа лична информация и описва само състоянието на инсталиране на Chrome и активните експериментални функции. Ако телеметрията за използване на браузъра и докладването за сривове са деактивирани в настройките, генерирането на базовата стойност на заглавката на X-Client-Data използва само 13 бита ентропия (8000 различни комбинации), което не е достатъчно за идентификация.

Като се има предвид, че заглавката също кодира някои системни настройки и параметри, в крайна сметка съдържанието на X-Client-Data е доста подходящо като допълнителен източник на данни за непряка потребителска идентификация за кратък период от време (експерименталните възможности се активират и деактивират с течение на времето, което води до периодична промяна на стойността в X-Client-Data).

Въпреки това, в допълнение към първоначалната ентропия, при генериране на стойността на X-Client-Data има и начална последователност, върната от сървърите на Google и в зависимост от държавата, IP адреса и други критерии, които Google счита за важни (например нищо не пречи от връщането на голяма произволна последователност, която ще стане точният идентификатор).
В допълнение, проверката с помощта на маски на домейни на Google при изпращане на X-клиентски данни не изключва ситуации, при които нападател може да регистрира домейн като „youtube.xn--55qx5d“ и да започне да събира идентификатори.

Източник: opennet.ru