Při diskusi Google o unifikaci obsahu HTTP hlavičky User-Agent, vývojář prohlížeče Kiwi zůstávající v Chrome HTTP hlavičky „X-Client-Data“, která potenciálně podléhá obecnému nařízení o ochraně osobních údajů v Evropské unii (). Během také byla kritizována dvojí politika společnosti Google, která na jedné straně blokování skryté identifikace a sledování činností uživatelů, ale na druhé straně nespěchá k odstranění podpory hlavičky X-Client-Data z Chrome, která může být použita k identifikaci instancí prohlížeče při přístupu k službám Google.
Hlavička X-Client-Data není skrytou funkcionalitou a její chování v dokumentaci. Přes X-Client-Data společnost Google získává údaje o aktivitách určitých experimentálních možností v Chrome v návaznosti na své weby (například během experimentu může Google aktivovat na YouTube určité testovací možnosti, pokud jsou podporovány prohlížečem, nebo se pokusit porovnat vzniklé problémy s aktivací experimentálních funkcí).
Nadpis pouze pro dotazy na weby Google, které odpovídají vzorům „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.<>“ a „*.youtube.“, a odesílány přes HTTPS. V režimu inkognito hlavička není vyplněna, ale v případě změny autentizovaného uživatelského profilu v Google na hostitelský profil nebo při vyvolání operace vymazání dat se hlavička neresetuje a pokračuje v odesílání se starou hodnotou.
Bylo uvedeno, že hlavička neobsahuje osobně identifikovatelné informace, ale pouze popisuje stav instalace Chrome a aktivní experimentální funkce. Pokud je v nastavení zakázáno odesílání telemetrie o používání prohlížeče a generování zpráv o pádech, při generování výchozí hodnoty hlavičky X-Client-Data se používá pouze 13 bitů entropie (8000 různých kombinací), což nestačí k identifikaci.
Vzhledem k tomu, že v záhlaví jsou kódovány také některé nastavení a parametry systému, je obsah X-Client-Data v konečném důsledku vhodným dodatečným datovým zdrojem pro nepřímou identifikaci uživatele na krátkou dobu (experimentální funkce se časem zapínají a vypínají, což vede k občasné změně hodnoty v X-Client-Data).
Nicméně kromě počáteční entropie při vytváření hodnoty X-Client-Data se také používá seed-sekvence vrácená servery Google, která závisí na zemi, IP adrese a dalších kritériích, která Google považuje za důležitá (například nic nebrání vrátit velkou náhodnou sekvenci, která se stane přesným identifikátorem).
Kromě toho kontrola podle masky domén Google při odesílání X-Client-Data nevylučuje situace, kdy útočník může zaregistrovat doménu ve tvaru „youtube.xn--55qx5d“ a začít shromažďovat identifikátory.
Zdroj: opennet.ru
