Ved diskussionen Google om ensretning af indholdet i HTTP-headeren User-Agent, udvikleren af browseren Kiwi den tilbageholdte HTTP-header "X-Client-Data" i Chrome, som potentielt den gældende generelle databeskyttelsesforordning i EU (). Under blev også virksomhedens dobbelte standard kritiseret, idet Google på den ene side at blokere for skjult identifikation og overvågning af brugeraktiviteter, men på den anden side ikke haster med at fjerne understøttelsen af headeren X-Client-Data fra Chrome, som kan anvendes til at identificere instanser af browseren, når man benytter sig af Googles tjenester.
Headeren X-Client-Data er ikke en skjult funktionalitet, og dens opførsel er dokumenteret. Gennem X-Client-Data modtager Google data om aktiviteterne ved forskellige eksperimentelle funktioner i Chrome i forhold til deres egne websteder (for eksempel kan Google under et eksperiment aktivere bestemte testmuligheder på YouTube, hvis de understøttes af browseren, eller forsøge at matche de opståede problemer med aktiveringen af eksperimentelle funktioner).
Overskrift kun for anmodninger til Googles websteder, der svarer til mønstrene "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google.<>", og "*.youtube.", og sendes via HTTPS. I inkognito-tilstand udfyldes headeren ikke, men hvis den autentificerede Google-brugerprofil skiftes til en gæsteprofil, eller når der kaldes en datafejlsbehandlingsoperation, nulstilles headeren ikke og fortsætter med at blive sendt med den tidligere værdi.
Det er blevet erklæret, at headeren ikke indeholder personligt identificerbar information, men kun beskriver tilstanden af Chrome-installationen og aktive eksperimentelle funktioner. Hvis indstillingerne for sending af telemetry om browserens brug og generering af fejllrapporter er deaktiveret, bruges kun 13 bit entropi (8000 forskellige kombinationer) til at generere den grundlæggende værdi af headeren X-Client-Data, hvilket er utilstrækkeligt til at identificere.
Da nogle indstillinger og systemparametre også kodes i overskriften, kan indholdet af X-Client-Data i sidste ende fungere som en yderligere datakilde til indirekte brugeridentifikation i en kort periode (eksperimentelle funktioner aktiveres og deaktiveres over tid, hvilket fører til periodisk ændring af værdien i X-Client-Data).
Desuden anvendes der, ud over den indledende entropi ved dannelsen af værdien X-Client-Data, også en seed-sekvens, der returneres af Googles servicer og som afhænger af landet, IP-adressen og andre kriterier, som Google anser for vigtige (for eksempel er der intet, der forhindrer, at en stor tilfældig sekvens returneres, som bliver en præcis identifikator).
Ydermere udelukker kontrol af domænemasker i Google ved afsendelse af X-Client-Data ikke situationer, hvor en angriber kan registrere et domæne som "youtube.xn--55qx5d" og begynde at indsamle identifikatorer.
Kilde: opennet.ru
