Der Header X-Client-Data als Methode zur Identifizierung von Chrome-Nutzern

Bei der Diskussion Initiative Google über die Vereinheitlichung des HTTP-Header-Inhalts User-Agent, wies der Entwickler des Kiwi-Browsers darauf hin auf den verbleibenden HTTP-Header «X-Client-Data» in Chrome, der potenziell verstößt gegen die in der Europäischen Union geltende Datenschutzgrundverordnung (DSGVO). Im Verlauf der Diskussion wurde auch die Ambivalenz der Maßnahmen von Google kritisiert, die auf der einen Seite Maßnahmen zur Blockierung der verdeckten Identifizierung und Verfolgung von Benutzern Methoden propagiert, aber auf der anderen Seite sich nicht beeilt, die Unterstützung des Headers X-Client-Data aus Chrome zu entfernen, der zur Identifizierung von Browserinstanzen bei der Nutzung von Google-Diensten verwendet werden kann.

Der Header X-Client-Data ist keine versteckte Funktionalität, und sein Verhalten beschrieben findet sich in der Dokumentation. Über X-Client-Data erhält Google Daten über die Aktivität bestimmter experimenteller Funktionen in Chrome in Bezug auf seine Websites (zum Beispiel kann Google im Laufe eines Experiments auf YouTube bestimmte Testfunktionen aktivieren, wenn sie vom Browser unterstützt werden, oder versuchen, Probleme zuzuordnen, die bei der Aktivierung experimenteller Funktionen auftreten).

Header wird angezeigt nur für Anfragen an Google-Webseiten, die den Mustern „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.“ und „*.youtube.“ entsprechen, und über HTTPS gesendet werden. Im Inkognito-Modus wird der Header nicht ausgefüllt, jedoch wird der vorherige Wert des Headers nicht zurückgesetzt, wenn das authentifizierte Benutzerprofil in Google auf ein Gastprofil geändert wird oder die Datenbereinigung aufgerufen wird.TLD“ und „*.youtube.“, und über HTTPS gesendet. Im Inkognito-Modus wird der Header nicht ausgefüllt, jedoch wird der vorherige Wert des Headers nicht zurückgesetzt, wenn das authentifizierte Benutzerprofil in Google auf ein Gastprofil geändert wird oder die Datenbereinigung aufgerufen wird.

Es wird behauptet, dass der Header keine persönlich identifizierbaren Informationen enthält, sondern nur den Status der Chrome-Installation und aktive experimentelle Funktionen beschreibt. Wenn in den Einstellungen das Senden von Telemetrie zur Browsernutzung und das Generieren von Absturzberichten deaktiviert ist, werden bei der Generierung des Basiswerts des X-Client-Data-Headers nur 13 Bit Entropie (8000 verschiedene Kombinationen) verwendet, was nicht ausreicht, um eine Identifizierung zu ermöglichen.

Da im Header auch bestimmte Einstellungen und Systemparameter kodiert sind, eignet sich der Inhalt von X-Client-Data letztendlich gut als zusätzliche Datenquelle zur indirekten Identifikation eines Nutzers über einen kurzen Zeitraum hinweg (experimentelle Funktionen werden im Laufe der Zeit aktiviert und deaktiviert, was zu einem periodischen Wechsel des Wertes in X-Client-Data führt).

Allerdings wird neben der anfänglichen Entropie auch eine Seed-Sequenz verwendet, die von den Google-Servern zurückgegeben wird und von dem Land, der IP-Adresse und anderen Kriterien abhängt, die Google für wichtig erachtet (zum Beispiel gibt es keine Einschränkung, eine große Zufallssequenz zurückzugeben, die als präziser Identifikator fungieren kann).
Darüber hinaus schließt die Überprüfung der Domain-Masken von Google bei der Übermittlung von X-Client-Data nicht aus, dass ein Angreifer eine Domain wie „youtube.xn--55qx5d“ registrieren und beginnen kann, Identifikatoren zu sammeln.

Quelle: opennet.ru