Der X-Client-Data-Header als Methode zur Identifizierung von Chrome-Nutzern

Bei der Diskussion Initiative habe Google zur Vereinheitlichung des Inhalts des HTTP-Headers User-Agent der Kiwi-Browser-Entwickler aufmerksam gemacht auf den im Chrome verbleibenden HTTP-Header „X-Client-Data“, der potenziell die den in der Europäischen Union geltenden allgemeinen Datenschutzverordnung (GDPR). Im Rahmen der Diskussion wurde auch die Doppelzüngigkeit von Google kritisiert, das einerseits vorantreibt Methoden um die versteckte Identifizierung und Verfolgung von Nutzern zu blockieren, andererseits jedoch nicht eilig ist, die Unterstützung des Headers X-Client-Data in Chrome zu entfernen, der zur Identifizierung von Browserversionen bei Anfragen an Google-Dienste verwendet werden kann.

Der Header X-Client-Data ist keine versteckte Funktion und sein Verhalten beschrieben in der Dokumentation. Über X-Client-Data erhält Google Daten über die Aktivitäten bestimmter experimenteller Funktionen in Chrome in Verbindung mit seinen Websites (zum Beispiel kann Google während eines Experiments bestimmte Testfunktionen in YouTube aktivieren, wenn diese vom Browser unterstützt werden, oder versuchen, Probleme bei der Aktivierung experimenteller Funktionen zuzuordnen).

Header wird nur für Anfragen an Google-Websites, die den Mustern „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.<TLD>“ und „*.youtube.“, und die über HTTPS gesendet werden. Im Inkognito-Modus wird der Header nicht ausgefüllt, aber wenn das authentifizierte Nutzerprofil in Google auf ein Gastprofil geändert oder die Datenbereinigungsoperation aufgerufen wird, wird der Header nicht zurückgesetzt und weiterhin mit dem bisherigen Wert gesendet.

Es wird erklärt, dass der Header keine persönlich identifizierbaren Informationen enthält, sondern nur den Zustand der Chrome-Installation und aktive experimentelle Funktionen beschreibt. Wenn in den Einstellungen das Senden von Telemetriedaten zur Nutzung des Browsers und die Erstellung von Absturzberichten deaktiviert sind, wird bei der Generierung des Basiswerts des Headers X-Client-Data nur 13 Bit Entropie (8000 verschiedene Kombinationen) verwendet, was nicht ausreicht, um ihn identifizieren zu können.

Angesichts der Tatsache, dass einige Einstellungen und Systemparameter ebenfalls im Header codiert sind, eignet sich der Inhalt von X-Client-Data letztendlich durchaus als zusätzliche Datenquelle zur indirekten Identifikation des Nutzers über einen kurzen Zeitraum (experimentelle Funktionen werden im Laufe der Zeit ein- und ausgeschaltet, was zu einer periodischen Änderung des Wertes in X-Client-Data führt).

Dennoch wird neben der anfänglichen Entropie auch eine Seed-Sequenz zur Bildung des Wertes von X-Client-Data verwendet, die von den Google-Servern zurückgegeben wird und von Land, IP-Adresse und anderen Kriterien abhängt, die Google für wichtig hält (zum Beispiel steht es nicht im Wege, eine große zufällige Sequenz zurückzugeben, die zu einer genauen Identifikation wird).
Darüber hinaus schließt die Überprüfung von Google-Domain-Masken beim Senden von X-Client-Data nicht die Möglichkeit aus, dass ein Angreifer eine Domain wie „youtube.xn--55qx5d“ registrieren und beginnen kann, Identifikatoren zu sammeln.

Quelle: opennet.ru