X-Client-Data pealkiri kui Chrome'i kasutajate tuvastamise meetod

Arutledes turvalisuse, privaatsuse ja laiendite efektiivsuse suurendamiseks (peamine eesmärk on lihtsustada turvaliste ja efektiivsete laiendite loomist ning raskendada ohtlike ja aeglaste laiendite loomist). Google'i HTTP User-Agent pealkirja sisu ühtlustamise arutelul, märkis brauseri Kiwi arendaja tähelepanu Chrome'is jääva HTTP pealkirja «X-Client-Data», mis potentsiaalselt rikub algselt kehtivate Euroopa Liidu andmekaitse määruste (GDPR). Arutelul ka Chris Lattner, LLVM asutaja ja peaarhitekt, kuid ta soovitas mitte kiirustada, vaid oodata ja vaadata, kuidas lõpeb kriitika osaliseks sai ka Google'i tegevuse kaksikmoraal, kusjuures ühest küljest edendab meetodid kasutajate varjatud tuvastamise ja jälgimise blokeerimist, kuid teisest küljest ei kiirusta eemaldama Chrome'ist X-Client-Data pealkirja, mida saab kasutada brauseri instantside tuvastamiseks Google'i teenustele pääsemisel.

X-Client-Data pealkiri ei ole varjatud funktsionaalsus ja selle käitumine kirjeldatud dokumentatsioonis. X-Client-Data kaudu kogub Google teavet Chrome'i erinevate katsetamisvõimaluste aktiivsusest, seondudes oma lehekülgedega (näiteks võib Google katse käigus aktiveerida YouTube'is teatud katsefunktsioone, kui need on brauseris toetatud, või proovida seostada esinevaid probleeme katsefunktsioonide aktiveerimisega).

Pealkiri mille väärtus saabub ainult Google'i lehtedele tehtud päringutele, mis vastavad mustritele «*.doubleclick.net», «*.googlesyndication.com», «www.googleadservices.com», «*.google.<TLD>» ja «*.youtube.», ning saadetakse HTTPS kaudu. Inkognito režiimis pealkiri ei täitu, kuid kui kasutaja autentitud profiil Google'is muudetakse külaliste profiiliks või andmete puhastamise operatsioon käivitatakse, pealkirja ei nullita ja see jätkab edastamist eelmise väärtuse järgi.

On väidetud, et pealkiri ei sisalda isiku tuvastamiseks vajalikku teavet, vaid kirjeldab Chrome'i installimise seisukorda ja aktiivseid katsetamisvõimalusi. Kui brauseri kasutamise telemeetria edastamine ja tõrgete aruannete genereerimine on seadetes keelatud, kasutatakse X-Client-Data pealkirja algväärtuse genereerimisel vaid 13 bitti entropiat (8000 erinevat kombinatsiooni), mis ei ole piisav identifitseerimiseks.

Arvestades, et pealkirjas kodeeritakse ka teatud süsteemi seadeid ja parameetreid, sobib X-Client-Data sisu lõpuks hästi täiendavaks andmeallikaks kasutaja kaudseks tuvastamiseks lühikese aja jooksul (katse-eksituse võimalused lülitatakse ajas sisse ja välja, mis toob kaasa X-Client-Data väärtuse perioodilise muutmise).

Siiski, peale algse entropia X-Client-Data väärtuse genereerimisel kasutatakse samuti seed-järjestust, mille tagastavad Google'i serverid ja mis sõltub riigist, IP-aadressist ja muudest kriteeriumidest, mida Google peab oluliseks (näiteks ei ole midagi takistamas suurt juhuslikku järjestust tagastada, mis muutub täpseks tuvastajaks).
Lisaks ei välista X-Client-Data edastamise ajal Google'i domeenide maskide kontrollimine olukordi, kus kurjategija võib registreerida domeeni, nagu «youtube.xn--55qx5d», ja hakata koguma idente.

Allikas: opennet.ru