X-Client-Data pealkiri kui Chrome'i kasutajate tuvastamise meetod

Arutelul algatusest Google'i HTTP User-Agent päise ühtlustamise osas, märkis brauseri Kiwi arendaja tõi esile Chrome'is jätkuva HTTP päise «X-Client-Data», mis potentsiaalselt rikub Euroopa Liidus kehtivat üldiselt andmekaitse määrust (GDPR). Arutelu käigus kriitika all oli ka Google'i tegevuse kaksikstandard, kus ühelt poolt toetatakse meetodeid kasutajate identifitseerimise ja jälgimise blokeerimist, kuid teisalt ei kiirustu Chrome'ist eemaldama X-Client-Data päise toetust, mida võib kasutada brauseri instantside tuvastamiseks Google'i teenustes.

Päis X-Client-Data ei ole varjatud funktsioon ja selle käitumine detailsemalt dokumendis. X-Client-Data kaudu kogub Google teavet teatud katsetamisvõimaluste aktiivsuse kohta Chrome'is, sidudes need oma veebisaitidega (näiteks katse käigus võib Google Youtube'is aktiveerida teatud testimisvõimalusi, kui need on brauseris toetatud, või proovida seostada ilmnevaid probleeme katsetamisfunktsioonide aktiveerimisega).

Päis välja antud ainult Google'i saitidele tehtud päringute jaoks, mis vastavad mustritele «*.doubleclick.net», «*.googlesyndication.com», «www.googleadservices.com», «*.google.<TLD>» ja «*.youtube.<TLD>», ning saadetud HTTPS kaudu. InPrivate-režiimis pealkiri ei täitu, kuid juhul, kui Google'i autentitud kasutajaprofiil muudetakse külalisprofiiliks või kui käivitada andmete kustutamise toiming, ei lähtestata pealkirja ning see saadetakse edasi eelmise väärtusega.

On väidetud, et pealkiri ei sisalda isiklikult tuvastatavat teavet, vaid kirjeldab Chrome'i seadistuste seisundit ja aktiivseid eksperimentaalseid võimalusi. Kui seadistustes on välja lülitatud brauseri kasutamise telemeetriate edastamine ja kokkuvarisemiste aruannete genereerimine, siis X-Client-Data pealkirja genereerimise alusel kasutatav baasväärtus kasutab vaid 13 bitti entropiat (8000 erinevat kombinatsiooni), mis on tuvastamiseks ebapiisav.

Arvestades, et päises kodeeritakse ka mõned süsteemi seaded ja parameetrid, sobib X-Client-Data sisu täiendavaks andmeallikaks kasutaja kaudseks tuvastamiseks lühikese aja jooksul (eksperimentaalsed võimalused aktiveeritakse ja deaktiveeritakse aja jooksul, mis toob kaasa X-Client-Data väärtuse perioodilise muutumise).

Sellegipoolest, peale algse entropia X-Client-Data väärtuse genereerimisel kasutatakse ka seed-jada, mida tagastavad Google'i serverid ja mis sõltub riigist, IP-aadressist ja muudest kriteeriumidest, mida Google peab oluliseks (näiteks ei ole midagi takistamas, et tagastada suur juhuslik jada, mis muutub täpseks identifikaatoriks).
Lisaks ei välista Google'i domeenide maskide kontroll X-Client-Data saatmisel olukordi, kus pahatahtlik isik võib registreerida domeeni vormis «youtube.xn--55qx5d» ja hakata koguma identifikaatoreid.

Allikas: opennet.ru