L'en-tête X-Client-Data comme méthode d'identification des utilisateurs de Chrome

Lors de la discussion de l'initiative de Google visant à unifier le contenu de l'en-tête HTTP User-Agent, le développeur du navigateur Kiwi a souligné l'en-tête HTTP « X-Client-Data » qui reste dans Chrome et qui pourrait violer le règlement général sur la protection des données (RGPD) en vigueur dans l'Union européenne (GDPR). Au cours de la discussion , la dualité des actions de Google a également été critiquée, car d'une part l'entreprise promeut des méthodes pour bloquer l'identification cachée et le suivi des actions des utilisateurs, mais d'autre part, elle ne se dépêche pas de supprimer le support de l'en-tête X-Client-Data de Chrome, qui peut être utilisé pour identifier des instances du navigateur lors de l'accès aux services Google.

L'en-tête X-Client-Data n'est pas une fonctionnalité cachée et son comportement est décrit dans la documentation. Grâce à X-Client-Data, Google recueille des données sur l'activité des fonctionnalités expérimentales dans Chrome liées à ses sites (par exemple, lors d'une expérience, Google peut activer certaines fonctionnalités de test sur Youtube si elles sont prises en charge par le navigateur ou tenter de corréler les problèmes rencontrés avec l'activation des fonctionnalités expérimentales).

L'en-tête est envoyé uniquement pour les requêtes vers les sites Google correspondant aux modèles « *.doubleclick.net », « *.googlesyndication.com », « www.googleadservices.com », « *.google.<TLD> » et « *.youtube. », envoyées via HTTPS. En mode incognito, l'en-tête n'est pas rempli, mais en cas de changement de profil utilisateur authentifié chez Google vers un profil invité ou lors de l'appel de l'opération de nettoyage des données, l'en-tête n'est pas réinitialisé et continue d'être envoyé avec la même valeur.

Il est déclaré que l'en-tête ne contient pas d'informations permettant d'identifier personnellement des utilisateurs, mais décrit uniquement l'état de l'installation de Chrome et les fonctionnalités expérimentales actives. Si l'envoi de télémétrie sur l'utilisation du navigateur et la génération de rapports de crash est désactivé dans les paramètres, lors de la génération de la valeur de base de l'en-tête X-Client-Data, seuls 13 bits d'entropie (8000 combinaisons différentes) sont utilisés, ce qui est insuffisant pour l'identification.

Étant donné que certaines configurations et paramètres du système sont également encodés dans l'en-tête, le contenu de X-Client-Data peut en fin de compte servir de source de données supplémentaire pour l'identification indirecte de l'utilisateur sur une courte période (les capacités expérimentales étant activées et désactivées au fil du temps, ce qui entraîne un changement périodique de la valeur dans X-Client-Data).

Cependant, en plus de l'entropie initiale lors de la formation de la valeur X-Client-Data, une séquence de seed est également utilisée, renvoyée par les serveurs Google et dépendant du pays, de l'adresse IP et d'autres critères jugés importants par Google (par exemple, rien n'empêche de renvoyer une grande séquence aléatoire qui deviendrait un identifiant exact).
De plus, la vérification des masques de domaine de Google lors de l'envoi de X-Client-Data n'exclut pas les situations où un malfaiteur pourrait enregistrer un domaine du type « youtube.xn--55qx5d » et commencer à collecter des identifiants.

Source : opennet.ru