Chrome વપરાશકર્તાઓને ઓળખવા માટેની પદ્ધતિ તરીકે X-Client-Data હેડર

ચર્ચા કરતી વખતે પહેલ કિવી બ્રાઉઝરના ડેવલપર, HTTP યુઝર-એજન્ટ હેડર કન્ટેન્ટના એકીકરણ પર ગૂગલ નોંધ્યું Chrome માં બાકીના HTTP હેડર "X-Client-Data" પર, જે સંભવિત રીતે ઉલ્લંઘન કરે છે યુરોપિયન યુનિયનમાં અમલમાં જનરલ ડેટા પ્રોટેક્શન રેગ્યુલેશન (GDPR)GDPR). દરમિયાન ચર્ચાઓ ગુગલની ક્રિયાઓની દ્વૈતતા, જે એક તરફ પ્રોત્સાહન આપે છે પદ્ધતિઓ છુપાયેલી ઓળખ અને વપરાશકર્તા ક્રિયાઓના ટ્રેકિંગને અવરોધિત કરવા માટે, પરંતુ બીજી બાજુ, X-Client-Data હેડર માટે Chrome માંથી સપોર્ટ દૂર કરવાની કોઈ ઉતાવળ નથી, જેનો ઉપયોગ Google સેવાઓને ઍક્સેસ કરતી વખતે બ્રાઉઝર ઉદાહરણો ઓળખવા માટે થઈ શકે છે.

X-ક્લાયંટ-ડેટા હેડર છુપાયેલ કાર્યક્ષમતા અને તેનું વર્તન નથી વર્ણવેલ દસ્તાવેજીકરણમાં, Google તેની વેબસાઇટ્સના સંબંધમાં, Chrome માં અમુક પ્રાયોગિક સુવિધાઓની પ્રવૃત્તિ વિશે ડેટા મેળવવા માટે X-Client-Data નો ઉપયોગ કરે છે (ઉદાહરણ તરીકે, પ્રયોગ દરમિયાન, Google YouTube પર અમુક પરીક્ષણ સુવિધાઓને સક્રિય કરી શકે છે જો તે બ્રાઉઝર દ્વારા સમર્થિત હોય અથવા પ્રાયોગિક સુવિધાઓના સક્રિયકરણ સાથે ઉદ્ભવતા મુદ્દાઓને સહસંબંધિત કરવાનો પ્રયાસ કરે).

હેડર પ્રદર્શિત થાય છે ફક્ત "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google" માસ્ક સાથે મેળ ખાતી Google સાઇટ્સની વિનંતીઓ માટે.TLD>» અને «*.youtube. " અને HTTPS દ્વારા મોકલવામાં આવે છે. છુપા મોડમાં, હેડર ભરાતું નથી, પરંતુ જો વપરાશકર્તાની પ્રમાણિત Google પ્રોફાઇલ ગેસ્ટ પ્રોફાઇલમાં બદલાય છે અથવા જો ડેટા ક્લિયરિંગ ઓપરેશન કહેવામાં આવે છે, તો હેડર રીસેટ થતું નથી અને પાછલા મૂલ્ય સાથે મોકલવાનું ચાલુ રાખે છે.

એવું કહેવામાં આવ્યું છે કે હેડરમાં વ્યક્તિગત રીતે ઓળખી શકાય તેવી માહિતી શામેલ નથી, પરંતુ તે ફક્ત Chrome ઇન્સ્ટોલેશન સ્થિતિ અને સક્રિય પ્રાયોગિક સુવિધાઓનું વર્ણન કરે છે. જો સેટિંગ્સમાં બ્રાઉઝર ઉપયોગ ટેલિમેટ્રી અને ક્રેશ રિપોર્ટિંગ અક્ષમ હોય, તો બેઝ X-ક્લાયંટ-ડેટા હેડર મૂલ્ય જનરેટ કરવા માટે ફક્ત 13 બિટ્સ એન્ટ્રોપી (8000 વિવિધ સંયોજનો) નો ઉપયોગ થાય છે, જે ઓળખ માટે અપૂરતું છે.

હેડર કેટલીક સિસ્ટમ સેટિંગ્સ અને પરિમાણોને પણ એન્કોડ કરે છે તે ધ્યાનમાં લેતા, આખરે X-Client-Data ની સામગ્રી ટૂંકા ગાળા માટે વપરાશકર્તાને પરોક્ષ રીતે ઓળખવા માટે ડેટાના વધારાના સ્ત્રોત તરીકે એકદમ યોગ્ય છે (પ્રાયોગિક સુવિધાઓ સમય જતાં સક્ષમ અને અક્ષમ થાય છે, જે X-Client-Data ના મૂલ્યમાં સમયાંતરે ફેરફારો તરફ દોરી જાય છે).

જોકે, પ્રારંભિક એન્ટ્રોપી ઉપરાંત, X-ક્લાયન્ટ-ડેટા મૂલ્ય પણ Google ના સર્વર્સ દ્વારા પરત કરવામાં આવતા સીડ સિક્વન્સનો ઉપયોગ કરીને જનરેટ થાય છે, જે દેશ, IP સરનામું અને Google મહત્વપૂર્ણ માને છે તે અન્ય માપદંડો પર આધાર રાખે છે (ઉદાહરણ તરીકે, તેને એક મોટો રેન્ડમ સિક્વન્સ પરત કરવાથી રોકવા માટે કંઈ નથી જે ચોક્કસ ઓળખકર્તા તરીકે સેવા આપશે).
વધુમાં, X-Client-Data મોકલતી વખતે Google ના ડોમેન માસ્ક તપાસવાથી એવી પરિસ્થિતિઓ બાકાત રહેતી નથી જ્યાં હુમલાખોર "youtube.xn--55qx5d" જેવા ડોમેનની નોંધણી કરી શકે છે અને ઓળખકર્તાઓ એકત્રિત કરવાનું શરૂ કરી શકે છે.

સોર્સ: opennet.ru