Tijekom rasprave Google o unifikaciji sadržaja HTTP zaglavlja User-Agent, razvojni inženjer preglednika Kiwi na preostalo u Chrome HTTP zaglavlje "X-Client-Data", koje potencijalno važeći u Europskoj uniji opći uredba o zaštiti podataka (). Tijekom također je bila podložna kritikama dvosmislenost djelovanja tvrtke Google, koja s jedne strane blokiranje skrivenog identificiranja i praćenja aktivnosti korisnika, ali s druge strane ne žuri ukloniti iz Chrome podršku za zaglavlje X-Client-Data, koje se može koristiti za identifikaciju instanci preglednika prilikom pristupa Googleovim uslugama.
Zaglavlje X-Client-Data nije skrivena funkcionalnost i njegovo ponašanje u dokumentaciji. Kroz X-Client-Data, Google prikuplja podatke o aktivnosti određenih eksperimentalnih mogućnosti u Chromeu vezano uz svoje web stranice (na primjer, tijekom eksperimenta Google može aktivirati određene testne mogućnosti na YouTubeu ako ih preglednik podržava ili pokušati povezati nastale probleme s aktiviranjem eksperimentalnih funkcija).
Zaglavlje samo za zahtjeve prema Googleovim web stranicama koji odgovaraju obrascima "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google.<>", i "*.youtube.", i šalje se putem HTTPS-a. U incognito modu zaglavlje se ne ispunjava, ali u slučaju promjene autentificiranog korisničkog profila u Googleu na gostujući profil ili prilikom pozivanja operacije brisanja podataka, zaglavlje se ne resetira i nastavlja se slati s prethodnom vrijednošću.
Izjavljeno je da zaglavlje ne sadrži osobno identificirajuće informacije, već samo opisuje stanje instalacije Chromea i aktivne eksperimentalne mogućnosti. Ako su u postavkama isključene telemetrije o korištenju preglednika i generiranje izvještaja o kvarovima, prilikom generiranja osnovne vrijednosti zaglavlja X-Client-Data koristi se samo 13 bita entropije (8000 različitih kombinacija), što nije dovoljno za identifikaciju.
S obzirom na to da se u zaglavlju također kodiraju neka podešavanja i parametri sustava, sadržaj X-Client-Data može poslužiti kao dodatni izvor podataka za neizravnu identifikaciju korisnika u kratkom vremenskom razdoblju (eksperimentalne mogućnosti s vremenom se uključuju i isključuju, što dovodi do povremene promjene vrijednosti u X-Client-Data).
Ipak, osim početne entropije pri formiranju vrijednosti X-Client-Data, također se koristi seed-sekvencija koju vraćaju Google poslužitelji i koja ovisi o zemlji, IP adresi i drugim kriterijima za koje Google smatra da su važni (na primjer, ništa ne sprječava vraćanje velike slučajne sekvence koja će postati točan identifikator).
Osim toga, provjera prema maskama domena Google prilikom slanja X-Client-Data ne isključuje situacije u kojima zlonamjerni korisnik može registrirati domenu poput „youtube.xn--55qx5d” i početi prikupljati identifikatore.
Izvor: opennet.ru
