Az X-Client-Data fejléc a Chrome felhasználóinak azonosításának módja

A megbeszélés során kezdeményezés keretében a Google a User-Agent HTTP-fejléc tartalmának egységesítéséről, a Kiwi böngésző fejlesztője felhívta a figyelmet a Chrome-ban megmaradó „X-Client-Data” HTTP-fejlécre, amely potenciálisan sért az Európai Unióban érvényes általános adatvédelmi rendeletet (GDPR). A a vitában Google cég kettős tevékenysége is kritikát kapott, amely egyrészt elősegíti módszerek a rejtett azonosítás és a felhasználói tevékenységek nyomon követésének blokkolását, de másrészt nem siet eltávolítani a Chrome-ból az X-Client-Data fejléc támogatását, amely azonosítóként használható a böngésző példányainak a Google szolgáltatásaihoz való hozzáféréskor.

Az X-Client-Data fejléc nem rejtett funkció, és viselkedése ami le van írva a dokumentációban található. Az X-Client-Data-n keresztül a Google információkat kap a Chrome egyes kísérleti funkcióinak használatáról a weboldalaikhoz kapcsolódóan (például a Google aktiválhat bizonyos tesztelési funkciókat a YouTube-on, ha azok támogatottak a böngészőben, vagy megpróbálhatja összekapcsolni a felmerülő problémákat a kísérleti funkciók aktiválásával).

A fejléc csak a Google webhelyeire küldött kérésekhez állítódik be, amelyek megfelelnek a „*.doubleclick.net”, „*.googlesyndication.com”, „www.googleadservices.com”, „*.google.< TLD>” és „*.youtube.<TLD>” mintáknak, és HTTPS-en keresztül küldik. Inkognitó módban a fejléc nem töltődik ki, de ha a felhasználó Google-hitelesített profilja vendégprofildra vált, vagy adatok törlése történik, a fejléc nem visszaállítódik, és a korábbi értékkel továbbra is küldve marad.Állítják, hogy a fejléc nem tartalmaz személyesen azonosítható adatokat, hanem csak a Chrome beállításának állapotát és az aktív kísérleti funkciókat írja le. Ha a beállításokban le van tiltva a böngésző használati telemetria küldése és a hibajelentések generálása, akkor az X-Client-Data alapértékéhez összesen 13 bit entropia (8000 különböző kombináció) használatos, amely nem elegendő az azonosításhoz.

A fejléc kijelentette, hogy nem tartalmaz személyes azonosítókra vonatkozó információt, csupán a Chrome telepítési állapotát és az aktív kísérleti funkciókat írja le.

Figyelembe kell venni, hogy a fejlécben bizonyos beállítások és a rendszer paraméterei is kódolva vannak, így a X-Client-Data tartalma végső soron megfelelő mint másodlagos adatforrás a felhasználó közvetett azonosításához egy rövid időtartamra (kísérleti lehetőségek idővel be- és kikapcsolódnak, ami a X-Client-Data értékének időszakos változásához vezet).

Mindazonáltal, az X-Client-Data értékének generálásakor a kezdeti entrópián kívül seed-sorozat is felhasználásra kerül, amelyet a Google szerverei adnak vissza, és amely függ a országotól, IP címtől és más fontosnak ítélt szempontoktól (például semmi nem akadályozza, hogy nagy véletlenszerű sorozatot adjanak vissza, ami pontos azonosítóvá válhat).
Ezen kívül a Google domainmaszk szerinti ellenőrzése X-Client-Data elküldésekor nem zárja ki azt az esetet, amikor egy támadó regisztrál egy „youtube.xn--55qx5d” típusú domaint és elkezdi gyűjteni a azonosítókat.

Forrás: opennet.ru