Durante la discussione Google sulla unificazione del contenuto dell'intestazione HTTP User-Agent, lo sviluppatore del browser Kiwi l'intestazione HTTP «X-Client-Data» che rimane in Chrome e che potenzialmente è regolata dal regolamento generale sulla protezione dei dati (). Durante è stata anche criticata l'ambivalenza delle azioni di Google, che da un lato il blocco dell'identificazione nascosta e del tracciamento delle azioni degli utenti, ma dall'altro lato non si affretta a rimuovere da Chrome il supporto per l'intestazione X-Client-Data, che può essere utilizzata per identificare le istanze del browser quando si accede ai servizi di Google.
L'intestazione X-Client-Data non è una funzionalità nascosta e il suo comportamento è documentato. Attraverso X-Client-Data, Google raccoglie dati sull'attività di determinate funzionalità sperimentali in Chrome in relazione ai propri siti web (ad esempio, durante un esperimento Google può attivare su Youtube determinate funzionalità di test, se supportate dal browser, o tentare di abbinare i problemi emersi con l'attivazione delle funzionalità sperimentali).
Titolo solo per le richieste ai siti di Google che corrispondono ai modelli «*.doubleclick.net», «*.googlesyndication.com», «www.googleadservices.com», «*.google.<>» e «*.youtube.», ed è inviato tramite HTTPS. In modalità incognito l'intestazione non viene compilata, ma nel caso in cui si cambi il profilo autenticato dell'utente in Google per un profilo ospite o in caso di chiamata all'operazione di pulizia dei dati, l'intestazione non viene azzerata e continua a essere inviata con il valore precedente.
È stato dichiarato che l'intestazione non contiene informazioni identificabili personalmente, ma descrive solo lo stato dell'installazione di Chrome e le funzionalità sperimentali attive. Se nelle impostazioni è disattivata l'invio della telemetria sull'uso del browser e la generazione di rapporti sui guasti, per la generazione del valore base dell'intestazione X-Client-Data vengono utilizzati solo 13 bit di entropia (8000 diverse combinazioni), il che non è sufficiente per l'identificazione.
Tenendo presente che nel'intestazione vengono codificate anche alcune impostazioni e parametri di sistema, alla fine, il contenuto di X-Client-Data si adatta perfettamente come fonte aggiuntiva di dati per l'identificazione indiretta dell'utente in un breve periodo di tempo (le capacità sperimentali vengono attivate e disattivate nel tempo, portando a cambiamenti periodici del valore in X-Client-Data).
Tuttavia, oltre all'entropia iniziale nella generazione del valore di X-Client-Data, viene utilizzata anche una sequenza seed restituita dai server di Google, che dipende dal paese, dall'indirizzo IP e da altri criteri ritenuti importanti da Google (ad esempio, nulla impedisce di restituire una grande sequenza casuale che diventa un'identificazione precisa).
Inoltre, il controllo per maschere di dominio di Google durante l'invio di X-Client-Data non esclude situazioni in cui un attaccante può registrare un dominio del tipo "youtube.xn--55qx5d" e iniziare a raccogliere identificatori.
Fonte: opennet.ru
