Durante la discussione Google sulla standardizzazione del contenuto dell'intestazione HTTP User-Agent, lo sviluppatore del browser Kiwi sull'intestazione HTTP «X-Client-Data» che rimane in Chrome, che potrebbe essere soggetta al Regolamento generale sulla protezione dei dati dell'Unione Europea (). Nel corso della è stata anche criticata la doppiezza delle azioni di Google, che da un lato la blocco dell'identificazione nascosta e del monitoraggio delle attività degli utenti, ma dall'altro lato non si affretta a rimuovere da Chrome il supporto per l'intestazione X-Client-Data, che potrebbe essere utilizzata per identificare le istanze del browser quando si accede ai servizi di Google.
L'intestazione X-Client-Data non è una funzionalità nascosta e il suo comportamento è documentato. Attraverso X-Client-Data, Google raccoglie dati sull'attività di certe funzionalità sperimentali in Chrome in relazione ai propri siti (ad esempio, nel corso di un esperimento, Google può attivare su Youtube determinate funzionalità di prova, se supportate dal browser o tentare di correlare i problemi che si presentano con l'attivazione di funzioni sperimentali).
Intestazione solo per richieste ai siti Google che corrispondono ai modelli «*.doubleclick.net», «*.googlesyndication.com», «www.googleadservices.com», «*.google.<>» e «*.youtube.», e inviate tramite HTTPS. In modalità incognito, l'intestazione non viene compilata, ma nel caso di cambio del profilo utente autenticato in Google con uno profilo ospite o in seguito a un'operazione di pulizia dei dati, l'intestazione non viene ripristinata e continua a essere inviata con il valore precedente.
È stato dichiarato che l'intestazione non contiene informazioni personali identificabili, ma descrive solo lo stato di installazione di Chrome e le funzionalità sperimentali attive. Se nelle impostazioni è disabilitata l'invio della telemetria sull'uso del browser e si genera report sui crash, durante la generazione del valore predefinito dell'intestazione X-Client-Data vengono utilizzati solo 13 bit di entropia (8000 combinazioni diverse), che non sono sufficienti per l'identificazione.
Considerando che nel titolo sono anche codificate alcune impostazioni e parametri di sistema, alla fine, il contenuto di X-Client-Data si presta perfettamente come ulteriore fonte di dati per l'identificazione indiretta dell'utente in un breve periodo di tempo (le capacità sperimentali si attivano e disattivano nel tempo, portando a cambiamenti periodici del valore in X-Client-Data).
Tuttavia, oltre all'entropia iniziale nella generazione del valore di X-Client-Data, viene utilizzata anche una sequenza seed restituita dai server Google e che dipende dal paese, dall'indirizzo IP e da altri criteri considerati rilevanti da Google (ad esempio, nulla impedisce di restituire una lunga sequenza casuale che diventa un identificatore preciso).
Inoltre, il controllo per maschere di dominio da parte di Google durante l'invio di X-Client-Data non esclude situazioni in cui un malintenzionato possa registrare un dominio del tipo "youtube.xn--55qx5d" e iniziare a raccogliere identificatori.
Fonte: opennet.ru
