כותרת X-Client-Data כשיטה לזיהוי משתמשי Chrome

כאשר דנים יוזמות גוגל לאחד את התוכן של כותרת HTTP User-Agent, מפתח דפדפן Kiwi שם לב לכותרת ה-HTTP "X-Client-Data" שנותרה ב-Chrome, אשר עשויה מפר תקנת הגנת מידע כללית בתוקף באיחוד האירופי (GDPR). בְּמַהֲלָך דיונים גם הדואליות של הפעולות של גוגל זכתה לביקורת, שמצד אחד מקדם методы לחסום זיהוי סמוי ומעקב אחר פעולות המשתמש, אך מצד שני, לא ממהר להסיר מכרום את התמיכה בכותרת X-Client-Data, שבאמצעותה ניתן לזהות מופעי דפדפן בעת ​​גישה לשירותי גוגל.

הכותרת X-Client-Data אינה פונקציונליות נסתרת וההתנהגות שלה היא מְתוּאָר בתיעוד. באמצעות X-Client-Data, גוגל מקבלת נתונים על הפעילות של תכונות ניסיוניות מסוימות בכרום בקשר לאתרים שלה (לדוגמה, במהלך ניסוי, גוגל יכולה להפעיל תכונות בדיקה מסוימות ב-YouTube אם הן נתמכות על ידי הדפדפן או לנסות מתאם בעיות עם פונקציות ניסיוניות של הפעלה).

כותרת הציג רק עבור בקשות לאתרי Google התואמות את המסכות "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google.TLD>" ו-"*.youtube. ", ונשלח באמצעות HTTPS. במצב גלישה בסתר, הכותרת אינה מאוכלסת, אך אם פרופיל Google המאומת של המשתמש משתנה לפרופיל אורח או כאשר נקראת פעולת ניקוי נתונים, הכותרת אינה מאופסת וממשיכה להישלח עם אותו ערך.

הכותרת אינה מכילה מידע אישי מזהה ומתארת ​​רק את סטטוס התקנת Chrome ותכונות ניסיוניות פעילות. אם טלמטריית שימוש בדפדפן ודיווח קריסה מושבתים בהגדרות, הפקת ערך הכותרת X-Client-Data הבסיסית משתמשת רק ב-13 סיביות של אנטרופיה (8000 שילובים שונים), מה שלא מספיק לזיהוי.

בהתחשב בכך שהכותרת מקודדת גם כמה הגדרות ופרמטרים של המערכת, בסופו של דבר התוכן של X-Client-Data מתאים למדי כמקור מידע נוסף לזיהוי משתמש עקיף בפרק זמן קצר (יכולות ניסוי מופעלות ומושבתות לאורך זמן, מה שמוביל לשינוי תקופתי של ערך ב-X-Client-Data).

עם זאת, בנוסף לאנטרופיה הראשונית, בעת יצירת ערך X-Client-Data, ישנו גם רצף seed המוחזר על ידי שרתי גוגל ובהתאם למדינה, כתובת ה-IP ושאר קריטריונים שגוגל רואה כחשובים (לדוגמה, שום דבר לא מונע להחזיר רצף אקראי גדול , שיהפוך למזהה המדויק).
בנוסף, בדיקה באמצעות מסיכות דומיין של Google בעת שליחת X-Client-Data אינה שוללת מצבים שבהם תוקף יכול לרשום דומיין כמו "youtube.xn--55qx5d" ולהתחיל לאסוף מזהים.

מקור: OpenNet.ru