X-Client-Data სათაური, როგორც Chrome-ის მომხმარებლების იდენტიფიცირების მეთოდი

განხილვისას ინიციატივები Google-მა გააერთიანოს HTTP მომხმარებლის აგენტის სათაური, Kiwi ბრაუზერის შემქმნელი ყურადღება გაამახვილა Chrome-ში დარჩენილ HTTP-ის „X-Client-Data“ სათაურზე, რომელიც პოტენციურად არღვევს მონაცემთა დაცვის ზოგადი რეგულაცია, რომელიც მოქმედებს ევროკავშირში (GDPR). დროს დისკუსიები ასევე გააკრიტიკეს Google-ის ქმედებების ორმაგობა, რაც ერთის მხრივ ხელს უწყობს მეთოდები ფარული იდენტიფიკაციისა და მომხმარებლის ქმედებების თვალყურის დევნის დაბლოკვა, მაგრამ, მეორე მხრივ, არ ჩქარობს Chrome-იდან X-Client-Data სათაურის მხარდაჭერის ამოღებას, რომელიც შეიძლება გამოყენებულ იქნას Google-ის სერვისებზე წვდომისას ბრაუზერის ინსტანციების იდენტიფიცირებისთვის.

X-Client-Data სათაური არ არის დამალული ფუნქცია და მისი ქცევა არის აღწერილი დოკუმენტაციაში. X-Client-Data-ს მეშვეობით Google იღებს მონაცემებს Chrome-ში გარკვეული ექსპერიმენტული ფუნქციების აქტივობის შესახებ მის საიტებთან დაკავშირებით (მაგალითად, ექსპერიმენტის დროს Google-ს შეუძლია გაააქტიუროს გარკვეული სატესტო ფუნქციები Youtube-ში, თუ ისინი მხარდაჭერილია ბრაუზერის მიერ ან შეეცდება პრობლემების კორელაცია აქტივაციის ექსპერიმენტულ ფუნქციებთან).

სათაური გამოფენილი მხოლოდ Google საიტებზე მოთხოვნებისთვის, რომლებიც ემთხვევა ნიღბებს "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google.TLD>" და "*.youtube. და გაგზავნილია HTTPS-ით. ინკოგნიტო რეჟიმში, სათაური არ არის შევსებული, მაგრამ თუ მომხმარებლის ავტორიზებული Google პროფილი გადაიქცევა სტუმრის პროფილში ან როდესაც გამოიძახება მონაცემთა გასუფთავების ოპერაცია, სათაური არ გადაყენდება და აგრძელებს გაგზავნას იმავე მნიშვნელობით.

მითითებულია, რომ სათაური არ შეიცავს პერსონალურად იდენტიფიცირებულ ინფორმაციას და მხოლოდ აღწერს Chrome-ის ინსტალაციის სტატუსს და აქტიურ ექსპერიმენტულ ფუნქციებს. თუ ბრაუზერის გამოყენების ტელემეტრია და ავარიის მოხსენება გამორთულია პარამეტრებში, X-Client-Data სათაურის მნიშვნელობის საბაზისო გენერირება იყენებს ენტროპიის მხოლოდ 13 ბიტს (8000 სხვადასხვა კომბინაცია), რაც საკმარისი არ არის იდენტიფიკაციისთვის.

იმის გათვალისწინებით, რომ სათაური ასევე კოდირებს სისტემის ზოგიერთ პარამეტრს და პარამეტრს, საბოლოო ჯამში, X-Client-Data-ს შიგთავსი საკმაოდ შესაფერისია, როგორც მონაცემთა დამატებითი წყარო მომხმარებლის არაპირდაპირი იდენტიფიკაციისთვის მოკლე დროში (ექსპერიმენტული შესაძლებლობები დროთა განმავლობაში ჩართულია და გამორთულია, რაც იწვევს X-Client-Data-ში მნიშვნელობის პერიოდულ ცვლილებას).

თუმცა, თავდაპირველი ენტროპიის გარდა, X-Client-Data მნიშვნელობის გენერირებისას ასევე არის Google სერვერების მიერ დაბრუნებული Seed sequence და დამოკიდებულია ქვეყანაზე, IP მისამართზე და სხვა კრიტერიუმებზე, რომლებსაც Google მიიჩნევს მნიშვნელოვნად (მაგალითად, არაფერი უშლის ხელს დიდი შემთხვევითი თანმიმდევრობის დაბრუნებისგან, რომელიც გახდება ზუსტი იდენტიფიკატორი).
გარდა ამისა, Google დომენის ნიღბების გამოყენებით შემოწმება X-Client-Data-ს გაგზავნისას არ გამორიცხავს სიტუაციებს, როდესაც თავდამსხმელს შეუძლია დაარეგისტრიროს დომენი, როგორიცაა „youtube.xn--55qx5d“ და დაიწყოს იდენტიფიკატორების შეგროვება.

წყარო: opennet.ru