Chrome 사용자를 식별하는 방법인 X-Client-Data 헤더

토론할 때 이니셔티브 Google, Kiwi 브라우저 개발자 HTTP User-Agent 헤더 내용 통합 주의를 기울였다. Chrome에 남아 있는 "X-Client-Data" HTTP 헤더에 위반하다 유럽 ​​연합에서 시행 중인 일반 데이터 보호 규정(GDPR). 동안 토론 한편으로는 구글 행동의 이중성도 비판을 받았다. 촉진하다 방법들 숨겨진 식별을 차단하고 사용자 작업을 추적하는 반면, Google 서비스에 액세스할 때 브라우저 인스턴스를 식별하는 데 사용할 수 있는 X-Client-Data 헤더에 대한 지원을 Chrome에서 제거하는 것은 서두르지 않습니다.

X-Client-Data 헤더는 숨겨진 기능이 아니며 그 동작은 다음과 같습니다. 설명 문서에서. X-Client-Data를 통해 Google은 사이트와 관련된 Chrome의 특정 실험 기능 활동에 대한 데이터를 수신합니다. 예를 들어 실험 중에 Google은 브라우저에서 지원하는 경우 Youtube의 특정 테스트 기능을 활성화하거나 다음을 시도할 수 있습니다. 문제를 활성화 실험 함수와 연관시키십시오.

이름 전시됨 마스크 '*.doubleclick.net', '*.googlesyndication.com', 'www.googleadservices.com', '*.google.TLD>" 그리고 "*.youtube. ", HTTPS를 통해 전송됩니다. 시크릿 모드에서는 헤더가 채워지지 않지만, 사용자의 인증된 Google 프로필이 게스트 프로필로 변경되거나 데이터 삭제 작업이 호출되면 헤더가 재설정되지 않고 계속 동일한 값으로 전송됩니다.

헤더에는 개인 식별 정보가 포함되어 있지 않으며 Chrome 설치 상태 및 활성 실험 기능만 설명되어 있습니다. 설정에서 브라우저 사용 원격 측정 및 충돌 보고가 비활성화된 경우 기본 X-Client-Data 헤더 값 생성에는 13비트의 엔트로피(8000개의 다양한 조합)만 사용되며 이는 식별하기에 충분하지 않습니다.

헤더가 일부 시스템 설정 및 매개변수도 인코딩한다는 점을 감안할 때 X-Client-Data의 내용은 궁극적으로 짧은 시간 내에 간접적인 사용자 식별을 위한 추가 데이터 소스로 매우 적합합니다(실험적 기능은 시간이 지남에 따라 활성화 및 비활성화됩니다. 이로 인해 X-Client-Data의 값이 주기적으로 변경됩니다.

그러나 X-Client-Data 값을 생성할 때 초기 엔트로피 외에도 국가, IP 주소 및 Google이 중요하다고 간주하는 기타 기준에 따라 Google 서버에서 반환하는 시드 시퀀스도 있습니다(예: 아무것도 방지하지 못함). 정확한 식별자가 될 대규모 무작위 시퀀스를 반환하지 않아도 됩니다.
또한 X-Client-Data를 전송할 때 Google 도메인 마스크를 사용하여 확인하면 공격자가 "youtube.xn--55qx5d"와 같은 도메인을 등록하고 식별자 수집을 시작할 수 있는 상황이 배제되지 않습니다.

출처 : opennet.ru