Заглавие X-Client-Data како метод за идентификување на корисниците на Chrome

Кога се дискутира иницијативи Google да ја обедини содржината на заглавието HTTP кориснички агент, развивач на прелистувачот Kiwi забележал до заглавието на HTTP „X-Client-Data“ што останува во Chrome, кое потенцијално крши Општа регулатива за заштита на податоци во сила во Европската унија (GDPR). За време на дискусии Беше критикувана и двојноста на постапките на Google, што од една страна промовира методи за блокирање на скриената идентификација и следење на дејствата на корисниците, но од друга страна, не се брза да се отстрани поддршката за заглавието X-Client-Data од Chrome, што може да се користи за идентификување на примероци на прелистувач при пристап до услугите на Google.

Заглавието X-Client-Data не е скриена функционалност и неговото однесување е опишано во документацијата. Преку X-Client-Data, Google добива податоци за активноста на одредени експериментални функции во Chrome во врска со неговите сајтови (на пример, за време на експеримент, Google може да активира одредени функции за тестирање на YouTube ако тие се поддржани од прелистувачот или се обиде да корелираат проблеми со експериментални функции за активирање).

Титула изложени само за барања до сајтови на Google што одговараат на маските „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.TLD>“ и „*.youtube. “, и испратено преку HTTPS. Во режимот инкогнито, заглавието не се пополнува, но ако автентицираниот профил на Google на корисникот се промени во профил на гостин или кога се повика операција за чистење податоци, заглавието не се ресетира и продолжува да се испраќа со истата вредност.

Заглавието е наведено дека не содржи информации за лична идентификација и само го опишува статусот на инсталацијата на Chrome и активните експериментални функции. Ако телеметријата за користење на прелистувачот и известувањето за падови се оневозможени во поставките, генерирањето на основната вредност на заглавието X-Client-Data користи само 13 бита ентропија (8000 различни комбинации), што не е доволно за идентификација.

Имајќи предвид дека заглавието кодира и некои системски поставки и параметри, на крајот содржината на X-Client-Data е сосема погодна како дополнителен извор на податоци за индиректна идентификација на корисникот во краток временски период (експерименталните способности се овозможени и оневозможени преку време, што доведува до периодична промена на вредноста во X-Client-Data).

Меѓутоа, покрај почетната ентропија, при генерирање на вредноста на X-Client-Data, постои и секвенца вратена од серверите на Google и во зависност од земјата, IP адресата и другите критериуми што Google ги смета за важни (на пример, ништо не спречува вие од враќање на голема случајна секвенца , која ќе стане точен идентификатор).
Дополнително, проверката со користење на маски на доменот на Google при испраќање X-Client-Data не ги исклучува ситуациите кога напаѓачот може да регистрира домен како „youtube.xn--55qx5d“ и да започне да собира идентификатори.

Извор: opennet.ru