क्रोम वापरकर्ते ओळखण्यासाठी एक पद्धत म्हणून X-क्लायंट-डेटा शीर्षलेख

चर्चा करताना पुढाकार किवी ब्राउझरचे विकसक, HTTP वापरकर्ता-एजंट शीर्षलेखातील सामग्री एकत्र करण्यासाठी Google लक्षात आले Chrome मध्ये शिल्लक असलेल्या "X-Client-Data" HTTP शीर्षलेखावर, जे संभाव्य उल्लंघन करते युरोपियन युनियनमध्ये सामान्य डेटा संरक्षण नियमन अंमलात आहे (GDPR). दरम्यान चर्चा गुगलच्या कृतींच्या द्वैतपणावरही टीका झाली, जी एकीकडे प्रोत्साहन देते पद्धती लपविलेले ओळख आणि ट्रॅकिंग वापरकर्त्याच्या क्रिया अवरोधित करण्यासाठी, परंतु दुसरीकडे, Chrome वरून X-Client-Data शीर्षलेखासाठी समर्थन काढून टाकण्याची घाई नाही, जी Google सेवांमध्ये प्रवेश करताना ब्राउझर उदाहरणे ओळखण्यासाठी वापरली जाऊ शकते.

एक्स-क्लायंट-डेटा शीर्षलेख लपलेली कार्यक्षमता नाही आणि त्याचे वर्तन आहे वर्णन केले आहे दस्तऐवजीकरण मध्ये. X-Client-Data द्वारे, Google ला त्याच्या साइट्सच्या संबंधात Chrome मधील काही प्रायोगिक वैशिष्ट्यांच्या क्रियाकलापांवर डेटा प्राप्त होतो (उदाहरणार्थ, प्रयोगादरम्यान, Google काही चाचणी वैशिष्ट्ये ब्राउझरद्वारे समर्थित असल्यास किंवा ते वापरण्याचा प्रयत्न करत असल्यास YouTube मध्ये सक्रिय करू शकते. सक्रियकरण प्रायोगिक कार्यांसह समस्या सहसंबंधित करा).

शीर्षलेख प्रदर्शित केले “*.doubleclick.net”, “*.googlesyndication.com”, “www.googleadservices.com”, “*.google शी जुळणार्‍या केवळ Google साइट्सच्या विनंत्यांसाठी.TLD>" आणि "*.youtube. ", आणि HTTPS द्वारे पाठवले. गुप्त मोडमध्ये, हेडर पॉप्युलेट केलेले नाही, परंतु वापरकर्त्याचे प्रमाणीकृत Google प्रोफाइल अतिथी प्रोफाइलमध्ये बदलल्यास किंवा डेटा क्लिअरिंग ऑपरेशन कॉल केल्यावर, हेडर रीसेट केले जात नाही आणि त्याच मूल्यासह पाठविले जाणे सुरू राहील.

शीर्षलेखामध्ये कोणतीही वैयक्तिकरित्या ओळखण्यायोग्य माहिती नसल्याचं म्हटलं आहे आणि ते फक्त Chrome इंस्टॉलेशन स्थिती आणि सक्रिय प्रायोगिक वैशिष्ट्यांचे वर्णन करते. जर ब्राउझर वापर टेलीमेट्री आणि क्रॅश रिपोर्टिंग सेटिंग्जमध्ये अक्षम केले असेल, तर बेस X-क्लायंट-डेटा हेडर व्हॅल्यू व्युत्पन्न करण्यासाठी फक्त 13 बिट्स एन्ट्रॉपी (8000 भिन्न संयोजन) वापरतात, जे ओळखण्यासाठी पुरेसे नाही.

हेडर काही सिस्टीम सेटिंग्ज आणि पॅरामीटर्स देखील एन्कोड करते हे लक्षात घेऊन, शेवटी X-Client-Data ची सामग्री कमी कालावधीत अप्रत्यक्ष वापरकर्त्याच्या ओळखीसाठी डेटाचा अतिरिक्त स्रोत म्हणून योग्य आहे (प्रायोगिक क्षमता कालांतराने सक्षम आणि अक्षम केल्या जातात, जे X-क्लायंट-डेटामधील मूल्यामध्ये नियतकालिक बदल घडवून आणते).

तथापि, प्रारंभिक एन्ट्रॉपी व्यतिरिक्त, X-क्लायंट-डेटा मूल्याच्या निर्मितीमध्ये Google सर्व्हरद्वारे परत केलेला सीड सीक्‍वेन्स देखील वापरला जातो आणि देश, IP पत्ता आणि Google ला महत्त्वाच्या वाटणाऱ्या इतर निकषांवर अवलंबून असते (उदाहरणार्थ, काहीही प्रतिबंधित करत नाही. एक मोठा यादृच्छिक क्रम परत करण्यापासून, जो अचूक ओळखकर्ता होईल).
याव्यतिरिक्त, X-Client-Data पाठवताना Google डोमेन मास्क वापरून तपासणे अशा परिस्थितींना वगळत नाही जिथे आक्रमणकर्ता “youtube.xn--55qx5d” सारखे डोमेन नोंदणी करू शकतो आणि अभिज्ञापक गोळा करणे सुरू करू शकतो.

स्त्रोत: opennet.ru