Bij de bespreking van Google voor de uniformiteit van de HTTP-header User-Agent, heeft de ontwikkelaar van de Kiwi-browser de blijvende HTTP-header 'X-Client-Data' in Chrome bekritiseerd, die mogelijk de huidige algemene verordening inzake gegevensbescherming in de Europese Unie (). Tijdens kwam ook de dubbelzinnigheid van Google's acties aan de orde, die enerzijds van de blokkering van verborgen identificatie en tracking van gebruikers steunt, maar anderzijds niet haastig de ondersteuning voor de X-Client-Data-header in Chrome verwijdert, die kan worden gebruikt om instanties van de browser te identificeren bij het benaderen van Google's diensten.
De X-Client-Data-header is geen verborgen functie en het gedrag ervan is gedocumenteerd. Via X-Client-Data verzamelt Google gegevens over de activiteit van bepaalde experimentele mogelijkheden in Chrome in relatie tot zijn websites (bijvoorbeeld kan Google tijdens een experiment bepaalde testmogelijkheden in YouTube activeren als ze door de browser worden ondersteund, of proberen problemen te koppelen die zich voordoen bij het activeren van experimentele functies).
De header alleen verzonden voor verzoeken naar Google-websites die voldoen aan de maskers '*.doubleclick.net', '*.googlesyndication.com', 'www.googleadservices.com', '*.google.<>' en '*.youtube.', en die via HTTPS worden verzonden. In incognito modus wordt de header niet ingevuld, maar als het geauthenticeerde gebruikersprofiel van de gebruiker in Google verandert naar een gastprofiel of bij het opruimen van gegevens, wordt de header niet opnieuw ingesteld en blijft deze met de oude waarde verzonden.
Er is verklaard dat de header geen persoonlijk identificeerbare informatie bevat, maar alleen de status van de Chrome-installatie en actieve experimentele mogelijkheden beschrijft. Als de optie voor het verzenden van telemetry-data over het gebruik van de browser en het genereren van crashrapporten is uitgeschakeld, wordt bij het genereren van de basiswaarde van de X-Client-Data-header slechts 13 bits aan entropie gebruikt (8000 verschillende combinaties), wat onvoldoende is voor identificatie.
Gezien het feit dat in de header ook bepaalde instellingen en parameters van het systeem zijn gecodeerd, is de inhoud van X-Client-Data uiteindelijk geheel geschikt als aanvullende gegevensbron voor de indirecte identificatie van de gebruiker over een korte periode (experimentele mogelijkheden worden in de loop van de tijd in- en uitgeschakeld, wat leidt tot periodieke veranderingen in de waarde van X-Client-Data).
Echter, naast de initiƫle entropie bij het vormen van de waarde X-Client-Data, wordt ook een seed-reeks gebruikt, die door Google-servers wordt geretourneerd en afhangt van het land, het IP-adres en andere criteria die Google als belangrijk beschouwt (bijvoorbeeld, niets staat in de weg om een grote willekeurige reeks terug te geven die een nauwkeurige identificator zal worden).
Bovendien sluit de controle op de domeinmaskers van Google bij het verzenden van X-Client-Data situaties niet uit waarin een aanvaller een domein van het type "youtube.xn--55qx5d" kan registreren en begint identificators te verzamelen.
Bron: opennet.ru
