Nagłówek X-Client-Data jako metoda identyfikacji użytkowników Chrome

Podczas dyskusji inicjatywy Google na temat ujednolicenia treści nagłówka HTTP User-Agent, deweloper przeglądarki Kiwi zauważył pozostający w Chrome nagłówek HTTP „X-Client-Data”, który potencjalnie zakłóca narusza ogólne rozporządzenie o ochronie danych (GDPR). W toku dyskusji krytyki poddano również dwuznaczność działań firmy Google, która z jednej strony promuje metod blokowanie ukrytej identyfikacji i śledzenia działań użytkowników, a z drugiej strony nie spieszy się z usunięciem wsparcia dla nagłówka X-Client-Data z Chrome, który może być używany do identyfikacji instancji przeglądarki przy korzystaniu z usług Google.

Nagłówek X-Client-Data nie jest ukrytą funkcjonalnością, a jego działanie opisano opisano w dokumentacji. Dzięki X-Client-Data firma Google zbiera dane o aktywności różnych eksperymentalnych funkcji w Chrome związanych z jej stronami (na przykład podczas eksperymentu Google może aktywować na YouTube określone testowe funkcje, jeśli są one obsługiwane przez przeglądarkę lub próbować powiązać występujące problemy z aktywacją funkcji eksperymentalnych).

Nagłówek jest ustawiany tylko dla żądań do stron Google, pasujących do wzorów „*.doubleclick.net”, „*.googlesyndication.com”, „www.googleadservices.com”, „*.google.<TLD>” oraz „*.youtube.”, i wysyłanych przez HTTPS. W trybie incognito nagłówek nie jest wypełniany, jednak w przypadku zmiany uwierzytelnionego profilu użytkownika na profil gościa lub przy wywołaniu operacji czyszczenia danych nagłówek nie jest resetowany i nadal jest wysyłany z poprzednią wartością.

Twierdzi się, że nagłówek nie zawiera osobowo identyfikowalnych informacji, a jedynie opisuje stan instalacji Chrome oraz aktywne funkcje eksperymentalne. Jeśli w ustawieniach wyłączono wysyłanie telemetrycznych danych o użytkowaniu przeglądarki i generowanie raportów o awariach, przy generowaniu podstawowej wartości nagłówka X-Client-Data używa się tylko 13 bitów entropii (8000 różnych kombinacji), co jest niewystarczające do identyfikacji.

Biorąc pod uwagę, że w nagłówku kodowane są również pewne ustawienia i parametry systemu, ostatecznie zawartość X-Client-Data może być uznawana za dodatkowe źródło danych do pośredniej identyfikacji użytkownika w krótkim okresie (eksperymentalne możliwości są włączane i wyłączane w czasie, co prowadzi do okresowych zmian wartości w X-Client-Data).

Niemniej jednak, poza początkową entropią przy generowaniu wartości X-Client-Data, używana jest również sekwencja seed, zwracana przez serwery Google, która zależy od kraju, adresu IP i innych kryteriów, które Google uzna za istotne (na przykład nic nie stoi na przeszkodzie, aby zwrócić większą losową sekwencję, która stanie się dokładnym identyfikatorem).
Ponadto, weryfikacja na podstawie masek domen Google przy wysyłaniu X-Client-Data nie wyklucza sytuacji, w których napastnik może zarejestrować domenę typu „youtube.xn--55qx5d” i zacząć zbierać identyfikatory.

Źródło: opennet.ru