Ao discutir a unificação do conteúdo do cabeçalho HTTP User-Agent pelo Google, o desenvolvedor do navegador Kiwi para o cabeçalho HTTP "X-Client-Data" que permanece no Chrome e que potencialmente o regulamento geral de proteção de dados em vigor na União Europeia (). Durante também foi criticada a dualidade das ações da empresa Google, que, por um lado, a bloqueio da identificação oculta e rastreamento das ações dos usuários, mas, por outro lado, não se apressa a remover do Chrome o suporte ao cabeçalho X-Client-Data, que pode ser usado para identificar instâncias do navegador ao acessar os serviços do Google.
O cabeçalho X-Client-Data não é uma funcionalidade oculta e seu comportamento está documentado. Através do X-Client-Data, o Google obtém dados sobre a atividade de certas funcionalidades experimentais no Chrome em relação aos seus sites (por exemplo, durante um experimento, o Google pode ativar no Youtube determinadas funcionalidades de teste, se forem suportadas pelo navegador, ou tentar correlacionar problemas que surgem com a ativação de funcionalidades experimentais).
Cabeçalho apenas para solicitações a sites do Google que correspondem aos padrões "*.doubleclick.net", "*.googlesyndication.com", "www.googleadservices.com", "*.google.<>", e "*.youtube.", e são enviados via HTTPS. No modo incógnito, o cabeçalho não é preenchido, mas em caso de mudança do perfil autenticado do usuário no Google para o perfil de convidado ou ao chamar a operação de limpeza de dados, o cabeçalho não é redefinido e continua a ser enviado com o valor anterior.
Foi declarado que o cabeçalho não contém informações pessoalmente identificáveis, mas apenas descreve o estado da instalação do Chrome e as funcionalidades experimentais ativas. Se a opção de envio de telemetria sobre o uso do navegador e a geração de relatórios de falhas estiver desativada nas configurações, ao gerar o valor base do cabeçalho X-Client-Data, são utilizados apenas 13 bits de entropia (8000 combinações diferentes), o que é insuficiente para identificação.
Considerando que algumas configurações e parâmetros do sistema também são codificados no cabeçalho, o conteúdo de X-Client-Data pode ser uma fonte adicional de dados para a identificação indireta do usuário por um curto período (as capacidades experimentais são ativadas e desativadas ao longo do tempo, resultando em mudanças periódicas no valor em X-Client-Data).
No entanto, além da entropia inicial na formação do valor de X-Client-Data, também é utilizada uma sequência seed retornada pelos servidores do Google, que depende do país, endereço IP e outros critérios que o Google considere importantes (por exemplo, nada impede que uma sequência aleatória maior seja retornada, que se torne um identificador exato).
Além disso, a verificação por máscaras de domínio do Google ao enviar X-Client-Data não exclui situações em que um invasor pode registrar um domínio do tipo "youtube.xn--55qx5d" e começar a coletar identificadores.
Fonte: opennet.ru
