При обсуждении Google по унификации содержимого HTTP-заголовка User-Agent, разработчик браузера Kiwi на остающийся в Chrome HTTP-заголовок «X-Client-Data», который потенциально действующий в Евросоюзе общий регламент по защите данных (). В ходе также подверглась критике двойственность действий компании Google, которая с одной стороны для блокирования скрытой идентификации и отслеживания действий пользователей, но с другой стороны не спешит удалять из Chrome поддержку заголовка X-Client-Data, который может применяться для идентификации экземпляров браузера при обращении к сервисам Google.
Заголовок X-Client-Data не является скрытой функциональностью и его поведение в документации. Через X-Client-Data компания Google получает данные об активности тех или иных экспериментальный возможностей в Chrome в привязке к своим сайтам (например, в ходе эксперимента Google может активировать в Youtube определённые тестовые возможности, если они поддерживаются браузером или попытаться сопоставить возникающие проблемы с активацией экспериментальных функций).
Titlu только для запросов к сайтам Google, соответствующих маскам «*.doubleclick.net», «*.googlesyndication.com», «www.googleadservices.com», «*.google.<>» и «*.youtube.<TLD>», и отправляемых через HTTPS. В режиме инкогнито заголовок не заполняется, но в случае смены аутентифицированного профиля пользователя в Google на гостевой профиль или при вызове операции очистки данных заголовок не сбрасывается и продолжает отправляться с прежним значением.
Заявлено, что заголовок не содержит персонально идентифицируемой информации, а только описывает состояние установки Chrome и активные экспериментальные возможности. Если в настройках отключена отправка телеметрии об использовании браузера и генерация отчётов о крахах, при генерации базового значения заголовка X-Client-Data используется всего 13 бит энтропии (8000 разных комбинаций), что недостаточно для идентификации.
С учётом того, что в заголовке также кодируются некоторые настройки и параметры системы, в конечном счёте, содержимое X-Client-Data вполне подходит как дополнительный источник данных для косвенной идентификации пользователя в небольшой период времени (экспериментальные возможности со временем включаются и отключаются, что приводит к периодической смене значения в X-Client-Data).
Тем не менее, помимо начальной энтропии при формировании значения X-Client-Data также используется seed-последовательность, возвращаемая серверами Google и зависящая от страны, IP-адреса и других критериев, которые Google посчитает важными (например, ничто не мешает вернуть большую случайную последовательность, которая станет точным идентификатором).
Кроме того, проверка по маскам доменов Google при отправке X-Client-Data не исключает ситуаций, когда злоумышленник может зарегистрировать домен вида «youtube.xn--55qx5d» и начать собирать идентификаторы.
Sursa: opennet.ru