Pri diskusii Google o zjednocení obsahu HTTP hlavičky User-Agent, vývojár prehliadača Kiwi na zostávajúcu v Chrome HTTP hlavičku „X-Client-Data“, ktorá potenciálne koná v súlade s všeobecným nariadením o ochrane údajov (). Počas bola tiež kritizovaná dvojznačnosť krokov spoločnosti Google, ktorá na jednej strane blokovanie skrytej identifikácie a sledovania činností používateľov, ale na druhej strane sa neponáhľa odstrániť z Chrome podporu hlavičky X-Client-Data, ktorá môže byť použitá na identifikáciu inštancií prehliadača pri prístupe k službám Google.
Hlava X-Client-Data nie je skrytou funkciou a jej správanie v dokumentácii. Prostredníctvom X-Client-Data spoločnosť Google získava údaje o aktivite určitých experimentálnych funkcií v Chrome v súvislosti s jej webovými stránkami (napríklad v priebehu experimentu môže Google aktivovať na YouTube určité testovacie funkcie, ak sú podporované prehliadačom, alebo sa pokúsiť priradiť vznikajúce problémy s aktiváciou experimentálnych funkcií).
Nadpis iba pre požiadavky na webové stránky Google zodpovedajúce maskám „*.doubleclick.net“, „*.googlesyndication.com“, „www.googleadservices.com“, „*.google.<>“ a „*.youtube.“, a to zasielané prostredníctvom HTTPS. V režime inkognito hlavička nie je vyplnená, ale v prípade zmeny autentifikovaného profilu používateľa Google na hosťujúci profil alebo pri vyvolaní operácie vymazania údajov hlavička nie je resetovaná a naďalej sa odosiela s predchádzajúcou hodnotou.
Bolo vyhlásené, že hlavička neobsahuje osobne identifikovateľné informácie, iba popisuje stav inštalácie Chrome a aktívne experimentálne funkcie. Ak je v nastaveniach zakázané zasielanie telemetrie o používaní prehliadača a generovanie správ o pádoch, pri generovaní základnej hodnoty hlavičky X-Client-Data sa používa iba 13 bitov entropie (8000 rôznych kombinácií), čo nestačí na identifikáciu.
Vzhľadom na to, že v hlavičke sú tiež kódované niektoré nastavenia a parametre systému, obsah X-Client-Data sa nakoniec úplne hodí ako dodatočný zdroj údajov na nepriamu identifikáciu používateľa na krátke časové obdobie (experimentálne možnosti sa časom zapínajú a vypínajú, čo vedie k periodickej zmene hodnoty v X-Client-Data).
Napriek tomu, okrem počiatočnej entropy pri tvorbe hodnoty X-Client-Data sa používa aj seed-sekvencia, ktorú vracajú servery Google a ktorá závisí od krajiny, IP adresy a iných kritérií, ktoré Google považuje za dôležité (napríklad nič nebráni vrátiť veľkú náhodnú sekvenciu, ktorá sa stane presným identifikátorom).
Okrem toho, kontrola podľa masky domén Google pri odosielaní X-Client-Data nevylučuje situácie, keď sa útočník môže zaregistrovať doménu typu „youtube.xn--55qx5d“ a začať zbierať identifikátory.
Zdroj: opennet.ru
