Gjatë diskutimit për Google mbi unifikimin e përmbajtjes së HTTP-header-it User-Agent, zhvilluesi i shfletuesit Kiwi HTTP-header-in «X-Client-Data» që ende mbetet në Chrome, i cili potencialisht Rregulloren e Përgjithshme për Mbrojtjen e të Dhënave në fuqi në Bashkimin Evropian (). Gjatë u kritikua gjithashtu edhe qasja e dyfishtë e kompanisë Google, e cila nga njëra anë bllokimin e identifikimit të fshehtë dhe gjurmimit të veprimeve të përdoruesve, por nga ana tjetër nuk nxiton të heqë nga Chrome mbështetjen për header-in X-Client-Data, i cili mund të përdoret për identifikimin e instancave të shfletuesit gjatë aksesit në shërbimet e Google.
Header-i X-Client-Data nuk është një funksionalitet i fshehur dhe sjellja e tij në dokumentacion. Përmes X-Client-Data, Google merr të dhëna për aktivitetin e disa ose të gjitha veçorive eksperimentale në Chrome, të lidhura me faqet e veta (për shembull, gjatë një eksperimenti Google mund të aktivizojë në YouTube disa funksione testuese të caktuara, nëse ato mbështeten nga shfletuesi, ose të përpiqet të lidhë problemet e shfaqura me aktivizimin e funksioneve eksperimentale).
Header-i vetëm për kërkesat drejt faqeve të Google që përputhen me modelet «*.doubleclick.net», «*.googlesyndication.com», «www.googleadservices.com», «*.google.<>» dhe «*.youtube.», dhe që dërgohen përmes HTTPS. Në regjimin incognito, header-i nuk plotësohet, por në rast të kalimit nga një profil i autentikuar përdoruesi në Google te një profil mysafir, ose kur thirret operacioni i pastrimit të të dhënave, header-i nuk rivendoset dhe vazhdon të dërgohet me vlerën e mëparshme.
ĂshtĂ« deklaruar se header-i nuk pĂ«rmban informacion personal identifikues, por vetĂ«m pĂ«rshkruan gjendjen e instalimit tĂ« Chrome dhe veçoritĂ« eksperimentale aktive. NĂ«se nĂ« cilĂ«sime Ă«shtĂ« çaktivizuar dĂ«rgimi i telemetrisĂ« pĂ«r pĂ«rdorimin e shfletuesit dhe gjenerimi i raporteve tĂ« ndĂ«rprerjeve, gjatĂ« gjenerimit tĂ« vlerĂ«s bazĂ« tĂ« header-it X-Client-Data pĂ«rdoren vetĂ«m 13 bit entropi (8000 kombinime tĂ« ndryshme), gjĂ« qĂ« nuk mjafton pĂ«r identifikim.
Duke marrë parasysh se disa cilësime dhe parametra të sistemit kodifikohen gjithashtu në titull, në fund të fundit, përmbajtja e X-Client-Data është e përshtatshme si një burim shtesë të dhënash për identifikimin e të përdoruesve për një periudhë të vogël kohe (mundësitë eksperimentale aktivizohen dhe deaktivizohen me kalimin e kohës, duke çuar në ndryshime të përkohshme të vlerës në X-Client-Data).
Megjithatë, përveç entropisë fillestare gjatë formimit të vlerës X-Client-Data, përdoret gjithashtu një sekuencë të farës, e cila kthehet nga serverat Google dhe varet nga vendi, adresa IP dhe kriteret të tjera që Google konsideron të rëndësishme (për shembull, nuk ka asnjë pengesë për të kthyer një sekuencë të madhe rastësore, e cila do të bëhet një identifikues i saktë).
Për më tepër, kontrolli përmaskave të domenit të Google gjatë dërgimit të X-Client-Data nuk përjashton situata ku një keqbërës mund të regjistrojë një domain si «youtube.xn--55qx5d» dhe të fillojë të mbledhë identifikues.
Burimi: opennet.ru
