Kijajuu cha X-Client-Data kama njia ya kuwatambua watumiaji wa Chrome

Wakati wa kujadili mipango Google ili kuunganisha maudhui ya kichwa cha Wakala wa Mtumiaji wa HTTP, msanidi wa kivinjari cha Kiwi niliona kwa kichwa cha HTTP cha "X-Client-Data" kilichosalia kwenye Chrome, ambacho kinawezekana inakiuka Udhibiti wa Jumla wa Ulinzi wa Data unatumika katika Umoja wa Ulaya (GDPR) Wakati majadiliano Uwili wa vitendo vya Google pia ulishutumiwa, ambayo kwa upande mmoja inakuza njia ili kuzuia kitambulisho kilichofichwa na kufuatilia vitendo vya mtumiaji, lakini kwa upande mwingine, sio haraka kuondoa usaidizi wa kichwa cha X-Client-Data kutoka Chrome, ambacho kinaweza kutumika kutambua matukio ya kivinjari wakati wa kufikia huduma za Google.

Kichwa cha X-Client-Data hakijafichwa utendakazi na tabia yake ni ilivyoelezwa katika nyaraka. Kupitia X-Client-Data, Google hupokea data kuhusu shughuli za vipengele fulani vya majaribio katika Chrome kuhusiana na tovuti zake (kwa mfano, wakati wa majaribio, Google inaweza kuwezesha vipengele fulani vya majaribio kwenye YouTube ikiwa vinatumika na kivinjari au kujaribu unganisha matatizo na kazi za majaribio za kuwezesha).

Cheo iliyoonyeshwa kwa maombi tu kwa tovuti za Google zinazolingana na vinyago vya “*.doubleclick.net”, “*.googlesyndication.com”, “www.googleadservices.com”, “*.google.TLD>" na "*.youtube. ", na kutumwa kupitia HTTPS. Katika hali fiche, kichwa hakijajazwa, lakini ikiwa wasifu wa Google uliothibitishwa wa mtumiaji utabadilika kuwa wasifu wa mgeni au operesheni ya uondoaji data inapoitwa, kichwa hakijawekwa upya na kinaendelea kutumwa kwa thamani sawa.

Kijajuu kinaelezwa kuwa hakina maelezo yoyote yanayoweza kumtambulisha mtu binafsi na kinaeleza tu hali ya usakinishaji wa Chrome na vipengele vinavyotumika vya majaribio. Ikiwa data ya matumizi ya kivinjari na ripoti ya kuacha kufanya kazi imezimwa katika mipangilio, kuzalisha thamani ya msingi ya X-Client-Data hutumia biti 13 tu za entropy (michanganyiko 8000 tofauti), ambayo haitoshi kwa utambuzi.

Kwa kuzingatia kwamba kichwa pia husimba baadhi ya mipangilio na vigezo vya mfumo, hatimaye yaliyomo kwenye X-Client-Data yanafaa kabisa kama chanzo cha ziada cha data kwa ajili ya utambulisho usio wa moja kwa moja wa mtumiaji katika kipindi kifupi cha muda (uwezo wa majaribio umewashwa na kulemazwa zaidi. wakati, ambayo husababisha mabadiliko ya mara kwa mara ya thamani katika X-Client-Data).

Hata hivyo, pamoja na entropy ya awali, wakati wa kuzalisha thamani ya X-Client-Data, pia kuna mlolongo wa mbegu unaorudishwa na seva za Google na kulingana na nchi, anwani ya IP na vigezo vingine ambavyo Google inaona muhimu (kwa mfano, hakuna kitu kinachozuia. kutoka kwa kurudisha mlolongo mkubwa wa nasibu , ambao utakuwa kitambulisho halisi).
Aidha, kuangalia kwa kutumia vinyago vya kikoa cha Google wakati wa kutuma X-Client-Data hakuzuii hali ambapo mvamizi anaweza kusajili kikoa kama vile “youtube.xn--55qx5d” na kuanza kukusanya vitambulishi.

Chanzo: opennet.ru