بحث کرتے وقت گوگل کیوی براؤزر کے ڈویلپر، HTTP یوزر ایجنٹ ہیڈر کے مواد کو یکجا کرنے کے لیے کروم میں باقی "X-Client-Data" HTTP ہیڈر تک، جو ممکنہ طور پر یورپی یونین میں عام ڈیٹا پروٹیکشن ریگولیشن نافذ ہے ()۔ دوران گوگل کے اقدامات پر دوہری تنقید بھی کی گئی جو کہ ایک طرف پوشیدہ شناخت اور صارف کی کارروائیوں کو ٹریک کرنے کو روکنے کے لیے، لیکن دوسری طرف، کروم سے X-Client-Data ہیڈر کے لیے سپورٹ کو ہٹانے کی کوئی جلدی نہیں ہے، جسے Google سروسز تک رسائی کے وقت براؤزر کی مثالوں کی شناخت کے لیے استعمال کیا جا سکتا ہے۔
X-Client-Data ہیڈر چھپی ہوئی فعالیت نہیں ہے اور اس کا برتاؤ ہے۔ دستاویزات میں. X-Client-Data کے ذریعے، Google اپنی سائٹس کے سلسلے میں کروم میں بعض تجرباتی خصوصیات کی سرگرمی سے متعلق ڈیٹا حاصل کرتا ہے (مثال کے طور پر، کسی تجربے کے دوران، گوگل یوٹیوب میں بعض ٹیسٹ خصوصیات کو چالو کر سکتا ہے اگر وہ براؤزر کے ذریعے تعاون یافتہ ہوں یا کوشش کریں ایکٹیویشن تجرباتی افعال کے ساتھ مسائل کو جوڑتا ہے)۔
عنوان صرف گوگل سائٹس کی درخواستوں کے لیے جو ماسک "*.doubleclick.net"، "*.googlesyndication.com"، "www.googleadservices.com"، "*.google سے ملتی ہیں۔>" اور "*.youtube۔ "، اور HTTPS کے ذریعے بھیجا گیا۔ پوشیدگی موڈ میں، ہیڈر پاپولڈ نہیں ہوتا ہے، لیکن اگر صارف کی تصدیق شدہ Google پروفائل کسی مہمان پروفائل میں تبدیل ہو جاتی ہے یا جب ڈیٹا کلیئرنگ آپریشن کو کال کیا جاتا ہے، تو ہیڈر کو دوبارہ ترتیب نہیں دیا جاتا ہے اور اسی قدر کے ساتھ بھیجا جاتا ہے۔
ہیڈر میں کہا گیا ہے کہ کوئی ذاتی طور پر قابل شناخت معلومات نہیں ہے اور یہ صرف Chrome انسٹالیشن کی حیثیت اور فعال تجرباتی خصوصیات کو بیان کرتا ہے۔ اگر براؤزر کے استعمال کی ٹیلی میٹری اور کریش رپورٹنگ سیٹنگز میں غیر فعال ہیں، تو بیس X-Client-Data ہیڈر ویلیو بنانے میں صرف 13 بٹس اینٹروپی (8000 مختلف امتزاجات) کا استعمال ہوتا ہے، جو کہ شناخت کے لیے کافی نہیں ہے۔
یہ دیکھتے ہوئے کہ ہیڈر کچھ سسٹم کی ترتیبات اور پیرامیٹرز کو بھی انکوڈ کرتا ہے، بالآخر X-Client-Data کے مواد مختصر مدت میں بالواسطہ صارف کی شناخت کے لیے ڈیٹا کے اضافی ذریعہ کے طور پر کافی موزوں ہیں (تجرباتی صلاحیتیں وقت کے ساتھ فعال اور غیر فعال ہوجاتی ہیں، جو X-Client-Data میں قدر کی متواتر تبدیلی کا باعث بنتا ہے)۔
تاہم، ابتدائی اینٹروپی کے علاوہ، X-Client-Data ویلیو پیدا کرتے وقت، Google سرورز کی طرف سے ایک بیج کی ترتیب بھی واپس کی جاتی ہے اور ملک، IP ایڈریس اور دیگر معیارات پر منحصر ہے جسے Google اہم سمجھتا ہے (مثال کے طور پر، کچھ بھی نہیں روکتا آپ کو ایک بڑی بے ترتیب ترتیب واپس کرنے سے، جو عین مطابق شناخت کنندہ بن جائے گا)۔
اس کے علاوہ، X-Client-Data بھیجتے وقت گوگل ڈومین ماسک کا استعمال کرتے ہوئے چیک کرنا ایسے حالات کو خارج نہیں کرتا جہاں حملہ آور "youtube.xn--55qx5d" جیسے ڈومین کو رجسٹر کر سکتا ہے اور شناخت کنندگان کو جمع کرنا شروع کر سکتا ہے۔
ماخذ: opennet.ru