🤼 🙋🏻 🔆 Vous utilisez Google Chrome? Ainsi, Google collecte vos données via X-client-data 👨🏽‍💻 🤘🏻 🏥

Beaucoup de gens trouvent les services Google utiles et faciles à utiliser, mais ils ont au moins une fonctionnalité importante. Nous parlons d'un suivi constant des utilisateurs, de la collecte intensive et de l'envoi de données sur leur activité.

Tous les utilisateurs ne peuvent pas imaginer quel type de données l'entreprise recueille et dans quels volumes. Mais beaucoup sont fondamentalement liés à leur confidentialité, et certains sont prêts à percevoir une violation des secrets de confidentialité même en envoyant un journal contenant des informations purement techniques. Cependant, des utilisateurs vraiment avancés prennent parfois le chemin de la lutte contre Google.

Le 25 mai 2018, le règlement général sur la protection des données du RGPD est entré en vigueur , une loi adoptée par le Parlement européen qui a resserré et unifié les règles de protection des données des utilisateurs. L'UE a pris cette décision en raison du nombre croissant de grandes fuites de données personnelles collectées par des géants de l'informatique tels que Google et Facebook. Cependant, en fait, cette loi a affecté non seulement les citoyens de l'UE, mais aussi le reste du monde.

De nombreux services Internet, travaillant dans différents pays, essaient cependant de répondre aux exigences de confidentialité les plus strictes. Ainsi, le RGPD est devenu la norme mondiale de facto.

Alors google là-bas

Le mardi 4 février 2020, Arno Granal, le développeur du navigateur Kiwi basé sur Chromium, a soulevé la question du passage du soi-disant «identifiant unique» que Google Chrome génère lors de l'installation. Granal a suggéré qu'au moins Google lui-même pourrait l'utiliser.

Lui et certains autres utilisateurs suggèrent qu'il s'agit d'une porte dérobée qu'elle peut utiliser à ses propres fins. Et dans ce cas, nous pouvons parler de violation de la loi GDPR, car cet identifiant unique peut être considéré comme des données qui vous permettent d'établir de manière unique l'identité de l'utilisateur.

Google n'a pas commenté le problème. Et les documents officiels et autres messages de l'entreprise ne permettent pas de clarifier pleinement la situation.

Comment ça fonctionne

Lorsque le navigateur demande une page Web au serveur, il envoie une demande HTTP qui contient un ensemble d'en-têtes, qui sont des paires clé-valeur séparées par des deux-points. Ces en-têtes déterminent également dans quel format les données doivent être envoyées. Par exemple,

accept: text / html

Plus tôt (au moins depuis 2012), Chrome a envoyé un en-tête appelé «X-client-data», également connu sous le nom de «X-chrome-variations», pour tester les fonctionnalités en cours de développement. Google activera certaines de ces fonctionnalités lors de l'installation du navigateur. Des informations à leur sujet s'affichent lorsque vous saisissez chrome: // version dans la barre d'adresse de Chrome.

Variations:  202c099d-377be55a

À la ligne 32 du fichier de code source Chromium, l'en-tête X-client-data envoie à Google les informations Field Trials pour l'utilisateur Chrome actuel.
"L'en-tête Chrome-Variations (X-client-data) ne contiendra aucune information personnellement identifiable et ne décrira que les options d'installation de Chrome lui-même, y compris les variantes actives, ainsi que les données d'expériences côté serveur qui pourraient affecter l'installation." , Déclare le Guide des fonctionnalités de Google Chrome .

Cependant, ce n'est pas tout à fait vrai.

Pour chaque installation, Google Chrome génère aléatoirement un nombre compris entre 0 et 7999 (jusqu'à 13 bits). Ce nombre correspond à un ensemble de fonctions expérimentales activées aléatoirement.

Plus il y a de bits vides, plus il est difficile de créer une empreinte digitale de navigateur avec un haut degré d'unicité, et vice versa. Mais si vous combinez ces données avec des statistiques d'utilisation et des rapports d'erreur, qui sont activés par défaut, pour la plupart des utilisateurs de Chrome, vous pouvez toujours obtenir des empreintes digitales avec une précision assez élevée.

L'empreinte digitale "est déterminée par votre adresse IP, votre système d'exploitation, la version de Chrome et d'autres paramètres, ainsi que vos paramètres d'installation", explique Granal.

Si vous, par exemple, visitez YouTube, une ligne comme

X-client-data: CIS2yQEIprbJAZjBtskBCKmdygEI8J/KAQjLrsoBCL2wygEI97TKAQiVtcoBCO21ygEYq6TKARjWscoB

Vous pouvez le vérifier vous-même si vous ouvrez la console du développeur dans Google Chrome, puis l'onglet Réseau, puis accédez à youtube.com ou doubleclick.net par exemple.

Selon Granal, seulement youtube.com , google.com , doubleclick.net , googleadservices.com et d'autres services Google ont accès à ces identifiants . Mais seulement si le navigateur n'est pas en mode navigation privée.

Meilleure défense

Si seul Google a accès aux données du client X, cela peut indiquer que l'entreprise protège les données des utilisateurs contre tout le monde sauf lui-même.

Lukas Oleinik, chercheur indépendant et consultant sur la protection des données personnelles, estime que cette fonction peut être utilisée à des fins personnelles, bien qu'il soit fort possible qu'elle ait été créée pour suivre des problèmes techniques.

«Je crois que la plupart des utilisateurs n'ont aucune idée de cet identifiant, de ce qu'il fait et quand il est utilisé. Et peut-être que le problème est que l'identifiant reste constant et n'est pas réinitialisé lorsque l'utilisateur efface les données du navigateur. En ce sens, elle peut être considérée comme une empreinte. [Jusqu'à présent] le principal risque est que les données soient envoyées à des sites gérés par une seule organisation. "

Granal note qu'un tel mécanisme de transfert de données peut être considéré comme une vulnérabilité. Le code source de Chromium implémente uniquement la vérification d'une liste prédéfinie de domaines Google, mais il ne vérifie pas les autres domaines. Par conséquent, un attaquant peut acheter un domaine, par exemple, youtube.vg, et y déployer un site Web pour collecter les en-têtes de données X-client.

Fonctionnalités non documentées

En août 2017, les experts de Kaspersky Lab ont découvert une porte dérobée dans NetSarang, un logiciel populaire pour gérer les serveurs d'entreprise. La porte dérobée ShadowPad a été détectée en analysant des requêtes DNS suspectes dans le réseau d'entreprise de l'une des plus grandes sociétés ayant installé des logiciels. Grâce à la porte dérobée, les attaquants ont eu accès aux données confidentielles des organisations utilisant NetSarang.

La société de développement a déclaré ne rien savoir à ce sujet et le code malveillant a été introduit dans son produit par des attaquants inconnus. Cependant, après la découverte de la porte dérobée, les experts de NetSarang ont rapidement suspecté la vulnérabilité.

Les entreprises ferment-elles souvent les yeux sur de telles opportunités sans papiers?

Vous utilisez Google Chrome? Ainsi, Google collecte vos données via X-client-data

Alors google là-bas

Comment ça fonctionne

Meilleure défense

Fonctionnalités non documentées

More articles: