Для чего нужен следующий заголовок: X-Chrome-Variations?

Question

Я просматривал http-запросы, отправленные chrome в Fiddler, и заметил следующий заголовок http, который меня озадачивает:

 X-Chrome-Variations: CNa1yQEIjrbJAQiYtskBCKK2yQEIp7bJAQiptskBCLmDygE=

Это 35-байтовый массив в кодировке base64:

8,214,181,201,1,
8,142,182,201,1,
8,152,182,201,1,
8,162,182,201,1,
8,167,182,201,1,
8,169,182,201,1,
8,185,131,202,1

Я видел несколько примеров этого числа в Интернете.

Может кто-нибудь объяснить мне, что это такое, и почему Chrome отправляет его (и может ли он использоваться для идентификации / отслеживания меня)?

Answer 1

Разработчики Google Chrome тестируют экспериментальные функции, включая функцию для небольшого случайного выбора установок Chrome и наблюдая, как эта функция работает. Общий термин для этого - полевые испытания. Когда Google Chrome запускается в первый раз, он генерирует случайное число от 1 до 8192 и позже использует его, чтобы определить, следует ли участвовать в конкретном полевом испытании.

Технический документ " Google Chrome и конфиденциальность" (PDF, октябрь 2012 г., по состоянию на Chrome 22.0.1229.79) содержит эти сведения.

Чтобы помочь в создании функций, которые пользователи действительно находят полезными, подгруппа пользователей может получить представление о новых функциях, прежде чем они появятся в мире в целом. Полевые испытания, которые в настоящее время активны для вашей установки Chrome, будут включены во все запросы, отправляемые на серверы Google, чтобы позволить Google фильтровать журналы только для тех, которые сгенерированы данным вариантом Chrome. это Chrome-Variations Заголовок не будет содержать никакой личной информации, и будет строго описывать состояние установки самого Chrome.

Изменения, активные для данной установки, определяются начальным числом от 1 до 8192 (13 битов энтропии), которое выбирается случайным образом при первом запуске. Если вы хотите сбросить начальное число вариантов, запустите Chrome с флагом командной строки "--reset-Variation".

Google Chrome отправляет информацию о том, какие полевые испытания в настоящее время активны, на все домены формы *.google.<TLD> (где .<TLD> домен верхнего уровня, такой как.com,.org,.co.uk,.cn,.biz и т. д.). Большинство, но не все эти домены принадлежат Google. Идентификаторы полевых испытаний хранятся в буфере протокола, кодируются с помощью base64 и отправляются в X-Chrome-Variations заголовок. Если вы выбрали отправку статистики использования и отчетов о сбоях в Google (флажок доступен на chrome://​chrome/​settings/​search#privacy), X-Chrome-UMA-Enabled: 1 Заголовок также отправляется. Заголовки не отправляются в режиме инкогнито.

Начиная с версии 156914 (включенной в Chrome 23 и более поздние версии в соответствии с таблицей выпусков), список полевых испытаний отображается под заголовком Вариации на about:version стр.

Соответствующий исходный код находится в файле chromium/ src/ chrome / browser/ renderer_host/ chrome_resource_dispatcher_host_delegate.cc. Заголовки отправляются в ChromeResourceDispatcherHostDelegate::​AppendChromeMetricsHeaders метод. Значение X-Chrome-Variations построен в ChromeResourceDispatcherHostDelegate::​UpdateVariationIDsHeaderValue метод. Полевые испытания определяются с использованием base::FieldTrial класс из файла src/ base / metrics / field_trial.h

Что касается возможности отслеживать вас с помощью этих заголовков, это зависит от свойств уникальности фактической комбинации ваших полевых испытаний, о которых я не знаю. Но имейте в виду, что даже если вы лишите X-Chrome-Variations Заголовки, отключить куки, локальное хранилище и локальное хранилище Flash, ваш браузер все еще может быть идентифицирован с использованием методов снятия отпечатков кэша или с помощью комбинации заголовков запросов, которые он обычно отправляет, информация о конфигурации вашей системы доступна для JavaScript или Flash и, возможно, IP-адрес блокирует вас как правило, используют, как показывает Panopticlick EFF. Так что игра о конфиденциальности в основном теряется, если вы не используете тщательно настроенный Tor с настройкой Privoxy, и даже в этом случае возможны утечки.