Reblog via Mike Kuketz
1. Brave
Im Rahmen der Artikelserie »Browser-Check« werden diverse Browser auf ihr Datensendeverhalten geprüft. Mittels eines Intercepting-Proxys wird das Verhalten der Browser beim Start und auch während der Nutzung analysiert. Es wird geprüft, wohin ein Browser eine Verbindung aufbaut und welche Daten dabei übermittelt werden. Die Ergebnisse sollen Aufschluss darüber geben, wie datenschutzfreundlich ein Browser in der Standardkonfiguration ist und Tipps ableiten, wie sich das »Nach-Hause-Telefonieren« einschränken oder sogar vollständig abschalten lässt.
Im vorliegenden Beitrag wird der Brave-Browser analysiert, der für Android, iOS, Windows, macOS und GNU/Linux verfügbar ist. Die Ausgangslage für den nachfolgenden Test von Brave ist wie folgt:
- Betriebssystem: Android 11
- Version: 1.51.114 (Google Play Store)
- Konfiguration: Standardkonfiguration (keine Anpassungen)
Brave wird aktuell wie folgt beworben:
Die beste Privatsphäre im Internet
Hinweis
Die Desktop-Version von Brave wurde bereits im Mai 2021 analysiert. Nachfolgend wird die Android-Version unter die Lupe genommen.
Dieser Beitrag ist Teil einer Artikelserie:
2.1 Unmittelbar nach dem Start – keine (Nutzer-)Interaktion
[1] Verbindungsaufbau zu Brave zum Host »go-updater.brave.com« / »componentupdater.brave.com«:
POST /extensions HTTP/1.1
Host: go-updater.brave.com
Content-Length: 683
Braveservicekey: qjVKcxtUybh8WpKNoQ7EbgbkJTMu7omjDHKk=VrPApb8PwJyPE9eqchxedTsMEWg
X-Goog-Update-Appid: mfddibmblmbccpadfndgakiopmmhebop
X-Goog-Update-Interactivity: fg
X-Goog-Update-Updater: -113.1.51.114
Content-Type: application/json
Sec-Fetch-Site: none
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: empty
User-Agent: Mozilla/5.0 (Linux; Android 11) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Mobile Safari/537.36
Accept-Encoding: gzip, deflate
Connection: close
{
"request": {
"@os": "android",
"@updater": "",
"acceptformat": "crx3",
"app": [
{
"appid": "mfddibmblmbccpadfndgakiopmmhebop",
"enabled": true,
"installsource": "ondemand",
"ping": {
"r": -2
},
"updatecheck": {},
"version": "0.0.0.0"
}
],
"arch": "arm64",
"dedup": "cr",
"hw": {
"avx": false,
"physmemory": 3,
"sse": false,
"sse2": false,
"sse3": false,
"sse41": false,
"sse42": false,
"ssse3": false
},
"ismachine": true,
"nacl_arch": "arm",
"os": {
"arch": "aarch64",
"platform": "Android",
"version": "11"
},
"prodchannel": "stable",
"prodversion": "113.1.51.114",
"protocol": "3.1",
"requestid": "{7fe2a48e-7708-44bf-bccf-42b2eb32ba07}",
"sessionid": "{f366bc1d-7552-4b77-8336-36926c960a50}",
"updaterchannel": "stable",
"updaterversion": "113.1.51.114"
}
}
Über den Host »go-updater.brave.com« / »componentupdater.brave.com« sucht der Browser nach Updates für Erweiterungen bzw. Browser-Komponenten. In der Standardkonfiguration, ohne die weitere Installation von Add-ons, wird der Aufruf mehrmals wiederholt. Dabei wird unter anderem übermittelt:
- Betriebssystem: Android
- Architektur: arm64
- Arbeitsspeicher: 3 GB
- Version der Erweiterung/Komponenten: 1.0.39
- App-ID: oofiananboodjbbmdelgdommihjbkfag (vermutlich eine Referenz zur Erweiterung)
Sofern Updates bereitstehen, werden diese anschließend über die Gegenstelle »brave-core-ext.s3.brave.com« bezogen/heruntergeladen.
[2] Weiter geht es mit der Übermittlung von Analysedaten an die Gegenstelle »p3a-json.brave.com«:
POST / HTTP/1.1
Host: p3a-json.brave.com
Content-Length: 205
X-Brave-P3a: ?1
Content-Type: application/json
Braveservicekey: qjVKcxtUybh8WpKNoQ7EbgbkJTMu7omjDHKk=VrPApb8PwJyPE9eqchxedTsMEWg
Sec-Fetch-Site: none
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: empty
User-Agent: Mozilla/5.0 (Linux; Android 11) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Mobile Safari/537.36
Accept-Encoding: gzip, deflate
Connection: close
{
"cadence":"typical",
"channel":"release",
"country_code":"DE",
"metric_name":"Brave.Shields.UsageStatus",
"metric_value":0,
"platform":"android-bc",
"version":"1.51.114",
"woi":20,"wos":20,
"yoi":2023,
"yos":2023
}
Beim Verbindungsaufbau zum Host »p3a.brave.com« werden Telemetriedaten bzw. Analysedaten übermittelt. Dahinter steckt das von Brave entwickelte Privacy-Preserving Product Analytics (P3a) – also ein Analyse-Dienst. Ob und wie die Privatsphäre hierbei geschützt wird, habe ich nicht überprüft. Fakt ist, es werden acht Verbindungen zu dieser Gegenstelle initiiert. Solche Zugriffe auf Endeinrichtungen zu Zwecken der (Web-)Analyse, der Marktforschung und jede Form der Werbung ohne informierte Einwilligung ist nach § 25 Abs. 1 TTDSG unzulässig. § 25 TTDSG regelt den Schutz der Privatsphäre bei Endeinrichtungen und setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um.
2.2 Brave verbessern
Kurz nach dem Start erscheint eine Art (Cookie-)Consent-Banner. Dort werden beide Häkchen abgewählt und Fortfahren angetippt:
[1] Verbindungsaufbau zu Brave zum Host »www.gstatic.com«:
GET /chrome/ntp/suggested_sites_DEFAULT_5.json HTTP/1.1
Host: www.gstatic.com
Sec-Fetch-Site: none
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: empty
User-Agent: Mozilla/5.0 (Linux; Android 11) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Mobile Safari/537.36
Accept-Encoding: gzip, deflate
Accept-Language: de-DE,de;q=0.9,en-US;q=0.8,en;q=0.7
Connection: close
Als Rückgabe erhält der Browser eine Liste mit URLs – vorgeschlagene Seiten. Zu diesen Seiten baut Brave dann auch gleich eine Verbindung auf, um die Favicons zu laden bzw. die Icons darzustellen:
- Facebook: static.xx.fbcdn.net
- YouTube: m.youtube.com
- Amazon: images-na.ssl-images-amazon.com
- Wikipedia: en.m.wikipedia.org
- ESPN.com: a.espncdn.com
- Yahoo: s.yimg.com
- eBay: ir.ebaystatic.com
- Instagram: www.instagram.com
Bei diesen Aufrufen werden keine sensiblen Daten übertragen, aber es sind eben Aufrufe, bei denen technisch bedingt die IP-Adresse an die Gegenstelle übermittelt wird.
[2] Verbindungsaufbau zu Brave zum Host »variations.brave.com«:
GET /seed?osname=android&channel=stable&milestone=113 HTTP/1.1
Host: variations.brave.com
A-Im: gzip
Braveservicekey: qjVKcxtUybh8WpKNoQ7EbgbkJTMu7omjDHKk=VrPApb8PwJyPE9eqchxedTsMEWg
Sec-Fetch-Site: none
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: empty
User-Agent: Mozilla/5.0 (Linux; Android 11) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Mobile Safari/537.36
Accept-Encoding: gzip, deflate
Connection: close
Beim ersten Start des Browsers wird ein BraveServiceKey generiert, der für Anfragen an Brave-Server bzw. -Dienste übermittelt wird. Diese Domain wird für die Durchführung von A/B-Tests und die Aktivierung von experimentellen Funktionen in der Brave-Browser-Software verwendet. A/B-Tests ermöglichen es den Entwicklern, verschiedene Versionen des Browsers an eine Stichprobe von Benutzern auszuliefern, um deren Auswirkungen und Leistung zu überprüfen. Laut meinen Erkenntnissen lässt sich dies nicht über die Einstellungen und auch nicht via brave://flags deaktivieren.
[3] Verbindungsaufbau zu Brave zum Host »laptop-updates.brave.com«:
GET /1/usage/brave-core?platform=android-bc&channel=release&version=1.51.114&daily=true&weekly=true&monthly=true&first=true&woi=2023-05-15&dtoi=2023-05-19&ref=BRV001&adsEnabled=false&arch=&wallet2=0 HTTP/1.1
Host: laptop-updates.brave.com
Pragma: no-cache
Cache-Control: no-cache
X-Brave-Api-Key: fe033168-0ff8-4af6-9a7f-95e2cbfc9f4f
Sec-Fetch-Site: none
Sec-Fetch-Mode: no-cors
Sec-Fetch-Dest: empty
User-Agent: Mozilla/5.0 (Linux; Android 11) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Mobile Safari/537.36
Accept-Encoding: gzip, deflate
Connection: close
Bei diesem GET-Request wird unter anderem die verwendete Plattform (Android), die Brave-Version (1.51.114) und ob Ads aktiviert sind, übermittelt. In der Vergangenheit (Analyse Desktop Version Mai 2021) hat Brave über die Gegenstelle »laptop-updates.brave.com« eine Liste mit Affiliates bzw. Brave-Partnern bezogen. Das ist nun nicht mehr der Fall, die Gegenstelle antwortet folgendermaßen:
HTTP/1.1 200 OK
Connection: close
Content-Length: 75
Content-Type: application/json; charset=utf-8
Cache-Control: no-cache, no-store, must-revalidate, private, max-age=0
Expires: 0
Pragma: no-cache
X-Ratelimit-Limit: 1
X-Ratelimit-Remaining: 0
X-Ratelimit-Reset: 1800
Accept-Ranges: bytes
Date: Fri, 19 May 2023 12:47:12 GMT
Via: 1.1 varnish
X-Served-By: cache-fra-eddf8230030-FRA
X-Cache: MISS
X-Cache-Hits: 0
X-Timer: S1684500432.300272,VS0,VE181
{
"Renderer":null,
"status":"ok",
"ts":1684500432,
"latestVersion":"1.51.118"
}
Wozu diese Übermittlung erfolgt, bleibt unklar.
2.3 Während der aktiven Nutzung
Während der aktiven Nutzung prüft Brave über die Gegenstellen »go-updater.brave.com« / »componentupdater.brave.com« regelmäßig nach Updates. Sofern ein Update bereitsteht, wird über die Adresse »»brave-core-ext.s3.brave.com« ein Download eingeleitet.
Gelegentlich findet auch eine Kontaktaufnahme zur Gegenstelle »variations.brave.com« statt, die für A/B-Tests bzw. die Aktivierung von experimentellen Funktionen in der Brave-Browser-Software genutzt wird.
[1] Beim Aufruf einer potenziell unsicheren Domain (bspw. Phishing) nimmt Brave eine direkte Verbindung zu »safebrowsing.googleapis.com« auf. Testen kann man dies bspw. über die Website testsafebrowsing.appspot.com. Ein Blick in die Datenschutzerklärung lohnt sich in diesem Fall:
The Brave Browser automatically uses Google Safe Browsing to help protect you against websites, downloads and extensions that are known to be unsafe (such as sites that are fraudulent or that host malware). On desktop, we use the Safe Browsing Update API which relies on storing URL hashes locally on your device. We proxy these requests through Brave’s servers to reduce the amount of information sent to Google (for example, we remove your IP address) to protect against Google profiling or tracking you when using Safe Browsing. On iOS, Apple proxies Google Safe Browsing through their own servers. For iOS users in mainland China, Apple may also use the Tencent Safe Browsing service. More details at https://www.apple.com/legal/privacy/data/en/safari/. On Android, we use the SafetyNet Safe Browsing API which sends partial URL hashes directly to Google when a URL is determined to be potentially malicious by the list stored locally on your device, as per the Safe Browsing Update API.
If you prefer not to use Safe Browsing, just visit brave://settings/security to change your settings to “No protection (not recommended)”. On iOS, open “Brave Shields & Privacy” inside settings and disable “Block Dangerous Sites”. On Android, open “Brave Shields & privacy” inside settings and then set the Safe Browsing option to “No protection (not recommended)”.
Entscheidend ist:
On Android, we use the SafetyNet Safe Browsing API which sends partial URL hashes directly to Google when a URL is determined to be potentially malicious by the list stored locally on your device, as per the Safe Browsing Update API.
Während also die Desktop-Variante Anfragen zu Google Safe Browsing über einen Proxy (safebrowsing.brave.com) leitet, nimmt die Android-Version direkt eine Verbindung zu Google auf. Wer das nicht möchte, der muss die Funktion wie folgt deaktivieren: Einstellungen -> Brave Schutz und Datenschutz -> Safe Browsing -> Kein Schutz (nicht empfohlen).
3. Erwähnenswert
3.1 Basis bzw. Unterbau
Brave basiert auf Chromium – eine quelloffene Version des Google-Browsers Chrome. Auch andere Browser wie Microsoft Edge, Opera oder Vivaldi setzen auf Chromium als Unterbau und passen den Browser dann an die eigenen Bedürfnisse und Vorstellungen an. Aufgrund der Nähe zu Google (Funktionalitäten wie Safe Browsing oder den Chrome Web Store für Extensions) ist Chromium bzw. darauf basierende Projekte meist eng mit Google verbandelt. Der Quellcode von Brave ist auf GitHub einsehbar.
Der Browser bietet insgesamt einige Funktionen. Unter anderem:
- Werbeblocker: Brave Browser verfügt standardmäßig über einen integrierten Werbeblocker namens »adblock-rust«. Der integrierte Werbeblocker unterstützt sowohl die netzwerkbasierte als auch die kosmetische Filterung und ermöglicht zudem CNAME Uncloaking. Im Brave Browser können dieselben Filterlisten verwendet/ergänzt (
brave://adblock) werden, die auch in Kombination mit uBlock Origin funktionieren.
- Brave Rewards: Brave hat ein eigenes Belohnungssystem namens Brave Rewards. Benutzer haben die Möglichkeit, für das Anschauen von privaten Werbeanzeigen BAT (Basic Attention Token) zu verdienen. Diese Tokens können dann an bevorzugte Content-Ersteller gespendet oder für verschiedene Zwecke verwendet werden. Die Nutzung von Brave Rewards ist freiwillig/optional.
- Brave Wallet: Mit Brave Wallet können Nutzer verschiedene Kryptowährungen wie den BAT und andere ERC-20-Token speichern, senden und empfangen. Auch diese Nutzung ist optional.
Obwohl Rewards und Wallet optional sind, stellen sie dennoch einen Bestandteil des Browsers dar. Aus meiner Sicht erhöhen sie durch den zusätzlichen Code unnötigerweise die Angriffsfläche des Browsers. Letztendlich liegt es an den Nutzern, zu entscheiden, ob sie Rewards und Wallet verwenden möchten. Wenn Sicherheitsbedenken bestehen, können die Funktionen deaktiviert oder alternative Wallets verwenden werden, die nicht im Browser integriert sind.
Abgesehen vom aufgeblasenen Funktionsumfang, bietet Brave aufgrund seiner Chromium-Herkunft wichtige Sicherheitstechniken, die das Ausführen von Schadcode (unter Android) erschweren. Dazu zählt unter anderem die »Per-site process isolation«. Diese Funktion (Full Site Isolation) isoliert den Inhalt und den Code einer Website in einem eigenen Prozess, sodass jeder geöffnete Tab oder jede geöffnete Website in einem separaten Prozess ausgeführt wird. Durch die Isolierung der Prozesse kann verhindert werden, dass schädlicher Code oder bösartige Websites auf das gesamte System oder andere geöffnete Tabs zugreifen können. Brave (Android) aktiviert diese Funktion (#enable-site-per-process) standardmäßig. Browser, die auf Firefox (Gecko-Engine) basieren, bieten diese Funktion (Project Fission) ebenfalls – allerdings bis dato ausschließlich auf dem Desktop.
Hinsichtlich des Schutzes vor Browser-Fingerprinting verfolgt Brave den folgenden Ansatz:
Brave’s system for protecting users against fingerprinting works differently. Instead of trying to make Brave users look identical (a goal that is not achievable for many users in many cases, without breaking websites or turning off useful browser functionality), Brave tries to make you look as different as possible, for each website, for each session. This prevents browsers from identifying you when you visit other sites, or when you return to the same site in the future.
Erreicht wird dies unter anderem durch eine Deaktivierung/Anpassung von Funktionen, die Google in Chromium integriert hat. Die Liste ist umfangreich und verdeutlicht die Komplexität und Herausforderungen beim Schutz vor Fingerprinting.
3.2 Suchmaschine
Brave Search (die hauseigene Suchmaschine von Brave) ist als Standardsuchmaschine voreingestellt. Im Gegensatz zu anderen Browsern wird allerdings nicht jede Tastatureingabe an Brave Search übermittelt, wenn man etwas im Suchfeld bzw. der Adressleiste eintippt, sondern erst dann, wenn die Suchanfrage auch abgesendet wird. Über Einstellungen -> Suchmaschinen lässt sich die Suchmaschine anpassen.
3.3 Tracking
Die Übermittlung von Telemetriedaten lässt sich über den eingangs eingeblendeten Consent-Banner nicht vollständig deaktivieren. Dazu sind weitere Schritte notwendig. Über Einstellungen -> Brave Schutz und Datenschutz muss Folgendes deaktiviert werden:
Ping der täglichen Nutzung automatisch an Brave senden
Was allerdings weiterhin aktiv bleibt und sich offenbar nicht deaktivieren lässt: A/B-Testing bzw. Brave-Variations. A/B-Tests fallen nicht pauschal unter Tracking, allerdings möchte nicht jeder Versuchskaninchen sein.
3.4 Add-ons/Erweiterungen
Bei der Android-Version von Brave können keine zusätzlichen Add-ons installiert werden.
3.5 Private Browsing/Privates Fenster
Keine Auffälligkeiten.
4. Vorgeschlagene Einstellungen für den Betrieb
Brave bietet einige Funktionen und Einstellungsmöglichkeiten. Aus meiner Sicht sollte der Browser wie folgt angepasst werden.
- Einstellungen -> Brave Schutz und Datenschutz
- Tracker & Werbung blockieren: Aggressiv (kann Websites »kaputt«/unbenutzbar machen)
- Immer sichere Verbindungen verwenden: Check
- Fingerprinting blockieren: Streng (kann Websites »kaputt«/unbenutzbar machen)
- Google-Anmelde-Buttons auf Drittwebsites erlauben: Uncheck
- Facebook-Anmeldungen und eingebettete Posts erlauben: Uncheck
- Eingebettete Twitter-Nachrichten erlauben: Uncheck
- WebRTC-IP-Nutzungsrichtlinien: Nicht-proxisiertes UDP deaktivieren
- Safe Browsing: Kein Schutz (optional und nicht für jeden empfehlenswert)
- Unaufhaltsame Domains: Deaktiviert
- Ethereum Name Service: Deaktiviert
- Solana Name Service: Deaktiviert
- IPFS-Gateway: Deaktiviert
- Erlaubt Produktanalyse, die den Datenschutz respektiert: Deaktiviert
- Automatische Diagnoseberichte senden: Deaktiviert
- Ping der täglichen Nutzung automatisch an Brave senden: Deaktiviert
- Brave News: Deaktiviert
- Brave Rewards
- Anzeigen zeigen, wenn Brave nicht verwendet wird: Deaktiviert
- Brave Wallet
- Web3-Benachrichtigungen anzeigen: Deaktiviert
- Suchmaschinen
- Standard-Registerkarte: Startpage
- Privater Tab: Startpage
- Startseite: Aus
- Darstellung
- Brave-Belohnungen-Symbol in der Adressleiste anzeigen: Uncheck
- Neuer-Tab-Seite
- Hintergrundbilder an: Uncheck
- Gesponserte Bilder anzeigen: Uncheck
Wenn man in der Adressleiste brave://adblock aufruft, kann man noch zusätzliche Filterlisten aktivieren:
Über die Eingabe brave://flags gelangt man in die Entwickleroptionen, mit der Nutzer auf experimentelle Funktionen zugreifen und diese aktivieren oder deaktivieren können, um das Verhalten des Browsers anzupassen. Diese experimentellen Funktionen können verschiedene Bereiche des Browsers betreffen, einschließlich der Leistung, des Datenschutzes, der Benutzeroberfläche und vielem mehr.
5. Fazit
Die Einschätzung von Brave, sowohl in der Desktop-Version als auch in der mobilen Variante, ist gemischt. Die Standardeinstellungen des Browsers sind nicht optimal und gemäß § 25 Abs. 1 des TTDSG bedarf es einer Zustimmung für die Analyse. Weiterhin bleibt unklar, ob und zu welcher A/B-Testgruppe man gehört – nicht jeder möchte das Versuchskaninchen für experimentelle Funktionen sein. Ebenfalls enttäuschend ist, dass Google Safebrowsing-Anfragen (unter Android) nicht über den Brave-Proxy geleitet werden.
Über die Einstellungen des Browsers kann das Verhalten jedoch positiv beeinflusst werden – einzig bei Brave-Variations (variations.brave.com) habe ich keine Möglichkeit gefunden, dies zu deaktivieren. Insgesamt bietet Brave eine Vielzahl an Funktionen, mit denen der Browser an die individuellen Bedürfnisse angepasst werden kann. Durch den integrierten Werbeblocker, Funktionen wie der Site Data Isolation und den Anpassungen gegenüber Chromium ist der Schutz vor Fingerprinting als hoch einzustufen. In Bezug auf die Sicherheit haben Chrome-basierte Browser (unter Android) derzeit einen Vorteil gegenüber den Firefox-basierten Browsern, dank Funktionen wie der Full Site Isolation.
Letztendlich muss jedoch festgestellt werden, dass die öffentliche Darstellung und das Versprechen zum Schutz der Privatsphäre nicht vollständig mit dem tatsächlichen Verhalten in der Praxis übereinstimmen. Dennoch: Wer einen Chrome-basierten Browser unter Android sucht, der kann Brave in die engere Auswahl nehmen.
Mitmachen: Der Kuketz-Blog ist spendenfinanziert!
Microsoft hat das Windows Subsystem for Linux (WSL) offiziell als Open-Source-Projekt veröffentlicht. Der Quellcode steht ab sofort auf GitHub unter Microsoft/WSL bereit. Die Entwickler haben das Projekt dabei in mehrere eigenständige Komponenten unterteilt. Dazu zählen Tools wie wsl.exe, wslg.exe und der zentrale WSL-Dienst. Auch Prozesse für Netzwerkfunktionen und Dateizugriffe gehören nun zur öffentlich einsehbaren Struktur. […]
