К сожалению, полностью скрыть от продвинутых фингерпринтеров свою ОС очень сложно, почти невозможно. Скорее, такие попытки будут понижать уровень "доверия" к такому браузеру и провоцировать повышенное количество капчей и доп. проверок. Даже TOR Browser этого делать не пытается
Да, конечно, эта идея понятна, и рассматривалась. Но до реальной жизни доберётся только прикрытия оставшихся дыр - как минимум, нужно как следует победить шрифты
Непонятно, что оно решило импортировать, возможно старый кошелек из расширения Crypto Wallets? Может быть баг.
В конце статьи есть дисклеймер, что пока что Rewards и новый кошелек не интегрированы. Единственный путь - это верификация Rewards-кошелька через Uphold/Gemini и трансфер через блокчейн. Интеграция Rewards и нового кошелька это большая техническая (и юридическая) история, пока что решили релизиться в таком виде. Предполагается что будущем они будут скрещены.
Методологий исследования было две: с одной стороны, онлайн-опрос 1005 пользователей, призванный выяснить их отношение к рекламе и различным моделям её предоставления. С другой стороны, работа включала в себя пять исследований эффективности рекламы
Про выборку чуть больше деталей есть на пятом слайде полной версии.
Да, вы правы. У нас для этого есть ручные контролы, где можно дизлайкать/одобрять объявления или категории. Но это конечно для сознательных пользователей.
Если пользователь явно соглашается видеть такую рекламу, включает её в браузере своей рукой и в настройках отмечает, сколько всплывашек в день должно показываться - почему его это будет бесить? :)
Если вы читали статью, она именно про это.
Не говоря про то, что 70% рекламной прибыли уходит пользователю в виде BAT.
Под рукой нечего заскриншотить, выглядит это примерно так. На мобильных это обычные системные уведомления, на десктопах мы движемся в сторону кастомных всплывашек
Наоборот, не пропущено, а подчеркивается, что реклама, которая не мешает просмотру контента, не назойлива и не собирает личные данные, гораздо лучше воспринимается пользователями, чем традиционный рекламный "зонд" от бигтеха.
И в конечном счёте, имеет лучшие показатели. Проверить это и было целью исследования.
(На всякий случай уточню, что рекламные уведомления в нашем браузере выключены по умолчанию и включаются строго по желанию пользователя).
Всё, что вы перечислили - это не телеметрия. То, что касается Ads/Rewards - это соответствующие бэкенды для рекламного движка и вознаграждений; чтобы браузер начал ходить на эти ручки, Ads/Rewards нужно включить явно. Понятно, что рекламный движок без бэкенда функционировать не может, равно как и получение BAT без соединения с блокчейном.
Проверка обновлений и компонентный апдейтер - это ключевые вещи для безопасности, браузер который не обновляется - это дыра. К компонентам относятся, например, списки блокировки рекламы, или списки отозванных сертификатов их тоже надо обновлять. При проверке обновлений никаких идентификаторов мы не собираем, это легко проверить и в исходниках, и в снифере.
Телеметрические эндпоинты это laptop-updates.brave.com и p3a.brave.com, их можно легко отключить в настройках. Там, конечно, тоже нет никаких идентификаторов, собираются метрики вида https://github.com/brave/brave-browser/wiki/P3A
Это же Хабр - здесь место для качественных технических дискуссий. Например, в одной из наших статей были достаточно интересные обсуждения, с правильными "претензиями" или замечаниями.
Я, как технарь, задавал бы такие вопросы:
Есть ли у вас 100% воспроизводимые сборки? Если нет, почему? Как я могу доверять вашим бинарям?
Есть ли режим для отключения *вообще всех* пингов на бэкенды Брейв, включая даже сейфбраузинг?
Проводили ли сторонние компании аудит ваших кодов и проектов? Где можно посмотреть результаты?
Вот это действительно интересные вопросы для проекта в сфере приватности. А мантры про реферальные ссылки - это не уровень Хабра. Тем более, что если хотя бы немного подумать, вообще никакой угрозы приватности в ошибке с реферальными ссылками не было.
По существу как раз давно и отвечено, в том числе лично СЕО компании. Поэтому я и написал про малограмотность, сиречь - наполнение головы громкими хейтерскими нарративами (и распространение этих нарративов публично среди незнакомых людей), без понимания реальной ситуации.
Про автоапдейты вообще непонятно в чем проблема, но сейчас их конечно можно выключить
Бонусная проблема, про которую вы не упомянули: протечка DNS-запросов в TOR-окнах - хейтеры опять-таки возбудились - но это обычный баг, который в том числе я не заметил на код-ревью https://github.com/brave/brave-browser/issues/13527
Зато мы уверены, потому что расширение по определению неспособно на многие вещи, которые мы делаем на Си++ в коде браузера. Например, те которые описаны в посте - эфемерные хранилища.
Про поддержку расширений в мобильном браузере вопрос на самом деле не праздный - множество пользователей хотят расширения, и мы даже сделали прототип. Но поддержка в плане ребейзов на свежий Хромиум получается очень дорогая. Этот вопрос не снят, и Брендан лично хочет форсировать расширения на мобильных, но всё упирается в ресурсы. Подробности если интересно есть в гитхабе https://github.com/brave/brave-browser/issues/4493
Хейтеры были есть и будут у любого софта, особенно у такого, который берёт на себя повышенные моральные обязательства. Наша аудитория стабильно и хорошо растёт, значит люди нам верят. Камлания малограмотных хейтеров на баги пятилетней давности не очень интересны ни нам, ни пользователям.
К сожалению, полностью скрыть от продвинутых фингерпринтеров свою ОС очень сложно, почти невозможно. Скорее, такие попытки будут понижать уровень "доверия" к такому браузеру и провоцировать повышенное количество капчей и доп. проверок. Даже TOR Browser этого делать не пытается
Да, конечно, эта идея понятна, и рассматривалась. Но до реальной жизни доберётся только прикрытия оставшихся дыр - как минимум, нужно как следует победить шрифты
Здавствуйте, оно? https://adnauseam.io/
Спасибо, пингуем дизайнеров изо всех сил.
Непонятно, что оно решило импортировать, возможно старый кошелек из расширения Crypto Wallets? Может быть баг.
В конце статьи есть дисклеймер, что пока что Rewards и новый кошелек не интегрированы. Единственный путь - это верификация Rewards-кошелька через Uphold/Gemini и трансфер через блокчейн.
Интеграция Rewards и нового кошелька это большая техническая (и юридическая) история, пока что решили релизиться в таком виде. Предполагается что будущем они будут скрещены.
Кошелёк и так opt-in, мы же не будем за пользователя ключи генерировать. И реклама, и rewards тоже opt-in.
Расскажите, какие конкретные фичи вы имеете в виду?
Например, фишинг
И то, и другое
Про выборку чуть больше деталей есть на пятом слайде полной версии.
Да, вы правы. У нас для этого есть ручные контролы, где можно дизлайкать/одобрять объявления или категории. Но это конечно для сознательных пользователей.
Если пользователь явно соглашается видеть такую рекламу, включает её в браузере своей рукой и в настройках отмечает, сколько всплывашек в день должно показываться - почему его это будет бесить? :)
Если вы читали статью, она именно про это.
Не говоря про то, что 70% рекламной прибыли уходит пользователю в виде BAT.
Под рукой нечего заскриншотить, выглядит это примерно так. На мобильных это обычные системные уведомления, на десктопах мы движемся в сторону кастомных всплывашек
Наоборот, не пропущено, а подчеркивается, что реклама, которая не мешает просмотру контента, не назойлива и не собирает личные данные, гораздо лучше воспринимается пользователями, чем традиционный рекламный "зонд" от бигтеха.
И в конечном счёте, имеет лучшие показатели. Проверить это и было целью исследования.
(На всякий случай уточню, что рекламные уведомления в нашем браузере выключены по умолчанию и включаются строго по желанию пользователя).
У нас была довольно популярная статья на эту тему https://habr.com/ru/company/brave/blog/551588/
Всё, что вы перечислили - это не телеметрия. То, что касается Ads/Rewards - это соответствующие бэкенды для рекламного движка и вознаграждений; чтобы браузер начал ходить на эти ручки, Ads/Rewards нужно включить явно. Понятно, что рекламный движок без бэкенда функционировать не может, равно как и получение BAT без соединения с блокчейном.
Проверка обновлений и компонентный апдейтер - это ключевые вещи для безопасности, браузер который не обновляется - это дыра. К компонентам относятся, например, списки блокировки рекламы, или списки отозванных сертификатов их тоже надо обновлять. При проверке обновлений никаких идентификаторов мы не собираем, это легко проверить и в исходниках, и в снифере.
Телеметрические эндпоинты это laptop-updates.brave.com и p3a.brave.com, их можно легко отключить в настройках. Там, конечно, тоже нет никаких идентификаторов, собираются метрики вида https://github.com/brave/brave-browser/wiki/P3A
да, так и есть. На этот случай мы делаем более сложную конструкцию, думаю скоро будет пост.
Расширение же, а не сам FF. В расширениях да, эта функциональность очень давно.
Это же Хабр - здесь место для качественных технических дискуссий. Например, в одной из наших статей были достаточно интересные обсуждения, с правильными "претензиями" или замечаниями.
Я, как технарь, задавал бы такие вопросы:
Есть ли у вас 100% воспроизводимые сборки? Если нет, почему? Как я могу доверять вашим бинарям?
Есть ли режим для отключения *вообще всех* пингов на бэкенды Брейв, включая даже сейфбраузинг?
Проводили ли сторонние компании аудит ваших кодов и проектов? Где можно посмотреть результаты?
Вот это действительно интересные вопросы для проекта в сфере приватности. А мантры про реферальные ссылки - это не уровень Хабра. Тем более, что если хотя бы немного подумать, вообще никакой угрозы приватности в ошибке с реферальными ссылками не было.
На всякий случай напомню, что браузер целиком опенсорсный, поэтому какая-то загадошная "компрометация" невозможна, вся история изменений полностью публична, см например https://github.com/brave/brave-browser/issues/10129#issuecomment-640187828
и комментарий от грамотного пользователя https://github.com/brave/brave-browser/issues/10129#issuecomment-640200756
По существу как раз давно и отвечено, в том числе лично СЕО компании. Поэтому я и написал про малограмотность, сиречь - наполнение головы громкими хейтерскими нарративами (и распространение этих нарративов публично среди незнакомых людей), без понимания реальной ситуации.
По реферальным ссылкам: публичный ответ и извинения
https://brave.com/referral-codes-in-suggested-sites/
Комментарий Брендана https://twitter.com/brendaneich/status/1269313200127795201?lang=en
По трекерам ссылка на комментарий компании указана прямо в тексте упомянутой статьи:
https://brave.com/script-blocking-exceptions-update/
Про автоапдейты вообще непонятно в чем проблема, но сейчас их конечно можно выключить
Бонусная проблема, про которую вы не упомянули: протечка DNS-запросов в TOR-окнах - хейтеры опять-таки возбудились - но это обычный баг, который в том числе я не заметил на код-ревью https://github.com/brave/brave-browser/issues/13527
Зато мы уверены, потому что расширение по определению неспособно на многие вещи, которые мы делаем на Си++ в коде браузера. Например, те которые описаны в посте - эфемерные хранилища.
Про поддержку расширений в мобильном браузере вопрос на самом деле не праздный - множество пользователей хотят расширения, и мы даже сделали прототип. Но поддержка в плане ребейзов на свежий Хромиум получается очень дорогая. Этот вопрос не снят, и Брендан лично хочет форсировать расширения на мобильных, но всё упирается в ресурсы. Подробности если интересно есть в гитхабе https://github.com/brave/brave-browser/issues/4493
Думаю, 36 миллионов пользователей едва ли согласятся насчёт "никто и никогда" https://brave.com/transparency/
Хейтеры были есть и будут у любого софта, особенно у такого, который берёт на себя повышенные моральные обязательства. Наша аудитория стабильно и хорошо растёт, значит люди нам верят. Камлания малограмотных хейтеров на баги пятилетней давности не очень интересны ни нам, ни пользователям.