«Несвязываемая переадресация» в Brave: следующий шаг в защите от трекинга

[azhinu]

А не поломает ли это различные сложные сайты? Вроде PWA приложений.

[BraveSoftware]

в целом нет, если сайт не хочет чего-то очень странного. Всё как раз ради этого и затевалось - чтобы всё хорошо работало по умолчанию.

[olku]

Проверим. В свежеустановленной 1.37.116 Chromium: 100.0.4896.127 (Official Build) (64-bit) в brave://settings/shields ставим:

• Trackers & ads blocking: Agressive

• Cookie blocking: All

• Fingerprinting blocking: Strict

Закрываем приложение. Тест:

• открываем браузер, создаем таб

• идем на https://test.noleaks.eu/ - все Visits по 1

• жмем F5 - Etag и Redirect по 2

• удаляем таб, закрываем браузер

• снова открываем браузер, создаем таб

• идем на https://test.noleaks.eu/ - Etag и Redirect по 3

Заявленной анонимизации не видно, CNAME-Cloaking tracking между test.noleaks.eu и tracker.noleaks.eu не блокируется. Что упускаю?

[BraveSoftware]

Ваша проверка, к сожалению, не имеет ничего общего с описанным в статье.

1.  CNAME-Cloaking tracking это вообще другой механизм

2. Сайт-трекер определяется по спискам, noleaks.eu не вижу в списках.

3. Если вы включили агрессивный режим, то переход на сайт-трекер будет заблокирован промежуточной страницей. Добавьте ||noleaks.eu^ в поле на странице brave://adblock и увидите (в агрессивном режиме)

4. Защита срабатывает при переходе куда-то через следящий сайт. А не при установке кук самим сайтом

5. Этот сайт вообще непонятно что проверяет, потому что идентификаторы, который он сохраняет принадлежат самому сайту. Они даже не кросс-сайтовые, т.е. в них нет криминала. Вас же не смущает что на music.yandex.ru есть кука от passport.yandex.ru? :)

   

[olku]

Смущает, конечно, этим механизмом пользуются трекинговые сервисы. Домены лгут. Проверка фингерпринта тлс сертификата может помочь определить same-party. Спасибо за ответ.

[BraveSoftware]

CNAME-cloaking мы режем (см статью https://brave.com/privacy-updates/6-cname-trickery/), но тестовый сайт тоже не про то.

[BraveSoftware]

Правильный тест будет похож на https://dev-pages.bravesoftware.com/navigation-tracking/debouncing.html, только немного по-другому.

1. Нужна ссылка на черепашки.рф, которая по факту ведет на трекер, который будет редиректить на черепашек

2. Трекер должен быть в списках. Трекер должен выставлять куку или localStorage

3. При нажатии на ссылку и проходу через трекер до черепашек, куки от трекера не останется. Проход через трекер состоится, т.к. полностью выкинуть мы его не можем, если он не в списках для дебаунсинга, но он не сможет сохранить или прочитать в браузере какое-то состояние

4. Профит