Il Browser Brave utilizza Google Safe Browsing per proteggere gli utenti da siti dannosi. È abilitata per impostazione predefinita su tutte le piattaforme, ma può essere disattivata in qualsiasi momento dal menu delle impostazioni del browser.

La Navigazione Sicura offre protezione in tre aree:

• Siti web: blocca siti di phishing, così come quelli che ospitano malware o software indesiderato
• Download: blocca software pericolosi, non comuni, o potenzialmente indesiderati (solo desktop)
• Estensioni del browser: impedisce di scaricare estensioni dannose, vulnerabili o che violano le politiche, e disabilita quelle già installate (solo desktop)

Google lavora per fornire le informazioni più accurate e aggiornate su risorse web non sicure. Tuttavia, Google non può garantire che le sue informazioni siano complete e prive di errori: alcuni siti rischiosi potrebbero non essere identificati, e alcuni siti sicuri potrebbero essere identificati erroneamente.

Un sistema che preserva la privacy

La Navigazione Sicura in Brave ha le seguenti proprietà di privacy:

• Le URL non vengono mai inviate al server gestito da Google.
• La stragrande maggioranza delle visite ai siti web non porta a richieste al server.
• Su desktop, il browser non si connette direttamente al server; invece, instrada attraverso un server proxy gestito da Brave in modo che i server Google non vedano mai i vostri indirizzi IP.

Al centro della Navigazione Sicura ci sono elenchi di siti o file pericolosi. Piuttosto che inviare URL completi a un server, il protocollo è strutturato in modo che la maggior parte di questi controlli venga eseguita localmente utilizzando elenchi scaricati dal server di Navigazione Sicura.

Quando un utente visita un sito web con un URL di phishing.example/:

1. Il browser trasformerà l'URL in bac52b0b455d4b0435379a9cb61d43cd54bcd0f17ff0a5477b2598373fd7b997 utilizzando la funzione hash SHA-256.
2. Quindi troncano questo “hash” a bac52b0b e lo confrontano con la copia locale degli elenchi di Navigazione Sicura.
3. Se questo prefisso dell'hash viene trovato in un elenco (e solo in tal caso), il browser chiederà al server di Navigazione Sicura l'elenco di tutti gli hash completi che iniziano con quel prefisso (viene inviato solo il prefisso, non l'intero hash).
4. Infine, il browser confronterà l'hash dell'URL del sito web con gli hash completi appena ricevuti e mostrerà una pagina di avvertimento in caso di corrispondenza.

Gli elenchi vengono aggiornati circa ogni 30 minuti, iniziando casualmente entro i primi 5 minuti dopo l'avvio del browser. Tutti gli utenti ricevono gli stessi elenchi. Gli elenchi sono considerati validi per 45 minuti e vengono automaticamente ignorati se non sono stati aggiornati dopo tale tempo. È possibile trovare questi elenchi, insieme allo stato e al tempo dell'ultimo aggiornamento, su brave://safe-browsing/#tab-db-manager.

Maggiori dettagli tecnici possono essere trovati nel post sul blog di Google Security sulla navigazione sicura basata su hash, e nella documentazione pubblica per sviluppatori.

Protezioni specifiche per piattaforma

Ecco come queste protezioni sono implementate su ciascuna piattaforma.

Desktop

In tutti i casi, Brave si basa sull'implementazione di Navigazione Sicura che fa parte di Chromium per fornire queste protezioni. Utilizza anche le stesse liste e servizi sottostanti di Chrome.

Nota: Gli avvisi di Navigazione Sicura sono attualmente disabilitati nelle finestre private con Tor.

Siti web

La protezione di navigazione si presenta così quando rileva un sito di phishing:

Questo avviso può essere aggirato cliccando su Dettagli e poi su visita questo sito non sicuro:

Questa funzionalità può essere testata utilizzando la sezione "Avvisi di Pagina Web" della pagina di test ufficiale di Google.

Download

La protezione dei download si presenta così quando rileva un file pericoloso:

Questo avviso può essere aggirato da brave://downloads cliccando su Mantieni file pericoloso:

Oltre ai controlli basati sugli URL descritti nella sezione precedente, i file scaricati vengono sottoposti a un secondo controllo dopo essere stati completamente scaricati dal browser, ma prima che siano resi disponibili all'utente. Questo controllo comporta l'invio di metadata sul file scaricato (ma non sul file stesso) a un servizio di reputazione delle applicazioni gestito da Google. Questo servizio restituisce un verdetto che determina quale avviso (se presente) verrà mostrato all'utente.

Mentre le implementazioni di questa funzionalità per Chrome e Firefox inviano il nome del file, l'URL del file scaricato e qualsiasi URL delle pagine che vi hanno portato, Brave ha preso una diversa decisione in materia di sicurezza e privacy e non invia nessuna di queste informazioni al server. La principale informazione che il browser Brave invia al server gestito da Google è l'hash del file, che rivela informazioni solo sui file che Google già conosce. Come per tutte le altre richieste di rete di Navigazione Sicura nella versione desktop di Brave, queste chiamate sono inviate tramite un proxy gestito da Brave per nascondere i vostri indirizzi IP.

Nota che solo alcuni tipi di file passano attraverso il secondo controllo e i loro metadata vengono inviati al server di reputazione delle applicazioni. Questa determinazione è specifica per la piattaforma e basa sul rischio associato a ciascun tipo di file. Il componente Politiche dei Tipi di File indica al browser come gestire i diversi tipi di file basandosi su una lista che viene periodicamente aggiornata dal team di Chrome.

Questa funzionalità può essere testata utilizzando la sezione "Avvisi di Download Desktop" della pagina di test ufficiale di Google.

Estensioni del browser

Questo è l'aspetto di un'estensione bloccata:

Questa protezione attualmente non può essere aggirata.

Oltre ai controlli di protezione dei download descritti nella sezione precedente, qualsiasi estensione browser che installate subisce un controllo aggiuntivo. Questo ultimo controllo comporta la verifica dell'ID dell'estensione rispetto a una lista locale dei prefissi degli ID delle estensioni. In caso di corrispondenza di prefisso, gli ID di estensione completi per quel prefisso vengono richiesti a un servizio di reputazione gestito da Google. Questo servizio restituisce un verdetto per ogni estensione nella lista. Questo determina quale avviso (se presente) verrà mostrato all'utente e se l'estensione sarà autorizzata a funzionare o meno. Questa richiesta di rete è anch'essa inoltrata tramite un server gestito da Brave.

Il controllo dell'ID dell'estensione avviene quando l'estensione viene caricata, il che avviene tipicamente subito dopo il download, e poi ogni volta che il browser viene riavviato. Ciò significa che un'estensione installata che viene successivamente segnalata come dannosa da Google può essere disabilitata a posteriori.

Sfortunatamente, al momento non esiste un modo semplice per testare questa funzione. Consultare la nostra documentazione wiki per maggiori dettagli.

Android

Su Android, Safe Browsing offre la stessa protezione dei siti web del desktop, sebbene con un elenco di siti di phishing più piccolo. L'elenco più piccolo significa che non tutti i siti web di phishing bloccati sul desktop saranno bloccati su Android.

Questa è la protezione di navigazione su Android quando rileva un sito di phishing. Come su desktop, questo avviso può essere ignorato facendo clic su Dettagli e poi su visita questo sito non sicuro:

A differenza del browser desktop (che scarica e mantiene i propri elenchi), la versione di Brave per Android utilizza un servizio fornito dal sistema operativo. Specificamente, utilizza la SafetyNet Google Play API e gli elenchi sul dispositivo che sono condivisi tra tutte le applicazioni che eseguono controlli di Safe Browsing. I dispositivi Android senza i servizi di Google Play attivi non possono al momento attivare Safe Browsing in Brave.

Il controllo di un URL rispetto agli elenchi locali di Safe Browsing segue gli stessi passaggi del browser desktop, poiché l'API SafetyNet utilizza anche la Safe Browsing Update API. L'unica differenza è che tutte le richieste dal servizio del sistema operativo al server di Safe Browsing (sia che provengano dall'applicazione Brave o meno) sono fatte direttamente e non passano tramite un proxy Brave. Questo significa che il vostro indirizzo IP potrebbe essere visto (e registrato) da Google.

Questa funzione può essere testata utilizzando le sezioni “Avvisi della Pagina Web” o “Avvisi di IOS” della pagina di test ufficiale di Google.

La protezione del download non è disponibile sulle piattaforme mobili. I dispositivi Android si affidano invece a Google Play Protect.

iOS

Questa è la protezione di navigazione quando rileva un sito di phishing. Questo avviso può essere ignorato facendo clic su Mostra Dettagli e poi su visita questo sito non sicuro:

Come con Android, le protezioni Safe Browsing su iOS sono fornite da un servizio del sistema operativo tramite una impostazione WKWebView. In quanto tale, tutte le richieste effettuate al server di Safe Browsing sono iniziate dal provider del sistema operativo e non possono essere proxy da Brave.

I dispositivi Apple utilizzano i servizi di Safe Browsing di Google e Tencent a seconda della loro regione. Nelle versioni recenti di iOS, queste richieste verranno proxy da Apple. Ciò significa che il vostro indirizzo IP potrebbe essere visto (e registrato) da Apple, Google o Tencent.

Su dispositivi che utilizzano il servizio di Google, questa funzione può essere testata utilizzando la sezione “Avvisi di IOS” della pagina di test ufficiale di Google.

Confronto con altri browser

La protezione dei siti web in Brave per desktop o Android è equivalente alle protezioni presenti in Firefox, Safari e Chrome. Si noti che non esponiamo la modalità di protezione avanzata che Google offre solo agli utenti di Chrome (su base di opt-in).

Brave su iOS offre la stessa protezione dei siti web di Safari o di qualsiasi applicazione basata su WKWebView (come Firefox) che abilita questa opzione.

La protezione dei download in Brave è più limitata rispetto a quella di Chrome e Firefox perché non inviamo alcun URL al server, pertanto queste informazioni non possono essere utilizzate per determinare il rischio associato a un file specifico. In pratica, ciò significa che Chrome e Firefox bloccheranno più file dannosi rispetto a Brave.

La protezione delle estensioni di Brave è la stessa di Chrome.

Disattivare la Navigazione Sicura

Se preferisce non utilizzare la Navigazione Sicura, è sufficiente visitare brave://settings/security nel browser desktop per modificare le impostazioni su Nessuna protezione (non raccomandato):

Su Android, aprire il menu delle impostazioni del browser e toccare Protezioni Brave & Privacy, quindi impostare l'opzione Navigazione Sicura su Nessuna protezione (non raccomandato):

Su iOS, aprire il menu delle impostazioni del browser e toccare Protezioni Brave & Privacy, quindi disabilitare Blocca Siti Pericolosi: