Przeglądarka Brave korzysta z Google Safe Browsing, aby chronić użytkowników przed złośliwymi stronami. Jest domyślnie włączone na wszystkich platformach, ale można je wyłączyć w dowolnym momencie z menu ustawień przeglądarki.

Bezpieczne przeglądanie oferuje ochronę w trzech obszarach:

• Strony internetowe: blokuje strony phishingowe oraz te, które hostują złośliwe oprogramowanie lub niechciane oprogramowanie
• Pobrane pliki: blokuje niebezpieczne, rzadkie lub potencjalnie niechciane oprogramowanie (tylko dla komputerów stacjonarnych)
• Rozszerzenia przeglądarki: zapobiega pobieraniu złośliwych, podatnych lub naruszających zasady rozszewrzeń oraz wyłącza te już zainstalowane (tylko dla komputerów stacjonarnych)

Google stara się dostarczać najdokładniejsze i najaktualniejsze informacje o niebezpiecznych zasobach internetowych. Jednak Google nie może zagwarantować, że jego informacje są kompleksowe i wolne od błędów: niektóre ryzykowne strony mogą nie zostać zidentyfikowane, a niektóre bezpieczne strony mogą zostać błędnie zidentyfikowane.

System chroniący prywatność

Bezpieczne przeglądanie w Brave ma następujące właściwości dotyczące prywatności:

• URL-e nigdy nie są wysyłane na serwer operowany przez Google.
• Zdecydowana większość wizyt na stronach internetowych nie prowadzi do zapytań serwerowych.
• Na komputerach stacjonarnych przeglądarka nie łączy się bezpośrednio z serwerem; zamiast tego, przekierowuje przez serwer proxy operowany przez Brave, dzięki czemu serwery Google nigdy nie widzą twoich adresów IP.

Istotą Bezpiecznego Przeglądania są listy niebezpiecznych stron lub plików. Zamiast przesyłać pełne URL-e na serwer, protokół jest zaprojektowany tak, aby większość tych kontroli była przeprowadzana lokalnie przy użyciu list pobranych z serwera Bezpiecznego Przeglądania.

Kiedy użytkownik odwiedza stronę internetową o URL phishing.example/:

1. Przeglądarka przekształci URL w bac52b0b455d4b0435379a9cb61d43cd54bcd0f17ff0a5477b2598373fd7b997 przy użyciu funkcji skrótu SHA-256.
2. Następnie skróci ten „hash” do bac52b0b i porówna go z lokalną kopią list Bezpiecznego Przeglądania.
3. Jeśli ten prefiks hasha zostanie znaleziony na liście (i tylko w tym przypadku), przeglądarka poprosi serwer Bezpiecznego Przeglądania o listę wszystkich pełnych hashy zaczynających się od tego prefiksu (wysyłany jest tylko prefiks, a nie pełny hash).
4. W końcu przeglądarka porówna hash URL strony internetowej z pełnymi hash-ami, które właśnie otrzymała, i pokaże stronę ostrzegawczą w przypadku zgodności.

Listy są aktualizowane mniej więcej co 30 minut, zaczynając losowo w ciągu pierwszych 5 minut po uruchomieniu przeglądarki. Wszyscy użytkownicy otrzymują te same listy. Listy są uznawane za ważne przez 45 minut i automatycznie ignorowane, jeśli nie zostały zaktualizowane po tym czasie. Te listy, wraz ze stanem i czasem ostatniej aktualizacji, można znaleźć pod adresem brave://safe-browsing/#tab-db-manager.

Więcej szczegółów technicznych można znaleźć w poście na blogu Google Security o bezpiecznym przeglądaniu opartym na hashach i w publicznej dokumentacji dla deweloperów.

Ochrona specyficzna dla platformy

Oto jak te ochrony są wdrażane na każdej platformie.

Komputer stacjonarny

We wszystkich przypadkach Brave opiera się na implementacji Bezpiecznego Przeglądania, która jest częścią Chromium, aby zapewnić te ochrony. Brave używa również tych samych list i usług bazowych, co Chrome.

Uwaga: Ostrzeżenia Safe Browsing są obecnie wyłączone w prywatne okna z Tor.

Strony internetowe

Ochrona przeglądania wygląda tak, gdy wykrywa phishingowa strona:

To ostrzeżenie można ominąć, klikając Szczegóły, a następnie odwiedź tę niebezpieczną stronę:

Tę funkcję można przetestować, korzystając z sekcji „Ostrzeżenia o stronach WWW” na oficjalnej stronie testowej Google.

Pobrane pliki

Ochrona pobierania wygląda tak, gdy wykrywa niebezpieczny plik:

To ostrzeżenie można ominąć z brave://downloads, klikając Zachowaj niebezpieczny plik:

Oprócz opisanych w poprzedniej sekcji kontroli opartych na adresie URL, pobrane pliki poddawane są drugiej weryfikacji po ich pełnym pobraniu przez przeglądarka, ale zanim będą dostępne dla użytkownika. Ta weryfikacja polega na wysyłaniu metadane o pobranym pliku (ale nie plik sam w sobie) do usługi reputacji aplikacji obsługiwane przez Google. Ta usługa zwraca werdykt, który określa, które ostrzeżenie (jeśli w ogóle) będzie pokazane użytkownikowi.

Podczas gdy implementacje tej funkcji w przeglądarkach Chrome i Firefox wysyłają nazwę pliku, adres URL pobranego pliku oraz wszelkie adresy URL stron, które do niego doprowadziły, Brave dokonał innego kompromisu dotyczącego bezpieczeństwa / prywatności i nie wysyła żadnej z tych informacji do serwer. Główną informacją, jaką przeglądarka Brave wysyła do serwera obsługiwanego przez Google, jest hasz pliku, który ujawnia tylko informacje o plikach, o których Google już wie. Podobnie jak wszystkie inne żądania sieci Safe Browsing w wersji przeglądarki Brave dla komputerów stacjonarnych, te połączenia są wysyłane przez proxy obsługiwane przez Brave, aby ukryć twoje adresy IP.

Należy pamiętać, że tylko określone typy plików przechodzą przez drugą weryfikację i mają swoje metadane wysyłane do serwera reputacji aplikacji. To ustalenie jest specyficzne dla platformy i opiera się na ryzyku związanym z każdym typem pliku. Komponent Polityki dotyczące typów plików informuje przeglądarkę, jak obsługiwać różne typy plików na podstawie lista, która jest okresowo aktualizowana przez zespół Chrome.

Tę funkcję można przetestować, korzystając z sekcji „Ostrzeżenia dotyczące pobierania dla komputerów stacjonarnych” na oficjalnej strona testowa Google.

Rozszerzenia przeglądarki

Zablokowane rozszerzenie wygląda tak:

Obecnie tej ochrony nie można ominąć.

Oprócz kontroli ochrony pobierania opisanych w poprzedniej sekcji, każde zainstalowane rozszerzenie przeglądarki podlega dodatkowej weryfikacji. Ta ostatnia kontrola polega na sprawdzeniu identyfikatora rozszerzenia w lokalnej liście prefiksów identyfikatorów rozszerzeń. W przypadku zgodności z prefiksem, pełne identyfikatory rozszerzeń dla danego prefiksu są żądane od usługi reputacji obsługiwanej przez Google. Ta usługa zwraca werdykt dla każdego rozszerzenia na liście. To określa, które ostrzeżenie (jeśli w ogóle) będzie pokazane użytkownikowi oraz czy rozszerzenie będzie mogło działać. To żądanie sieciowe jest również przesyłane przez serwer Brave.

Kontrola identyfikatora rozszerzenia ma miejsce, gdy rozszerzenie jest ładowane, co zazwyczaj odbywa się natychmiast po pobraniu, i następnie przy każdym ponownym uruchomieniu przeglądarki. Oznacza to, że zainstalowane rozszerzenie, które zostanie później oznaczone jako złośliwe przez Google, może zostać wyłączone po fakcie.

Niestety, w tej chwili nie ma łatwego sposobu na przetestowanie tej funkcji. Zobacz naszą dokumentację wiki po więcej szczegółów.

Android

Na Android, Safe Browsing oferuje tę samą ochronę stron internetowych co wersja na komputer, ale z mniejszą listą stron phishingowych. Mniejsza lista oznacza, że nie wszystkie strony phishingowe blokowane na komputerze będą blokowane na Android.

Tak wygląda ochrona przeglądania na Android, gdy wykryje stronę phishingową. Podobnie jak na komputerze, to ostrzeżenie można ominąć, klikając Details i następnie odwiedź tę niebezpieczną stronę:

W przeciwieństwie do przeglądarki na komputerze (która pobiera i utrzymuje własne listy), wersja Brave na Android korzysta z usługi świadczonej przez system operacyjny. Konkretna usługa używana to SafetyNet Google Play API oraz listy na urządzeniu, które są udostępniane między wszystkimi aplikacjami wykonującymi kontrole Safe Browsing. Urządzenia z Android bez Google Play Services aktualnie nie mogą włączyć Safe Browsing w Brave.

Sprawdzanie URL-a w lokalnych listach Safe Browsing przebiega według tych samych kroków jak w przeglądarce na komputerze, ponieważ SafetyNet API również korzysta z Safe Browsing Update API. Jedyną różnicą jest to, że wszystkie zapytania z usługi systemu operacyjnego do serwera Safe Browsing (bez względu na to, czy pochodzą z aplikacji Brave, czy nie) są wysyłane bezpośrednio i nie przechodzą przez proxy Brave. Oznacza to, że Twój adres IP może być widoczny (i logowany) przez Google.

Tę funkcję można przetestować, korzystając z sekcji „Webpage Warnings” lub „IOS Warnings” strony oficjalnej strony testowej Google.

Ochrona pobierania nie jest dostępna na platformach mobilnych. Urządzenia z Android zamiast tego polegają na Google Play Protect.

iOS

Tak wygląda ochrona przeglądania, gdy wykrywa stronę phishingową. To ostrzeżenie można ominąć, klikając Pokaż szczegóły i następnie odwiedź tę niebezpieczną stronę:

Podobnie jak w przypadku Android, ochrona Safe Browsing na iOS jest zapewniana przez usługę systemu operacyjnego za pośrednictwem ustawienia WebView. W związku z tym, wszelkie żądania do serwera Safe Browsing są inicjowane przez dostawcę systemu operacyjnego i nie mogą być przekierowywane przez Brave.

Urządzenia Apple korzystają z usług Google i Tencent Safe Browsing w zależności od regionu. W najnowszych wersjach iOS, te żądania będą przekazywane przez Apple. Oznacza to, że Twój adres IP może być widoczny (i logowany) przez Apple, Google lub Tencent.

Na urządzeniach, które korzystają z usługi Google, funkcję tę można przetestować, korzystając z sekcji „IOS Warnings” na oficjalnej stronie testowej Google.

Porównanie z innymi przeglądarkami

Ochrona stron internetowych w Brave na komputer i na Android jest równoważna z ochroną dostępną w Firefox, Safari i Chrome. Należy zauważyć, że nie udostępniamy trybu wzmocnionej ochrony, który Google oferuje tylko użytkownikom Chrome (na zasadach opt-in).

Brave na iOS oferuje taką samą ochronę witryn jak Safari lub dowolna aplikacja oparta na WKWebView (np. Firefox), która umożliwia tę opcję.

Ochrona pobierania w Brave jest bardziej ograniczona niż w Chrome i Firefox z powodu tego, że nie wysyłamy żadnych adresów URL na serwer, dlatego te informacje nie mogą być używane do określenia ryzyka związanego z danym plikiem. W praktyce oznacza to, że Chrome i Firefox będą blokować więcej złośliwych plików niż Brave.

Ochrona rozszerzeń Brave jest taka sama jak ochrona Chrome.

Rezygnacja z Bezpiecznego przeglądania

Jeśli wolisz nie korzystać z Bezpiecznego przeglądania, po prostu odwiedź brave://settings/security w swojej przeglądarce na komputerze, aby zmienić ustawienia na Brak ochrony (niezalecane):

Na systemie Android otwórz menu ustawień przeglądarki i stuknij Brave Shields & Privacy, a następnie ustaw opcję Bezpieczne przeglądanie na Brak ochrony (niezalecane):

Na systemie iOS otwórz menu ustawień przeglądarki i stuknij Brave Shields & Privacy, a następnie wyłącz Blokowanie niebezpiecznych stron: