Brave Browser: Tracker-Whitelisting für Facebook/Twitter

Die Macher des Brave-Browsers werben dafür, dass dieser Ads und Tracker blockiere. Auf 'einem Auge scheint dieser Tracker-Schutz' aber blind – denn die Tracker von Facebook und Twitter werden zugelassen.

Der Brave-Browser basiert auf Googles Chromium und kann über einen integrierten Werbeblocker Anzeigen und Tracker blockieren. Laut Wikipedia kann der Browser Anzeigen aus einem eigenen Werbedienst einblenden. Die Erlöse aus dieser Werbung sollen an die Nutzer des Browsers und die Webseitenbetreiber in Form von Bitcoins ausgeschüttet werden.

Whitelisting im Browser

Bleeping Computer berichtet in diesem Artikel, dass der Brave-Browser wohl eine seltsame Auffassung von 'Tracker-Blocking' habe. Auf dem news.ycombinator.com von Hacker News gibt es den Thread Brave Privacy Browser Is Whitelisting Trackers of Facebook and Twitter vom 10. Februar 2019. Dort ist jemand aufgefallen, dass im Quellcode des Browsers (tracking_protection_service.h) bestimmte Sites wie Facebook oder Twitter in einer Whitelist stecken.

connect.facebook.net
connect.facebook.com
staticxx.facebook.com
www.facebook.com
scontent.xx.fbcdn.net
pbs.twimg.com
scontent-sjc2-1.xx.fbcdn.net
platform.twitter.com
syndication.twitter.com
cdn.syndication.twimg.com hostnames 

Aktuell ist es wohl die obige Liste an URLs, für die ein Tracking der zugehörigen Seiten im Browser nicht unterbunden wird. Klingt erst einmal nach einem Skandal.

Der Hintergrund

Kurz nach dem Posting auf Hacker News meldet sich der CTO von Brave zu Wort. Er gibt an, dass Ganze technische Gründe habe.

There's a balance between breaking the web and being as strict as possible. Saying we fully allow Facebook tracking isn't right [1], but we admittedly need more strict-mode like settings for privacy conscious users.

We do block Facebook at least as good as uBlock origin with EasyPrivacy. The referenced code is in a separate component which does the same as Disconnect blocking.

We're taking this seriously internally and we'll iterate on where we are to improve the situation. We're looking at if we can polyfill a local JS resource instead for example as one option if it doesn't make further requests.

Das Problem: Blockt man Facebook, funktionieren eine ganze Reihe Webseiten, die Facebook-Scripte einbinden, nicht mehr. Man hat sich daher dazu entschlossen, bestimmte Facebook-Tracking-URLs zuzulassen. Das Ganze ist auf GitHub in diesem Artikel von September 2018 dokumentiert.

In `app/trackingProtection.js`:

"`
// Temporary whitelist until we find a better solution
const whitelistHosts = ['connect.facebook.net', 'connect.facebook.com', 'staticxx.facebook.com', 'www.facebook.com']
"`
Currently hosts that are on the Tracking Protection list but cause some important functionality (like fb login) to break are added to this whitelist so they don't get blocked. My preferred long-term solution is to block by default but detect when a site is likely to break and pop up a dialog asking the user if they'd like to allow the domains to potentially track them.

Die Entwickler des Brave-Browsers haben sich entschieden, Tracking-Skripte von Facebook und Twitter auf die Whitelist zu setzen, da eine Blockade die Funktionalität vieler Websites beeinträchtigen würde. Eine der Facebook-Funktionen, die nicht mehr funktionieren würde, wäre Facebook-Logins. An dieser Stelle stellt sich dann natürlich die Frage, wozu man auf Brave setzen sollte? Bleeping Computer weist hier darauf hin, dass der Firefox das Ganze anders löst.