Un bug de confidenţialitate în browserul Brave a expus istoricul de navigare pe Dark web al utilizatorilor

Brave a rezolvat o problemă de confidenţialitate, care trimitea interogări pentru domeniile .onion către rezolvatorii DNS de internet publici, mai degrabă decât să le dirijeze prin nodurile Tor, expunând astfel vizitele utilizatorilor pe site-uri Dark web.

Bug-ul a primit o rezolvare rapidă (V1.20.108) pe 19 februarie.

Brave vine cu cu o funcţie încorporată numită „Fereastră privată cu Tor” care integrează reţeaua Tor în browser, permiţând utilizatorilor să acceseze site-urile web .onion, care sunt găzduite pe Darknet, fără a dezvălui informaţiile despre adresa IP furnizorilor de servicii de internet (ISP), furnizorilor de reţele Wi-Fi şi site-urilor web în sine. Funcţia a fost adăugată în iunie 2018.

Acest lucru se realizează prin transmiterea solicitărilor utilizatorilor pentru o adresă URL .onion printr-o reţea de noduri Tor a căror funcţionalitate e asigurată de voluntari. În acelaşi timp, este de remarcat faptul că funcţia foloseşte Tor doar ca un proxy şi nu implementează majoritatea protecţiilor de confidenţialitate oferite de Tor Browser.

Însă, conform unui raport dezvăluit pentru prima dată pe Ramble, bug-ul care înlătura confidenţialitatea în modul Tor al browserului a făcut posibilă scurgerea tuturor adreselor .onion vizitate de un utilizator către rezolvatorii DNS publici.

„Furnizorul dvs. de ISP sau DNS va şti că o cerere adresată unui anumit site Tor a fost făcută de IP-ul dvs.”, apare în postarea Ramble.

Solicitările DNS, prin proiectare, sunt necriptate, ceea ce înseamnă că orice cerere de accesare a site-urilor .onion din Brave poate fi urmărită, învingând astfel scopul însuşi al caracteristicii de confidenţialitate.

Brave, la rândul său, avea deja cunoştinţe despre această problemă, deoarece a fost raportată pe platforma de recompense de erori HackerOne pe 13 ianuarie.

Patch-ul a fost iniţial programat să se lanseze în versiunea Brave Browser 1.21.x, dar în urma dezvăluirilor publice, compania l-a introdus mai devreme.