15. Juni 2017 | 20:54 Uhr

Android: Privacy Browser aus F-Droid

Zu meinem Beitrag »Android: Das Browser-Dilemma« kam eine Leser E-Mail rein:

Eine Alternative zu Firefox könnte vielleicht Privacy Browser aus dem F-Droid-Appstore sein.

Vorteile:

Version in F-Droid ohne Werbebanner am unteren Bildschirmrand

Open Source, also quelloffen

Der Browsertraffic lässt sich per default via Orbot durch das Tor-Netzwerk leiten

Aktuell (letzte Aktualisierung 28.5.17, Bisheriger Aktualisierungsrhythmus: Ein bis drei Updates im Monat)

Java-Skript, DOMstorage, Cookies per default an- & abschaltbar

Drittanbieter-Cookies individuell per default an- & abschaltbar

User-Agent per default veränderbar

AdBlocker integriert (pgl.yoyo.org-Liste)

Möglichkeit zum automatischen Löschen von History & Cache nach dem Laden jeder Seite

DNT-Header aktivierbar

Individuelle Startseiten für normale und für Torverbindungen konfigurierbar

Indiviuelle Suchmaschinen für normale und für Torverbindungen konfigurierbar

Formulardaten an- & abschaltbar

Browser unterstützt HTTP_UPGRADE_INSECURE_REQUESTS.

Referer wird versteckt wenn man von einer Webseite zur anderen wechselt. (Dies passiert auch dann, wenn sich nur die Subdomain ändert.)

Doch auch dieser Browser hat Nachteile:

Der Browser setzt einen eigenen X-Requested-With-Header: com.stoutner.privacybrowser.standard

Dieser Header ist zwar wohl bei allen Versionen von Privacy Browser gleich, aber auf Grund der geringen Verbreitung dieses Browsers ist dies ein Identifikationsmerkmal

Das führt außerdem die angebotene Möglichkeit, den User-Agent zu faken, ad absurdum

Unverständlich, dass der Programmierer das eingebaut hat, obwohl er den Anspruch hat, einen Privacy-freundlichen Browser anzubieten

Der Browser hat keine Firefox-artige Header-Signatur (Reihenfolge der gesendeten Header). Den User-Agent als Firefox/Tor-Browser zu faken, würde also durch die Analyse der Signatur zur Entlarfung führen.

Es handelt sich genau genommen um keinen eigenständigen Browser, sondern er benutzt Android System Web View. Also sollte immer die neuste Version von WebView installiert sein, was den Browser für Google-freie Systeme eher ungeeignet erscheinen lässt

Die Schriftarten sind – wie offenbar bei allen auf WebView basierenden Browsern – auslesbar

Anfällig zum Tracken via WebGL, Canvas-Fingerprinting und WebRTC, sobald JavaScript aktiviert ist