Brave Search: Opt-Out von Analyse erforderlich und Amazon Hosting

Brave Search ist eine Suchmaschine des Browserherstellers Brave Software Inc. Angeblich legt die Suchmaschine wie auch der Brave-Browser Wert auf die Privatsphäre der Nutzer. Werfen wir doch nachfolgend mal einen Blick auf Brave Search.

Unmittelbar nach dem Aufruf der Website erscheint ganz unten am Bildschirmrand (des Browsers) der folgende Hinweis:

Brave Search uses private usage metrics to estimate overall activity and performance. You can turn off this option in Settings. Learn more.

Unter User metrics steht dann:

This data – if you allow us to collect it – is anonymous and only analyzed in aggregate. It will never identify you or your machine. The data tells us if Brave Search is useful enough to use again and, in turn, gives us a signal that we are approaching a viable alternative to other search engines.

Zunächst einmal wäre es wünschenswert, dass man gefragt wird, ob man »anonyme« Aktivitäts- und Geschwindigkeitsmetriken übermitteln möchte. Leider setzt Brave hier auf ein Opt-Out. Gerade vor dem Hintergrund, dass Brave datenschutzsensible Nutzer anspricht, sollte auch schon die Erfassung von Metriken Opt-In sein. Der ungefragte Zugriff/Auslesen von Informationen vom Gerät des Endnutzers verstößt übrigens gegen § 25 TTDSG – anoynm oder nicht, spielt hierbei keine Rolle.

Die Metriken werden sowohl beim Aufruf, als auch bei jeder Suche erfasst und an die Gegenstelle search.brave.com//api/feedback übermittelt. Das sieht so aus:

POST /api/feedback HTTP/1.1
Host: search.brave.com
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0
Accept: */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: text/plain;charset=UTF-8
Origin: null
Content-Length: 579
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: no-cors
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close

{
   "type":"query.daily",
   "behavior":2,
   "meta":{
      "dev":false,
      "version":6,
      "date":"2022-05-30",
      "static":{
         "channel":"",
         "os":"Linux",
         "browser":"Firefox",
         "dtoi":"2022-05-30"
      },
      "timing":{
         "connectEnd":1,
         "connectStart":1,
         "domComplete":2311,
         "domContentLoadedEventEnd":2307,
         "domContentLoadedEventStart":2302,
         "domInteractive":1093,
         "duration":2312,"fetchStart":1,
         "loadEventEnd":2312,
         "loadEventStart":2311,
         "redirectCount":0,
         "redirectEnd":0,
         "redirectStart":0,
         "requestStart":29,
         "responseEnd":919,
         "responseStart":916,
         "workerStart":0,
         "serverTiming-search-backend-roundtrip":434.4
      }
      ,"source":"web"
   },
   "t":2
}

Prüfen wir als Nächstes, wo der Standort des Servers ist:

traceroute to search.brave.com (13.224.132.82), 30 hops max, 60 byte packets
1 * * *
2 ae3-4018.bbr01.anx84.nue.de.anexia-it.net (144.208.211.30) 0.588 ms 0.592 ms 0.562 ms
3 yandex-ic308611-hls-b2.ip.twelve99-cust.net (62.115.46.182) 0.399 ms 0.394 ms 0.367 ms
4 prs-bb2-link.ip.twelve99.net (62.115.112.214) 16.020 ms 16.087 ms 16.072 ms
5 ldn-bb4-link.ip.twelve99.net (62.115.133.238) 22.095 ms 25.190 ms 25.178 ms
6 ldn-b2-link.ip.twelve99.net (62.115.120.239) 22.388 ms 22.185 ms 22.914 ms
7 a100-ic328653-ldn-b2.ip.twelve99-cust.net (80.239.195.89) 22.556 ms 22.525 ms a100-ic328654-ldn-b2.ip.twelve99-cust.net (80.239.195.91) 22.719 ms
8 * * *
9 52.93.135.30 (52.93.135.30) 24.771 ms 150.222.240.126 (150.222.240.126) 24.167 ms 52.93.135.30 (52.93.135.30) 24.754 ms
10 54.239.100.158 (54.239.100.158) 23.994 ms 54.239.100.100 (54.239.100.100) 31.077 ms 54.239.100.120 (54.239.100.120) 23.228 ms
11 52.94.35.159 (52.94.35.159) 20.454 ms 52.94.35.151 (52.94.35.151) 21.574 ms 52.94.35.149 (52.94.35.149) 23.191 ms
12 * * *
13 * * *
14 * * *
15 * * *
16 * * *
17 server-13-224-132-82.lhr3.r.cloudfront.net (13.224.132.82) 22.800 ms 23.013 ms 22.971 ms

Ganz am Ende (Hop 17) antwortet dann die IP-Adresse 13.224.132.82. Brave Search wird demnach bei Amazon gehostet und als CDN wird Amazon CloudFront eingesetzt. Prüfen wir mal das TLS-Zertifikat der Gegenstelle. Der Aussteller ist:

Amazon Root CA 1

Ausstellbar sind solche TLS-Zertifikate über den AWS Certificate Manager (ACM). Dabei ist zu bedenken: Bei TLS arbeitet man mit zwei unterschiedlichen Schlüsseln zur Ver- und Entschlüsselung – dem sogenannten Schlüsselpärchen. Dieses besteht aus einem öffentlichen und privaten Teil. Der öffentliche Schlüssel ist bekannt und Teil des TLS-Zertifikats, das der Browser beim Aufruf der Website erhält/abruft. Der private Schlüssel wiederum ist geheim und wird auf dem Server vorgehalten. Bei einem TLS-Handshake wird vereinfacht ausgedrückt nun geprüft, ob diese beiden Schlüssel zusammenpassen und daraus ein Sitzungsschlüssel abgeleitet, der die Ver- und Entschlüsselung zwischen Client und Server regelt. Dabei gilt es nun zu wissen: Wer den privaten Schlüssel besitzt, kann die komplette Kommunikation zwischen Client und Server mitlesen. Die Gretchenfrage lautet nun: Wer oder was hat Zugriff auf den privaten Schlüssel? In der Dokumentation des ACMs finden wir dazu:

AWS Certificate Manager wurde entwickelt, um die mit SSL-/TLS-Zertifikaten verwendeten privaten Schlüssel zu schützen und zu verwalten. Beim Schützen und Speichern privater Schlüssel werden sichere und bewährte Verschlüsselungs- und Schlüsselverwaltungsmethoden verwendet.

Das ist relativ wage. An dieser Stelle kann man nur Amazon vertrauen, dass diese vertraulich mit dem privaten Schlüssel umgehen. Persönlich ist es mir lieber, wenn ich selbst die Kontrolle über den privaten Schlüssel besitze.

Kann man Brave Search nutzen? Das muss letztendlich jeder selbst entscheiden. In der Empfehlungsecke findet ihr einige Suchmaschinen, die ich für empfehlenswert halte. Brave Search gehört nicht dazu. Wie auch beim Brave Browser lautet mein Fazit:

So ganz passt die Außendarstellung bzw. das Versprechen zum Schutz der Privatsphäre nicht zum tatsächlichen Verhalten in der Praxis.

Du kannst den Blog aktiv unterstützen! Mitmachen ➡