Datenschutz: Brave-Browser leakt aufgerufene Tor-Seiten

Über einen Tor-Modus kann der Anonymisierungsdienst direkt aus dem Brave-Browser genutzt werden. Wirklich anonym war das jedoch nicht.

Artikel veröffentlicht am 20. Februar 2021, 13:41 Uhr, Moritz Tremmel

Das Logo des Tor-Modus im Brave-Browser. (Bild: Brave)

Der Browser Brave enthält neben einem Inkognito- auch einen Tor-Modus, mit dem der gleichnamige Anonymisierungsdienst direkt aus Brave heraus genutzt werden kann. Von Brave wird dieser mit "echter Privatsphäre" beworben. Allerdings wurden die DNS-Abfragen der so aufgerufenen Webseiten nicht über den Anonymisierungsdienst getunnelt, sondern an die normalen DNS-Server gesendet - und so beispielsweise alle vermeintlich anonym aufgerufenen Webseiten an den DNS-Server geleakt.

Davon sind neben Webseiten, die über Tor aufgerufen werden sollen, auch Onion Services (früher Hidden Services) betroffen, also Webseiten und Dienste, die innerhalb des Tor-Netzwerkes angeboten werden und so eine deutlich höhere Anonymität bieten. Diese .onion-Domains, zum Beispiel 3g2upl4pq6kufc4m.onion für die Suchmaschine Duckduckgo, können ohnehin nicht über DNS-Server aufgelöst werden - dennoch schickte Brave die Domains an den DNS-Server und leakte damit den Besuch der entsprechenden Webseiten.

Laut Brave wurde das Problem erst mit einer neuen Funktion eingeführt, die Tracker blockieren soll, die per CNAME-Eintrag im DNS unter der gleichen Domäne wie die aufgerufene Seite ausgeliefert werden. Das Problem mit den DNS-Leaks im Tor-Modus wurde Brave demnach schon vor über zwei Wochen gemeldet. Seitdem wurde an einem Fix gearbeitet.

Tor-Browser bietet mehr Anonymität

Infolge heftiger Diskussionen um die DNS-Leaks auf Reddit und Twitter sei der Fix nun schneller als geplant ausgespielt worden, erklärte der Browserhersteller. Demnach wurde das Blockieren von CNAME-Trackern im Tor-Modus abgeschaltet, was die DNS-Leaks unterbinden soll.

Die Implementierungsfehler von Tor in Brave betreffen weder den Anonymisierungsdienst selbst noch den Tor-Browser. Letzterer bietet im Gegensatz zum Tor-Modus in Brave, deutlich mehr Privatsphärefunktionen und verfolgt das Ziel, dass alle Tor-Browser beim Fingerprinting möglichst gleich aussehen. Darauf weist Brave in der Erklärung zum Tor-Modus explizit hin.