Brave le navigateur n'est pas si clean que cela

[Parisien_entraide]

Brave logo.jpg

Brave, le chevalier blanc auto proclamé des navigateurs a été pris la main dans le sac

Le PDG a reconnu l'erreur, mais il est impossible que cela soit passé inaperçu au sein du groupe
En fait on retrouve le fameux "Pas vu pas pris, pris pendu" avec l'absolution en reconnaissant ses erreurs


Sources diverses

Lancé en 2016, le navigateur open source Brave ayant pour but de protéger ses utilisateurs en bloquant publicités et traceurs web, se voit plonger dans un scandale qui remet en cause ses propres fondements.

Tout est parti de cette remarque d'un utilisateur

https://twitter.com/cryptonator1337/sta ... 0105578496


“Donc, quand vous utilisez le navigateur Brave et tapez “binance[.]us”, vous vous trouvez redirigé sur “binance[.]us/en?ref=35089877″ – Je vois ce que vous faites ici les gars ”

Il s’avère que l’entreprise Brave profiterait de ses usagers à leur insu afin de les rediriger sur des liens affiliés, permettant de générer une commission sur chacune des inscriptions et transactions futures liées aux plateformes concernées.



Brendan Eich, le PDG-fondateur de Brave, a rapidement reconnu les faits et déclaré qu’il s’agissait « d’une erreur

https://twitter.com/BrendanEich/status/ ... wsrc%5Etfw

"Nous avons commis une erreur, nous la corrigeons: La saisie semi-automatique par défaut d’un code affilié lorsque “binance.us” est tapé dans la barre d’adresse. Nous sommes affiliés Binance, Nous référons nos utilisateurs via le widget opt-in dans une nouvelle page, cependant, la saisie semi automatique ne devrait pas générer un nouveau code”


Le soucis c'est que tout le monde parle de Binance, mais il n'y a pas que cela


En explorant de plus près le GitHub du navigateur en question, les faits ne se limitent pas à Binance.us, mais concernent aussi Coinbase, Ledger et Trezor.

2020-06-08_191227.jpg

La fonctionnalité existe depuis le 25 mars


https://twitter.com/fstepho/status/1269358848420216834


En mars, Brave annonçait un partenariat avec Binance visant à intégrer un widget de crypto-trading au sein du navigateur.

Le patron de Brave a ensuite expliqué que l’entreprise cherchait des revenus d’affiliation et que cela incluait notamment la venue de nouveaux utilisateurs sur Binance et d’autres exchanges via des widgets qui préservent la confidentialité avant l’opt-in.

La fonction est activée par défaut

Il est possible de désactiver cette fonctionnalité, en vous rendant dans « Paramètres », puis dans « Apparence ». Il faut désactiver l’option « Show Brave suggested sites in autocomplete suggestions ».

Une mise à jour est en cours de déploiement pour désactiver par défaut la fonction

________________________________________________

PETIT RAPPEL AU SUJET DE BRAVE


On a :

Brendan Eich, fondateur de Brave
Peter Thiel, actionnaire de Brave corporation

Palantir, entreprise associée à l'affaire Cambridge Analytica a été co-fondée par la même personne : Brendan Eich.

https://www.letemps.ch/economie/controv ... con-valley

Pour ceux qui ne savent pas ce qu'est Palantir

https://www.marianne.net/monde/le-tres- ... et-la-dgsi

Extrait de wikipedia

"L'entreprise est notamment connue pour trois projets: Palantir Gotham, Palantir Metropolis et Palantir Foundry. Palantir Gotham est utilisé par des analystes de la lutte contre le terrorisme dans les bureaux de la United States Intelligence Community (USIC) et du Department of Defense des États-Unis, des enquêteurs sur la fraude au Recovery Accountability and Transparency Board et des cyber-analystes à Information Warfare Monitor, tandis que Palantir Metropolis est utilisé. par des fonds spéculatifs, des banques et des sociétés de services financiers.


On note, pour l'anecdote, que https://www.usinenouvelle.com/editorial ... ee.N741154

Pour le reste du monde ils n'ont pas cette chance
http://infogalactic.com/w/index.php?sea ... arch&go=Go

C''est Brendan Eich qui a imposé ce moteur de recherche dans Brave (sauf pour la France)
https://lexpansion.lexpress.fr/high-tec ... 22139.html


Bien relire (c'est la base) https://fr.wikipedia.org/wiki/Brave_(navigateur_web)

Effectivement, si on lit des tests d'analyse poussés, BRAVE semble clean, mais il a un modèle marketing, et il faut s'attacher au passé de ses dirigeants ou investisseurs comme Peter Thiel, où il reste des mots clés : Palantir Facebook/Cambridge Analytica, NSA/CIA/FBI , IA et surtout confidentialité différentielle, mais aussi.. Jeffrey Epstein
Depuis l'informatique ubiquitaire et maintenant la confidentialité différentielle qui permet récolter encore plus de données tout en prétendant garantir la vie privée, on sait que celles ci ne le sont pas en fait

https://www.lebigdata.fr/donnees-anonymisees-etude


Firefox a des soucis d'argent et on a un "Brave" qui trouve lors de sa seconde levée de fonds, 35 millions de dollars, payés en cryptomonnaie en moins de .30 secondes ?
Un lien avec Palantir Metropolis et affiliés ?

A chacun de se faire son avis..

Au delà de cela, si on ne prend qu'un seul aspect, Brave est une société de publicité se faisant passer pour un fabricant de navigateurs soucieux de la confidentialité.
C'est pernicieux car tout n'est pas de leur fait (volontairement ou pas)


Tout n'est pas blanc ou noir

Les publicités Brave ne sont pas nécessaires pour utiliser le navigateur Brave, les gens choisissent de les utiliser, c'est le choix des gens et les publicités Brave ne vous suivront pas.

Brave est le pionnier d'un nouveau modèle de publicité et ils sont transparents sur son fonctionnement:

https://brave.com/intro-to-brave-ads/

Le problème n'est pas la publicité
On a l'impression que les gens sont encore dans l'esprit de la "réclame" qui est utilisée depuis des siècles si on regarde bien, mais le problème est que les publicités Internet sont conçues, mises en œuvre pour suivre les gens, et... surtout les identifier
(principe de l'affinage pour un meilleur ciblage)

Brave ferme ce qu'il peut dans Chromium et filtre le reste avec un proxy
Vos demandes passent par un serveur / filtre Brave avant de passer à autre chose.

Il n'y a rien de mal avec cette approche, c'est courant.
AdGuard par exemple fait la même chose et fonctionne avec n'importe quel navigateur.


Que dit le le Senior Privacy and Director of Privacy de Brave ?

_______________________________
"Nous exhortons Google à rejoindre les autres navigateurs, experts et activistes qui s'efforcent de faire de l'internaute une priorité."
— brave.com/why-brave-disables-floc/


On a une impression de naïveté, comme si ils pouvait contrôler Aplphabet Inc / Google
Comme si la souris pouvait se protéger du chat...


Pour la naïveté Il n'en n'est rien
Il cite également dans un forum :

«Bien que les organismes de normalisation comme le W3C donnent l'impression d'être un lieu où les fournisseurs de navigateurs collaborent pour améliorer la plate-forme Web; en réalité, la position de monopole de Google et le taux agressif de livraison de fonctionnalités non standard amènent fréquemment les organismes de normalisation à codifier les fonctionnalités Web et les décisions que Google a déjà prises. "
— US House Antitrust Report on Big Tech, page 229


Mais aussi :

- Google rend difficile la protection de la vie privée sur le Web et dans Chromium
- Brave apporte d'importants changements pour rendre Chromium considérablement plus respectueux de la confidentialité [1]
- Nous pourrions faire encore plus de protection de la vie privée si nous n'avions pas à faire face à autant de merde de en amont

(1) https://github.com/brave/brave-browser/ ... or-remove)

-----------


On peut donc résumer le fait à :

Même si un groupe parvient à modifier le code pour respecter la confidentialité, le monopole de Google sur les normes Web peut garantir que le navigateur résultant sera moins compatible ou cassé sur de nombreux sites Web.
Cela a un effet sur tous les moteurs de navigateur sans chrome... ou via Chromium

Si Google commence à utiliser une norme Web sur ses propres sites Web sans laquelle ces sites Web ne sont pas conformes, un autre navigateur comme Firefox l'implémentera également, afin que ses utilisateurs ne soient pas effectivement bannis des sites Web de Google.
La même chose serait vraie pour les navigateurs basés sur Chromium qui désactivent ces fonctionnalités, ils seront obliger de les activer


Lecture complémentaire :

https://www.malekal.com/brave-navigateu ... ie-privee/
https://www.malekal.com/chromium/
https://www.malekal.com/pistage-suivi-i ... -internet/
https://www.malekal.com/meilleurs-navig ... le-chrome/

https://www.malekal.com/comment-bloquer ... le-chrome/

[Malekal_morte]

Des fois tu te demandes s'ils réfléchissent.... surtout après l'épisode Avast! - Extension Avast! et AVG : collecte de données ....
Genre ils pensaient que personne n'allait le voir ?

[Parisien_entraide]

Bah ils s'en moquent

Tu mets dans la balance ce que cela peut rapporter, et les défections et abandons suite aux divulgations
Dans les faits tu t'aperçois que

- La majorité n'est pas au courant
- S'en fiche
- A la mémoire d'un poisson rouge

Puis comme je le disais, il y a la manière anglo saxonne d'aborder la chose qui peut nous sembler singulière : Faire son mea culpa en plublic, demander pardon, s'excuser

Une fois fait, tout est pardonné/oublié, et c'est le passage obligé pour repartir sur d'autres bases

Si effectivement on reprend l'épisode Avast, c'est déjà oublié , et dans les rapports FRST on voit que son usage domine
Normal, c'est "gratuit"

[Malekal_morte]

Ouaip on peut voir cela comme ça!

[Parisien_entraide]

Ce qui est amusant c'est que si tu commences à gratter ce qu'il y a derrière les stés, tu as toujours des surprises...

Par ex si tu regardes la Sté Cliqz, où Mozilla en 2016 a investi (ils sont cependant minoritaires)


La source https://en.wikipedia.org/wiki/Cliqz


Le fondateur est Jean-Paul Schmetz, mais la sté est détenue par Hubert Burda Media

https://en.wikipedia.org/wiki/Hubert_Burda_Media

Sur le lien Wikipedia on note un passage sur la seconde guerre mondiale et la sté... Intéressant..

Le 15 février 2017, Cliqz International GmbH, une filiale à 100% de Cliqz GmbH, a acquis l'extension de navigateur .....Ghostery axée sur la confidentialité.

https://www.burda.com/en/news/cliqz-acq ... -ghostery/

Sur le forum (lire la discussion)
viewtopic.php?t=55653

"Qu'es-ce que Ghostery ?

" Ghostery détecte les mouchards, les bogues Web, les pixels et les balises placés sur les pages Web par Facebook, Google et plus de 500 autres réseaux publicitaires, fournisseurs de données sur le comportement et éditeurs Web, toutes ces sociétés étant intéressées par votre activité."
Ghostery est fait pour protéger les régies publicitaires et autres trackers, et non pas les internautes (la protection des internautes est un effet collatéral du fonctionnement principal de Ghostery)

C'est subtil mais c'est normal, lisez-plutôt la suite :

Ghostery est l'outil de Evidon Better Advertising qui est une organisation d'Intelligence (espionnage) économique au profit de ses membres. Les annonces publicitaires elles-mêmes ne sont pas bloquées par Ghostery et doivent être bloquées avec uBlock Origin"

[Parisien_entraide]

Complément :

"Brave a d'autres controverses à son actif (merci @kinux), et notamment :

- Le financement via des liens d'affiliations vers des sites de crypto-monnaies, pratique arrêtée depuis que l'affaire a été révélée.
- L'inclusion de infogalactic, un Wikipédia d'extrême droite, dans les moteurs de recherche proposés par défaut. La pratique aurait cessé en décembre 2018 d'après ce site."


Source : https://www.pixeldetracking.com/fr/vie- ... ateurs-ios
Le lien ne fait pas état que "sous IOS" car les traceurs sont souvent communs quelque soit l'OS, mais permet de se faire une idée du comportement des différents navigateurs au sens global (en se rappelant que sous iOS, Brave n'utilise pas Chromium, et est obligé d'utiliser WebKit.)

On retrouve donc dans cette analyse et tests pour BRAVE, le comportement schizophrénique de ce dernier

Edit : Un lien qu'on ne peut qualifier de complotiste https://www.01net.com/actualites/facebo ... 63954.html
où l'on se retrouve à évoquer Peter THIEL


Bien lire ce qui est dit également ici
https://support.brave.com/hc/en-us/arti ... my-Privacy

[Parisien_entraide]

Brave Browser corrige un problème de confidentialité qui divulgue les adresses URL Tor que vous visitez sur votre serveur DNS configuré localement, exposant les sites Web que vous visitez.
Pour résumer : Si vous avez opté pour les DNS de Google, ou Cloudflare, ceux ci SAVENT tout ce que vous avez fait


Source : Bleeping

https://www.bleepingcomputer.com/news/s ... -provider/

En ouvrant une page privée Tor, les utilisateurs de Brave peuvent faire router toutes leurs requêtes HTTP par le réseau de nœuds Tor, protégeant ainsi leur anonymat et leurs données de navigation. Cette fonctionnalité permet également de visiter en toute sécurité des sites cachés en .ONION. Du moins c’est ce que l’on pensait.

2021-02-23_095143.jpg

En raison d’un bug dans le navigateur, chaque requête vers un site caché provoquait malheureusement une requête DNS vers le serveur configuré pour la navigation classique. Autrement dit, le prestataire DNS sait quels sites cachés l’utilisateur consulte.

Ce problème est dû à la fonction de désactivation du blocage des publicités CNAME de Brave, qui bloque les scripts de suivi tiers qui utilisent des enregistrements DNS CNAME pour se faire passer pour un script propriétaire .

Brave connaissait ce bug depuis le 13 janvier et l’avait déjà corrigé en version bêta.

Mais la vulnérabilité a été rendue publique par un utilisateur de Reddit. L’éditeur a donc décidé de déployer le correctif en urgence sous la forme d’un « hotfix ». La morale de l’histoire, c’est qu’il vaut mieux utiliser le logiciel original, Tor Browser, si l’on souhaite naviguer dans le Darkweb. Un tel bug aurait probablement été corrigé plus rapidement. Par ailleurs, ce navigateur embarque beaucoup d’autres protections que Brave n’a pas.

[Parisien_entraide]

A lire

Tableau comparatif :
https://www.malekal.com/quel-est-le-mei ... e-privee/


Site Web contient des articles sur des programmes populaires avec des explications sur les fonctionnalités des logiciels espions qu'ils contiennent.(y a pas tout mais le principal y est)
https://spyware.neocities.org/articles/brave.html


BRAVE Présentation configuration, réparation ...
https://www.malekal.com/brave-navigateu ... ie-privee/

[Parisien_entraide]

Dans cet article en anglais il y a un passage intéressant sur BRAVE

Les robots d'exploration, les moteurs de recherche et les sordides entreprises d'IA générative
https://searchengineland.com/crawlers-s ... ies-429389

Pour résumer,

Brave s'est désigné comme distributeur à but lucratif de contenu protégé par le droit d'auteur sans licence ni autorisation des éditeurs de sites Web.

Traduction à l'arrache du passage sur BRAVE

________

L'approche super louche de Brave Software

Si l'approche d'OpenAI est problématique, Brave Software (le fabricant du navigateur Brave et du moteur de recherche Brave) adopte une approche et une position encore plus problématiques en ce qui concerne les données de recherche et de formation de l'IA.

Le moteur de recherche Brave dépend fortement de ce qu'on appelle le Web Discovery Project .
https://github.com/brave/web-discovery-project

L'approche est assez élaborée et documentée ici , https://github.com/brave/web-discovery- ... README.md mais je soulignerai un fait clé : Brave ne semble pas disposer d'un robot d'exploration centralisé, et aucun des robots d'exploration ne s'identifie comme des robots d'exploration pour Brave, et (asseyez-vous pour cela) Brave vend le contenu récupéré avec les droits que Brave accorde à l'acheteur pour la formation en IA.

Il y a beaucoup de choses dans cette phrase, alors analysons-la.

Brave Search utilise le navigateur Brave comme robot d'exploration distribué. Comme indiqué dans cet article d'aide, il existe cette question et réponse de la FAQ :

Le projet Web Discovery est-il un robot d'exploration ?

D'une certaine manière, oui. Le projet Web Discovery traite les tâches de récupération à partir du robot d'exploration Web de Brave. Toutes les quelques secondes ou minutes, le navigateur peut être invité à récupérer une page Web et à renvoyer le code HTML à Brave . Cependant, cette récupération n'a aucun impact sur votre historique de navigation ou sur vos cookies : elle est effectuée sous la forme d'un appel API de récupération privée.
Pour plus de sécurité, les domaines de travail de récupération sont présélectionnés parmi un petit ensemble de domaines inoffensifs et réputés.

Qu'est-ce que le projet Web Discovery ? – https://support.brave.com/hc/en-us/arti ... y-Project-

L'API Fetch est une fonctionnalité Web standard intégrée aux moteurs de navigateur modernes, y compris celui utilisé par Brave.
Son utilisation courante consiste à récupérer du contenu à montrer aux utilisateurs dans le navigateur.
Pour nos besoins, nous savons immédiatement qu'il s'agit du navigateur d'un utilisateur qui demande le contenu du site Web au nom du moteur de recherche de Brave.

Fait intéressant, un fil de discussion Reddit de juin 2021 ajoute plus de détails et de confusion.
https://www.reddit.com/r/BATProject/com ... d_by_user/
Une réponse d'un représentant de Brave est très intéressante (met en évidence la mienne) :
https://www.reddit.com/r/BATProject/com ... t/h2ryf49/

Nous avons notre propre robot d'exploration, mais il ne contient pas de chaîne d'agent utilisateur (tout comme Brave, le navigateur, ne contient pas non plus de chaîne d'agent utilisateur unique ) pour éviter une discrimination potentielle .
Cela dit, nous avons évoqué la possibilité d'identifier le robot d'exploration auprès des administrateurs qui souhaiteraient savoir quand et où il atterrit sur leurs propriétés.
Nous respectons également le fichier robots.txt , donc si vous ne souhaitez pas que Brave Search explore votre site, ce ne sera pas le cas.

C'est une mine d'or de faits :

1) Ils ont leur propre robot d'exploration, qui peut faire référence à un robot centralisé ou au projet de découverte Web distribué basé sur un navigateur.

2) Ce robot ne s'identifie pas comme un robot, mais il obéit d'une manière ou d'une autre au protocole d'exclusion des robots (sous la forme du fichier robots.txt).

Comment un exploitant de site Web peut-il rédiger une directive d’exclusion des robots si le navigateur ne s’identifie pas ? Quel jeton d'agent utilisateur (comme on l'appelle) serait utilisé dans le fichier robots.txt pour spécifier les directives spécifiques au robot d'exploration de Brave ? Je n'ai trouvé aucune documentation de Brave.

3) Ce qu'ils appellent discrimination, c'est en réalité la façon dont les éditeurs contrôlent l'exploration.

Le protocole d'exclusion des robots est un mécanisme permettant aux éditeurs de faire la distinction entre ce à quoi les utilisateurs et les robots d'exploration sont autorisés à accéder, ainsi qu'entre les différents robots d'exploration (par exemple, autoriser Bingbot à explorer mais pas Googlebot).
En prétendant vouloir éviter la discrimination, Brave affirme en réalité qu'il lui appartient de décider de ce qu'il explore et indexe, et non de l'éditeur.



Revenons à l'API Fetch : par défaut, l'API Fetch utilise la chaîne d'agent utilisateur du navigateur. Nous savons déjà que le navigateur Brave ne s'identifie pas avec un en-tête d'agent utilisateur unique, mais utilise plutôt la chaîne générique d'agent utilisateur produite par le moteur de navigateur sous-jacent.

La chaîne de l'agent utilisateur peut être personnalisée, pour le navigateur en général et pour l'API Fetch, mais je n'ai trouvé aucune indication que Brave fasse cela (et en effet, la réponse Reddit citée ci-dessus indique explicitement qu'il n'y a pas d'identifiant unique).

De plus, Brave vend les données récupérées spécifiquement pour la formation en IA, et pas seulement comme résultats de recherche (par exemple, pour alimenter une fonction de recherche sur un site).

La visite de la page d'accueil de l'API Brave Search montre plusieurs niveaux de prix, dont certains appelés « Données pour l'IA ». Ces forfaits de données incluent des options pour « Données avec droits de stockage » qui permettent à l'abonné de « Cache/stocker des données pour entraîner des modèles d'IA », avec les données comprenant des « Extraits alternatifs supplémentaires pour l'IA » et avec des « Droits d'utilisation des données pour l'inférence de l'IA. »

En résumé, sur la base des déclarations publiques de Brave et du manque de documentation, Brave explore le Web de manière furtive, sans moyen évident de le contrôler ou de le bloquer, et revend le contenu exploré pour la formation en IA.

Ou pour reformuler cela plus crûment, Brave s'est désigné comme distributeur à but lucratif de contenu protégé par le droit d'auteur sans licence ni autorisation des éditeurs de sites Web .



Edit :

L'auteur postérieurement à ses déclarations tiens à précisier quelques points de détail
Il préfère s'en tenir aux faits, sans donner de conclusion (pour éviter les procès ?)

Une mise à jour sur Brave vendant des données protégées par le droit d'auteur pour la formation en IA
https://stackdiary.com/an-update-on-bra ... hted-data/

[Parisien_entraide]

tous chromium.jpg

Comme d'habitude il ne s'agit pas de mettre en avant les fonctionnalités "nouvelles", ce qui différencie BRAVE des autres navigateurs sous... Chromium, mais les travers de cette société

Du reste pour les aspects positifs, BRAVE fait aussi bien qu'un Firefox Tweaké, et pas de base, ou Librewolf (dont la base est Firefox mais tweaké)
https://privacytests.org/private.html



BRAVE VPN

L offre n'est pas nouvelle, et BRAVE l'avait intégré sur PC après la version Android et IOS
La solution adoptée émane de "Guardian" pour le VPN et Firewall (Technologie WirGuard qui est open source)
https://www.malekal.com/wireguard-insta ... id-ubuntu/

Contrairement à plusieurs autres solutions VPN intégrées au navigateur, Brave VPN fonctionne à l'échelle du système, ce qui signifie que toutes les applications en bénéficient lorsqu'il est activé.

Avant, l'utilisateur décidait ou pas de l'installation du VPN, soit lors d'une première installation, ou soit lors de la mise à jour lors de l'implantation dans le navigateur lorsque cela a été proposé la première fois


POUR RAPPEL SUR CE VPN (ce qui était indiqué sur la version Android de BRAVE VPN)

Brave VPN apporte-t-il autre chose que ce que d'autres applications et services VPN prennent également en charge ? Brave Software met en avant son système d'authentification unique. Bien qu'il soit nécessaire d'acheter un abonnement à Brave VPN pour utiliser le service, Brave utilise un reçu numérique pseudonyme pour donner accès au service VPN, ainsi que des « identifiants randomisés et alternés » lors de la connexion aux serveurs VPN.

Selon Brave, ce système permet d'accéder au VPN « d'une manière qui n'exige pas que Brave ou Guardian connaissent l'identité d'un utilisateur ». Guardian utilise la même technologie pour son application autonome, comme le souligne la politique de confidentialité de l'entreprise .

https://guardianapp.com/privacy-policy/ ... -about-you


QUEL EST LE PROBLÈME ?


Certains utilisateurs on pu apercevoir une notification Windows du type

"Brave VPN a été configuré pour démarrer automatiquement lors de la connexion"

Le soucis, c'est que lors de la dernière mises à jour de BRAVE, il n'y a eu aucune demande d'autorisation d'installation ou lorsque le navigateur a redémarré, aucune mention d'un client VPN installé sans "Votre" autorisation.

L'installation forcée du VPN s'est effectuée en mode silencieux et les utilisateurs ont vu apparaitre 2 services (via services.msc)

- Service VPN Brave
- Service VPN Wireguard Brave


BRAVE A qualifié la chose de .. "BUG"


En fait si on regarde bien le VPN utilisait l'ancien IKEv2 au lieu du protocole de tunnel WireGuard, qui est plus rapide, moderne et plus sécurisé
Du reste c'est pour cela que les anciens utilisateurs ont vu également ce service offert et installé de force

Seulement l'usage du VPN n'existe pas en version d'essai, gratuite, elle est réservée en tant qu'offre payante, et n'a donc pas lieu d'être installée de force pour la majorité des utilisateurs qui n'ont pas d'abonnement



On a donc:


1) BRAVE qui installe de manière forcée son VPN... Cela rappelle les méthodes de certaines éditeurs peu scrupuleux, où l'on qualifiait leurs programmes de "Crapware"

Une bonne définition de ce que sont ces programmes, ce qu'ils font, etc émane du site assiste.com : https://assiste.com/Crapware.html
Extrait :

- Livrés en installation liée à l'installation d'un autre logiciel, à l'insu de l'utilisateur ou sans son consentement éclairé. Ces bundle proviennent d'un mécanisme dit de sponsoring (sponsor) et sont injectés dans l'installeur d'un logiciel, dans un repack (installeur modifié par un site de téléchargement) ou dans un downloader que les sites de téléchargement obligent à utiliser.
- Installés de force, à votre insu, par des automatismes (globalement appelés drive-by download exploitant des failles de sécurité ou des mécanismes publicitaires, etc. ...).

En fait cela ressemble à ce que font les malwares...
Les utilisateurs sur divers sites et forums qualifient maintenant BRAVE de Bloatware
https://assiste.com/Bloatware.html


2) L'installation forcée est une chose, MAIS cela met en place des services qui permettent , sans pour cela devoir relancer l'ordinateur de faire fonctionner les programmes liés

Brave navigateur services.png

Des utilisateurs se sont aperçus que :

Par exemple, lorsque vous désactivez certaines choses de « Télémenterie », il envoie toujours une requête ping aux serveurs et télécharge/envoie du contenu crypté.

De plus, si vous supprimez manuellement le « VPN », à chaque redémarrage du bureau et que vous relancez t du navigateur, cela réactive le service VPN « Spyware » qui est installé sans « Votre » autorisation.

Si vous exécutez un sniffer de réseau, etc., par exemple, et surveillez le trafic réseau, le navigateur au lancement alors qu'il est laissé ouvert et non utilisé, par exemple, Google Open ,envoie périodiquement des "Pings" et envoie des données cryptées et reçoit une réponse cryptée des serveurs exploités par Brave.

En fait c'est du même ordre que si vous essayez de désinstaller BRAVE de manière "classique", il reste plein de fichiers et... les services sont toujours en place (Certains. Il faudrait que je refasse l'expérience mais il restait des entrée de démarrage toujours active dans le Gestionnaire des tâches.)

Déjà, un programme qui lance des services, et qui sont donc actifs, au démarrage de l'ordi , alors que vous n'avez pas lancé le programme lié... Je le conçois mais pour des programmes spécifiques comme de sauvegarde etc et un tout petit nombre d'autres programmes
MAIS là on a un navigateur qui arrivent quand même à lancer 5 services (avec les 2 liés au VPN)


Il ne faut pas croire que laisser en mode "manuel" désactive tout.
Cela peut envoyer une requête (un ping comme souligné mais pour un autre cas de figure comme au démarrage de l'ordi, comme le fait Windows du reste vers certains serveurs Microsoft)
Certains services (au sens général) sont fortement ancrés (En boot start par ex et/ou en Share Process) et c'est pour cela qu'il faut faire attention en passant par ex par AUTORUNS et l'onglet "'Services" de ne pas tout désactiver comme un bourrin (même si vous avez mis le mode manuel)
Le risque ? Le programme ne fonctionnera plus, et il faudra le réinstaller

D'autres s'installent comme les services de Steam et EA APP par ex (la liste est longue, car les services de souris/clavier le font aussi par ex, le pire étant Razer) mais on peut les placer en manuel. Une fois qu'on lance le programme lié ils démarrent
Il ne faut pas se leurrer, il y a de la télémétrie derrière et on ne sait jamais si elle bonne pour nous ou pas (C'est comme le bon et le mauvais chasseur :-)
D'autres sont plus retords, car meme si on désactive le SEUL service qui apparait, et bien toutes les X minutes ils balancent des données au site mère (SteelSéries par ex même si on désactive le SteelSeries update service complètement il faut donc tout bloquer via le firewall)

Concernant le service "désactivé" quelqu'un a remarqué :

J'ai également fait apparaître une tâche du même nom dans le Gestionnaire des tâches en tant qu'application de démarrage, activée par défaut. Depuis, je l'ai désactivé car je n'en avais pas besoin.
Le chemin complet du fichier est
C:\Program Files\BraveSoftware\Brave-Browser\Application\118.1.59.117\BraveVpnWireguardService qui diffère du service répertorié dans services.msc (service Brave Vpn Wireguard) qui a un chemin de
C:\Program Files\ BraveSoftware\Brave-Browser\Application\118.1.59.117\BraveVpnWireguardService\brave_vpn_wireguard_service.exe

Brave en plus du service.jpg

BEMOL

Alors si les services s'installent en douce, que WireGuard est actif, cela ne veut pas dire que le VPN est activé de force
Il faut en effet cliquer pour démarrer...un essai gratuit d'une option payante.
Donc Brave WireGuard est actif sur un compte Brave VPN..... inexistant. Pourquoi ?

Il semble que SI vous n’avez pas installé le navigateur, initialement, avec les droits administrateur, le service de VPN ne devrait pas être présent sur votre machine.




LES QUESTIONS QUI SE POSENT


Pourquoi les services VPN sont-ils installés en premier lieu ?
Brave n'a fait aucune annonce à cet égard.

Peut-être pour que les utilisateurs puissent commencer à utiliser le VPN immédiatement sous Windows et non après un redémarrage ? Mais dans ce cas on laisse le choix à l 'utilisateur, et ce d'autant plus qu'il a peut etre son propre programme de VPN déjà installé, et on le prévient surtout



RECTIFICATION ET MISE A JOUR

Brave prévoit de résoudre le problème dans une prochaine version et annonce la situation actuelle comme... Un BUG (?)

La société note que les services VPN sont définis sur Manuel et qu'ils ne démarreront que s'ils sont démarrés par l'utilisateur.
Les services ne fonctionneront que lorsque les utilisateurs achèteront Brave VPN.

De plus,

"aucune donnée n’est envoyée à Brave depuis les services VPN".

Brian Clifton (responsable du développement chez Brave) a voulu éteindre l'incendie et explique que l’installateur de Brave ne devrait pas agir comme cela et promet qu’à l’avenir,  ces services seront installés lors de la première utilisation du VPN (après l’achat), et non au moment de l’installation
Source https://www.reddit.com/r/brave_browser/ ... ?context=3

Extrait :

"A quoi servent ces services ?

Le service d'assistance VPN est utilisé lors de l'exécution d'IKEv2 en utilisant la prise en charge VPN intégrée de Windows avec Brave VPN.

L'intention de ce service est de forcer le routage via un adaptateur pour éviter une fuite de nom d'hôte.

Par défaut, la résolution intelligente de noms multi-résidents est activée et peut divulguer les noms d'hôtes en cours de résolution. Cela se produit parce que les noms envoyés aux résolveurs système enverront ensuite le nom d'hôte en question à tous les adaptateurs de la machine - et utiliseront ensuite la première réponse reçue.
Cela signifie que lorsque vous êtes un client Brave VPN payant, il se peut que le DNS de votre FAI soit en train de résoudre et nous trouvons cela inacceptable.

En fait il a essayé de justifier la chose et indique ce qu'il prévoit de faire

------

ADDENDUM

GUARDIAN (la sté derrière le VPN) a été fondé par Will Strafach, mieux connu de nombreux utilisateurs d’iPhone sous le nom de Chronic, pour permettre aux utilisateurs de protéger leurs informations personnelles telles que les adresses IP et les données de localisation.
Strafach était autrefois l’un des noms les plus connus dans le monde du .....jailbreak pour iPhone

Du reste son appli VPN sur IOS n'était pas bien vue par APPLE (Apple n'aime pas trop que l'on joue l'homme du milieu à sa place en règle général mais il y avait un vieux conflit entre eux (le jailbreak) :-)
https://iphonesoft.fr/2020/08/30/guardi ... -app-store

Il faut savoir que GUARDIAN a été acquis par DNSFilter, en aout 2022, une société spécialisée dans le filtrage de contenu Web et la protection contre les menaces.
Néanmoins GUARDIAN reste une application autonome après l’acquisition

Son usage avec BRAVE reste limité
Ce n'est pas un VPN très complet, permettant par ex d’outrepasser les restrictions géographiques ...des services de streaming et .. autres (principales raisons des usages d'un VPN)

Ici, le but est uniquement de chiffrer vos connexions (qui transitent toutes vers les serveurs de Guardian, lequel promet ne garder aucun log)

Il faudrait s'y intéresser mais en version Android par ex, le VPN ne cache pas l'IP

On a quelques détails via le developpeur sur cet ancien article de blog
https://guardianapp.com/blog/2021/01/su ... edentials/



Edit du 24/10/2023
Un copier coller de ce que j'avais tapoté en mars 2023 sur le sujet des VPN gratuits et payants, viewtopic.php?t=57566&start=75 et qui complète ou répète aussi ce qui précède



QUI EST DERRIERE LE VPN ?

Il s'agit de la sté GUARDIAN (Acquise récemment par DNS FIlter https://www.dnsfilter.com/ )


https://guardianapp.com/company/

Sur leur site on retrouve le bla bla habituel pour attirer le chaland

Nous avons fondé Guardian sur notre conviction que la confidentialité personnelle et la transparence dans les appareils connectés au réseau sont des droits fondamentaux des consommateurs.

Avec une précision qui est en fait est .. A double tranchant pour l'utilisateur d'un VPN
Soit la sécurisation, soit bien profiter du fait que le VPN reste l'homme du milieu

L'équipe Guardian est leader dans le piratage depuis plus d'une décennie. L'équipe a la passion d'être libre, déteste les contraintes arbitraires et vénère la liberté. Bien connue pour sa capacité à désosser presque toutes les applications et appareils pour exposer ce qui se passe sous le capot, le principe de base de l'équipe est de protéger les gens contre les dangers qui se cachent - souvent sans le savoir - dans le monde numérisé.

Je ne tiens pas compte de tout ce qui est écrit sur la "privacy", car de nombreux exemples dans divers domaines démontrent que tout cela n'est que pour rassurer et se conformer aux lois déclaratives

Le fait qu'ils mettent en avant divers articles sur l'espionnage, les données personnelles etc ne prouvent rien non plus (comme pour Brave)
Ex (que je conseille de lire) https://theintercept.com/2022/04/22/ano ... e-cia-nsa/

Ceci dit, si je me conforme aux déclarations de Guardian, on ne peut rien dire de négatif sur ce VPN

Cependant 'actualité montre que les plus fervents défenseurs peuvent être les pire crapules, et mieux, font partie du système qu'ils fustigent et ce dans tous les domaines (technologique, politique etc ou pire comme la pédo criminalité, le trafic d'être humains, drogue..) car ils sont juste là pour juguler, contrôler, éviter les fuites, les procès, etc..

(Toute relation de démonstration comme avec cet exemple https://www.leparisien.fr/faits-divers/ ... K5MFBE.php ne peut etre que fortuite et coincidence :-)

Là on est dans le monde des affaires, où il n'y a AUCUNE éthique, avec en plus des guerres ouvertes ou cachés entre les services US, les GAFA(M), les sociétés, sans compter les lois spécifiques US qui sous prétexte de terrorisme (avéré ou pas) permettent tout et n'importe quoi avec le fameux "Pas vu pas pris, pris pendu", sans compter l'enfumage

Vu le background de BRAVE, il y a donc tout lieu de se méfier sur ce VPN, qui de plus est aux US


----------

Bref encore une pierre qui tombe dans l'escarcelle de BRAVE
Le bug a bon dos

A cela on y ajoute l'épisode oublié de Brave qui envoie des courriers marketing de masse non sollicités en utilisant des données tierces qui identifient les utilisateurs

Toute l'histoire ici
https://nitter.net/sebmck/status/1531740563900448769

2023-10-21_185421.jpg

[Parisien_entraide]

2023-10-21_214303.jpg

PETHER THIEL EST UN INFORMATEUR DU FBI

Les investisseurs de BRAVE sont Founders Fund, la société de capital-risque de haut niveau dirigée par Peter Thiel, ainsi que Propel Venture Partners, Pantera Capital, Foundation Capital et Digital Currency Group. (au passage pour rappel il est aussi membre du conseil d'administration de FaceBook)

Source initiale ;
https://www.businessinsider.com/peter-t ... ?r=US&IR=T
Source du texte ci dessous :
https://www.numerama.com/tech/1538952-l ... u-fbi.html

Un média américain révèle que le milliardaire Peter Thiel informait le FBI pendant plusieurs années.
Le co-fondateur de PayPal donnait des pistes d’ingérence étrangères dans la Silicon Valley.

Les informateurs sont parfois très haut-placés.

Le média américain Insider dévoile ce 19 octobre des entretiens avec plusieurs personnes qui affirment que Peter Thiel travaillait avec le FBI.
Ce milliardaire extravagant dans la Silicon Valley, co-fondateur de Paypal et soutien de Donald Trump, aurait informé la police fédérale américaine pendant plusieurs années.

Sa collaboration se serait concentré sur les prises de contacts avec des investisseurs étrangers, les opérations d’influence dans l’industrie de la tech et les intrigues de la Silicon Valley.

Peter Thiel aurait notamment exhorté le FBI à enquêter sur Google pour infiltration du gouvernement chinois.

Le magnat de la tech aurait été recruté en 2021 par Johnathan Buma, un officier du FBI basé à Los Angeles (Californie), spécialiste des affaires de corruption et d’ingérences étrangères. Jonathan Buma est connu pour avoir accusé publiquement Donald Trump d’avoir perturbé des enquêtes sur les relations de son avocat Rudy Giuliani. Peter Thiel se serait également éloigné de Donald Trump pour soutenir d’autres élus Républicains.

Un investisseur du renseignement américain
Les intérêts commerciaux de Peter Thiel sont liés au marché américain de la défense. Il détient une participation de 10 % dans Palantir, une société de traitement de données qui a vendu pour plus d’un milliard de dollars de logiciels et de services au gouvernement, au Pentagone, à la CIA et au FBI.
https://www.numerama.com/tech/564297-au ... antir.html

Un contrat de 250 millions de dollars conclu en septembre avec l’armée américaine renforce l’idée que Palantir est essentiellement « un fournisseur de services gouvernementaux ».

Le milliardaire a aussi soutenu Boldend, une société de logiciels espions qui se présente comme un concurrent américain du groupe israélien NSO, a rapporté Forbes l’année dernière. La révélation des journalistes américains parait tout de suite moins surprenante.

_______________

Je conseille la lecture de la source originelle qui en dit beaucoup plus
https://www.businessinsider.com/peter-t ... ?r=US&IR=T

Le FBI gère un vaste réseau d'informateurs pour garder un œil sur le crime organisé, les menaces terroristes, les groupes extrémistes et d'autres cibles criminelles et de renseignement. Ces sources, selon le Confidential Human Source Policy Guide du bureau , sont plus que des informateurs occasionnels.

Les sources humaines confidentielles entrent « dans une relation avec le FBI, et cette relation affectera à jamais la vie de cet individu », indique le guide. "[Ils] seront soit une 'source du FBI', soit une 'ancienne source du FBI' et, à leur tour, leur conduite ou leur mauvaise conduite se répercutera sur le FBI." En tant que tel, le processus de recrutement et de maintien de ces sources est hautement réglementé, nécessitant plusieurs niveaux d’approbation. Seules les personnes capables de fournir « des informations précieuses… de manière récurrente » se voient accorder le statut CHS, selon la politique.

Mais dans l'article de Business Insider on trouve des liens intéressants, comme les rapports entre Peter Thiel et ... Jeffrey EPSTEIN

https://www.nytimes.com/2023/05/18/busi ... thiel.html

"On ne sait pas pourquoi M. Thiel rencontrait M. Epstein.
À l'époque, M. Thiel siégeait au conseil d'administration de Facebook et supervisait Founders Fund, une importante société de capital-risque. M. Thiel était également président de Palantir, la société d'analyse de données soutenue par la CIA, qui recherchait à l'époque des investissements extérieurs."

La défense de Thiel est celle d'autres personnes comme Bill Gates par ex : "Il ne savait pas"'

Thiel a déclaré au Post qu'il avait été « naïf » et « n'avait pas suffisamment réfléchi à ce qu'aurait pu être l'agenda d'Epstein » à l'époque, et qu'il avait auparavant refusé de rencontrer Epstein et n'avait accepté celle-ci que parce qu'il a été recommandé par un ami.

Sur le personnage il y a d'autres affaires
https://www.businessinsider.com/peter-t ... ?r=US&IR=T
Et ce qu'il a demandé au FBI et à la CIA concernant GOOGLE
https://www.cnbc.com/2019/07/15/peter-t ... oogle.html

[Parisien_entraide]

2024-01-08_101504.png

Bon allez une note positive

(Pour rappel) Brave maintient une liste de fonctionnalités et de services qu'il supprime de Chromium sur une page GitHub .
Il s'agit d'une liste croissante de fonctionnalités que Brave considère comme problématiques pour des raisons de confidentialité ou de sécurité.

Il est bien d'y jeter un oeil de temps à autre

https://github.com/brave/brave-browser/ ... or-remove)


Bon après il faut se rappeler que BRAVE veut couper l'herbe sous le pied à Google, afin de rediriger sur des liens affiliés, et que le but est surtout d'éviter que Google se gave à son détriment

Il faut garder à l'esprit que Brave est une société de publicité se faisant passer pour un fabricant de navigateurs soucieux de la confidentialité.
Il est donc primordial de capter vos données avant que Google ne s'en empare
Il s'agit donc d'un Google déguisé qui n'agit QUE pour ses propres intérêts
C'est pour cela que tout passe par leurs serveurs.



Ensuite si vous voulez comparer par rapport aux autres navigateurs sous Chromium et Firefox (qui est actualisé au fil des versions de navigateurs)

PRIVACY TESTS
https://privacytests.org/

Mozilla présente toujours Firefox comme un navigateur axé sur la confidentialité. Ce n'est pas entièrement vrai surtout si on regarde tout ce qui est lié à la télémétrie

Comme on peut le constater, Firefox ne fait pas mieux, MAIS offre plus de possibilités. Preuve en est : LibreWolf qui permet de voir ce que l'on peut faire avec un Firefox "tweaké" (Et on peut aller encore plus loin que ce que propose LibreWolf)
Bon après il faut jongler entre sécurité, fonctionnalités, et usage.. Et le juste milieu à trouver n'est pas évident, car le risque étant de se trouver bloqué en navigation si l'on met "tout à fond'"