De veiligste browsers: hoeveel gegevens sturen ze naar huis?

In een tijdperk waarin browsers vooral werden beoordeeld op snelheid, draait het nu om veiligheid en privacy: hoe goed blokkeren ze bedreigingen, hoeveel gegevens delen ze met hun thuisservers en welke informatie lekken ze met de standaardinstellingen? Een recent onderzoek van het Trinity College in Dublin vergelijkt zes populaire browsers en onthult interessante details.

Snel en veilig. De gemiddelde browser moet niet alleen het beste van twee werelden bieden, maar is in zekere zin verplicht dit te doen om concurrerend te blijven. We weten echter dat ze niet perfect zijn. Soms zorgt een fout ervoor dat ze details delen die onder controle van de gebruiker zouden moeten blijven, en in andere gevallen... is het proces ontworpen. Het argument is dat ontwikkelaars die extra informatie nodig hebben om de werking van de browser te evalueren en verbeteringen in toekomstige versies door te voeren, maar als de prijs onze privacy is... is het redelijk om twijfels te hebben.

De studie

Eind februari publiceerde Douglas J. Leith van de School of Statistics and Computer Science aan het Trinity College in Dublin een vijftien pagina's tellend onderzoek waarin hij zes browsers vergelijkt: Google Chrome, Mozilla Firefox, Apple Safari, Brave, Edge Chromium en Yandex. De focus ligt op het versturen van gegevens door deze browsers, waaronder unieke identificatoren en andere details die het mogelijk maken om een gebruiker in de loop van de tijd te volgen.

De resultaten

Onderaan de lijst staan Edge Chromium en Yandex. Beide browsers sturen "persistente identificatoren" die kunnen worden gebruikt om verzoeken te volgen, inclusief (inclusief locatie en bijbehorend IP-adres), naar backend-servers. Bovendien verstuurt Edge het UUID van het apparaat naar Microsoft, en doet Yandex iets soortgelijks door een gehashte hardware-ID te verzenden. Dit kan niet worden uitgeschakeld. Daarnaast deelt de automatische aanvulling details van bezochte webpagina's (beide browsers bieden een optie om dit uit te schakelen).

Chrome, Firefox en Safari zitten ongeveer in het midden. Chrome stuurt een persistente identificator samen met webadressen, waardoor beide kunnen worden gekoppeld. Firefox neemt identificatoren op in telemetrie-uitzendingen (kan worden uitgeschakeld), en opent een permanente websocket voor pushmeldingen, die is gekoppeld aan een andere unieke identificator. Safari heeft standaard een startpagina die informatie aan derden kan lekken en pagina's vooraf kan laden met identificatoren, terwijl iCloud-processen verbindingen maken met identificatoren.

De winnaar is Brave. De standaardconfiguratie biedt de meeste privacy: geen identificatoren die IP-tracking mogelijk maken en geen delen van bezochte pagina's.

Natuurlijk is er ook recht op repliek. Microsoft heeft een artikel gewijd aan gegevensverzameling en privacy-instellingen in Edge Chromium. Apple wees erop dat Safari cookies van derden kan blokkeren en beschikt over Intelligent Tracking Prevention, dat de hoeveelheid gedeelde informatie verder beperkt. Mozilla meldde dat de browsegeschiedenis alleen wordt verzonden (met end-to-end-encryptie) als de gebruiker de Sync-functie gebruikt. De technische informatie bevat geen geschiedenis en identificatoren worden willekeurig gegenereerd. IP-adressen worden slechts kort bewaard (onder verwijzing naar beveiliging en fraudedetectie) en geanonimiseerd. Google gaf vooralsnog geen commentaar.

Het onderzoek is natuurlijk niet het laatste woord, en met nieuwe versies worden verdere verbeteringen verwacht. Het benadrukt echter de privacyproblemen die gepaard gaan met de automatische aanvulling. Als je je browser iets privéder wilt maken, is dat een goed begin.

Noot van de redactie: De geëvalueerde versies zijn Chrome (v80.0.3987.87), Firefox (v73.0), Brave (v1.3.115), Safari (v13.0.3), Edge (v80.0.361.48) en Yandex (v20.2.0.1145).

Toegang tot het onderzoek (PDF, Engels): Klik hier