De makers van Brave hebben twee nieuwe privacyfeatures aan de browser toegevoegd die bounce tracking en first-party heridentificatie moeten tegengaan. De eerste feature, "Forgetful Browsing" genaamd, zal wanneer gebruikers een website sluiten alle cookies en andere opgeslagen data van de betreffende site verwijderen. Dit moet first-party heridentificatie tegengaan.

Volgens Brave hebben de privacyproblemen op het web een gezamenlijke hoofdoorzaak, namelijk dat browsers sites toestaan om gebruikers oneindig te heridentificeren. Voor gebruikers is het echter bij slechts een klein deel van de sites handig om opnieuw te worden geïdentificeerd. Door heridentificatie kunnen websites zien dat dezelfde gebruiker hen bezoekt, ook al is die tussen de bezoeken uitgelogd. Dit komt volgens Brave doordat niet alle first-party storage wordt verwijderd en browsers geen goede bescherming hebben tegen websites die opzettelijk gebruikers tussen het inloggen opnieuw proberen te identificeren.

Er zijn wel opties, zoals private browsing en het verwijderen van alle opgeslagen browsingdata, maar die werken onvoldoende of zijn ongeschikt, claimt Brave. Zo kunnen gebruikers wel alle browsingdata verwijderen, maar dit biedt geen oplossing voor mensen die hun browser langere tijd open hebben, aldus de browserontwikkelaar. Forgetful Browsing voorkomt heridentificatie zonder dat de browser moet worden gesloten. Alleen het sluiten van de site is voldoende, staat in de uitleg. De browser zal dan alle opgeslagen data, zoals cookies, localStorage (indexedDB) en zaken als HTTP- en DNS-cache verwijderen.

Unlinkable bouncing

De tweede nieuwe privacyfeature is Unlinkable bouncing en moet bescherming tegen bounce tracking bieden. Bounce tracking is een trackingmethode waarbij een gebruiker op een link klinkt en vervolgens via een trackingpagina bij de uiteindelijke bestemming komt. Een gebruiker zit op de website rabbits.example en klikt op een link naar turtles.example. De tracker wijzigt op het laatste moment de link naar tracker.example. De trackingsite stuurt de gebruiker vervolgens door naar turtles.example, maar weet wel dat de gebruiker interesse in konijnen en schildpadden heeft.

Wanneer tracker.example zichzelf maar vaak genoeg bij het browsen van de gebruiker weet te injecteren, kan er een uitgebreid profiel van hem worden gemaakt. Brave had al verschillende beveiligingsmaatregelen tegen bounce tracking toegevoegd. Unlinkable bouncing zorgt ervoor dat de geïnjecteerde tracker nog steeds ziet dat er iemand van rabbits.example naar turtles.example gaat, maar niet weet dat het dezelfde persoon is die de website gisteren ook bezocht.

Brave controleert hiervoor alle nieuw geopende links en kijkt of die bekendstaan om bounce tracking. Is dat het geval, dan maakt de browser een nieuwe tijdelijke browser storage voor de bestemming aan. Zodra de gebruiker de trackingpagina verlaat wordt de tijdelijke storage verwijderd en moet heridentificatie worden voorkomen als de gebruiker de volgende keer via de trackingpagina op een website terechtkomt.