Chrome gaat gehashte URL's in real time scannen op malware

Google komt met een nieuwe vorm van Safe Browsing in Chrome. Het gaat om een nieuwe variant waarbij URL's niet meer lokaal worden geanalyseerd, maar geanonimiseerd naar Google worden gestuurd. Die realtimeanalyse zou volgens het bedrijf veiliger moeten zijn.

Google schrijft dat het gaat om een nieuwe variant van Safe Browsing, een set regels een mechanismes in Chrome om malafide URL's te blokkeren. De huidige versie is volgens het bedrijf op sommige punten achterhaald. In de nieuwe versie worden URL's niet lokaal geanalyseerd, maar in real time op Googles eigen servers.

In de huidige Safe Browsing-modus worden URL's geanalyseerd tegenover een lokale database. Als gebruikers een website bezoeken, wordt de URL gecontroleerd via die lokale lijst van bekende onveilige domeinen. Google updatet die lokale lijst iedere dertig tot zestig minuten op basis van hashes. Op die manier kan een gebruiker een waarschuwing krijgen als die een URL bezoekt waarvan bekend is dat die van een phishingdomein of een malwareleverancier komt.

Volgens Google is dat systeem privacyvriendelijker en helpt het met de efficiëntie van de browser, maar is het ook wat achterhaald. De meeste van zulke domeinen worden namelijk vaak al binnen tien minuten offline gehaald. "Dat betekent dat tegen de tijd dat de lokale lijst van bekende onveilige sites is bijgewerkt, veel daarvan er alsnog doorheen zijn geglipt", schrijft het bedrijf.

De nieuwe versie van Safe Browsing moet dat probleem oplossen door URL's niet lokaal te analyseren, maar ze door te sturen naar Google zelf. Daarmee kunnen de URL's in real time worden geanalyseerd. Google zegt dat het meerdere maatregelen heeft genomen om te zorgen dat de data anoniem blijft. Zo wordt de URL gehasht en worden mogelijke identifiers uit de URL verwijderd. Google vergelijkt alleen de hashes met elkaar.

Volgens Google worden de hashes niet op de eigen servers geanalyseerd, maar via servers van Fastly, zodat Google geen potentiële identifiers zoals IP-adressen en useragents kan achterhalen. De functionaliteit wordt voortaan standaard ingeschakeld voor alle gebruikers van de mobiele en desktopversies van Chrome.

Reacties (87)

[rob-bo]

Het tweakers artikel is wat summier over hoe het werkt. Hier staat meer informatie: https://www.theregister.c...gle_safe_browsing_update/

The system works by first looking in a local cache file to see if the website URL to be visited is known to be safe. If not found, a real-time check is made. Chrome then creates a 32-byte hash of the URL that then gets chopped into 4-byte hash prefixes. These get encrypted and sent to an Oblivious HTTP (OHTTP) privacy server operated by Fastly (yes, it goes to Fastly as a hash) that removes any potential user identifiers and forwards the cleaned result to the Google Safe Browsing server. This arrangement denies Google data that could be used to correlate browsing behavior with site checks.

[Skit3000]

Chrome then creates a 32-byte hash of the URL that then gets chopped into 4-byte hash prefixes.

Een 4-byte hash is nog steeds vrij uniek aangezien er maximaal 4.294.967.296 verschillende combinaties kunnen zijn. Ik kan niet het exacte aantal geregistreerde domeinnamen terugvinden bij IANA, maar als je aan neemt dat er minder dan 4 miljard domeinnamen zijn dan kan je wel met redelijke zekerheid zeggen welke sites iemand heeft bezocht (ja, er zullen genoeg hashes zijn die overeen komen, maar statistisch gezien zal dat niet heel erg opvallen omdat de meeste sites wel een uniek nummer zullen hebben).

[GertMenkel]

Domeinnaam ja, maar de URL wordt al een stuk lastiger.

Een gedeelte uit een hash reversen naar een lijst mogelijke URLs is erg lastig. Als de hele hash 4 bytes was en dat werd opgestuurd was ik het met je eens, maar ik geloof niet dat hier veel uit te halen is.

Fastly zou hier wellicht wat analyse op kunnen uitvoeren, maar die hebben niet zoveel baat bij dit soort informatie.

[Skit3000]

Als het verkeer van miljarden apparaten via Fastly loopt, wordt het natuurlijk steeds relevanter om wél die analyse uit te voeren. Als ze zelf een lijst met hashes van elke pagina op de "top 10.000" websites samenstellen gok ik dat je meer dan 99% van het browsergebruik met redelijke zekerheid kunt volgen.

[GertMenkel]

Het verkeer van miljarden apparaten loopt al via Fastly

Fastly is een CDN die Javascript host voor veel websites (Giphy, Bootstrap, Stackoverflow, kranten, videoplatformen, ga zo maar door). Het lijkt me voor veel internetgebruikers moeilijk om Fastly niet te bezoeken. Ik denk dat die mensen al een redelijk duidelijk beeld hebben van de top 10k.

[rob-bo]

Ik heb mijn reactie geplaatst omdat er nogal wat negatief sentiment is rond Google en dat snap ik helemaal.

Het gelinkte artikel maakt duidelijk dat er nul, tot een persoon/browser herleidbare, gegevens naar Google gaan.

Zoals GertMenkel al aangeeft, Fastly heeft geen enkele baat bij dit soort informatie.

En ter aanvulling: het is een API die door iedereen gebruikt kan worden. Dus het zou ook buiten Chrome gebruikt kunnen worden.

[Skit3000]

Om het anoniemer te maken, zou je bij Fastly just moeten kunnen aangeven "geef mij alle bekende schadelijke websites met een hash tussen AAAA en BBBB". Het is dan technisch gezien helemaal niet meer mogelijk om internetgebruik van individuele gebruikers te tracken en dan haal je dus ook de twijfel er uit die nu in deze service zit.

[florizla]

Een 4-byte hash is 32 bit.

Hier wordt een 32-byte hash gebruikt, zijnde 256 bits. Dat geeft heeeeeel veel unieke combinaties.

[Skit3000]

Ze maken een 32-byte hash maar gebruiken uiteindelijk 'voor de privacy' alleen de prefix van de eerste 4 bytes (dus 32 bits).

De oplossing van Haveibeenpwnd is zo veel beter, je stuurt alleen de eerste vijf tekens (a-z en 0-9, dus maximaal een miljoen combinaties) van de hash van je wachtwoord en daarna sturen zij een lijst met alle hashes die ze hebben die daar mee beginnen. Je kunt dan dus zelf bepalen of je wachtwoord is gelekt of niet. Als Google alleen dat al zou doen, is de kans dat ze kunnen raden welke website je bezoekt 4.000 keer kleiner dan nu.

[HenkEisDS]

Ik heb toevallig vorige week uren gespendeerd aan het analyseren en vervolgens laten whitelisten van één van mijn domeinen. Om één of andere reden werd deze aangemerkt als Malafide op GTM en Google Ads. Dan kun je dus niet adverteren. Dus het eerste wat ik heb gedaan is checken of er inderdaad op één of andere manier malware op ons domein stond. Veel handwerk checks en betaalde site scanners later bleek dat niet zo, Google Search Console bevestigde dit ook nota bene. Contact gehad met al onze 3rd party tag partners. Geen soelaas. Contact met Google. Bleek een simpele false positive bij Google te zijn. Nu is onze site klein, maar als ik een webshop met 100 orders per dag had was de schade niet te overzien.

TL;DR: Ik ben niet zo blij met de macht die google hier naar zich toe trekt omdat ik veel tijd ben verloren aan een false positive van Google.

[Reactie gewijzigd door HenkEisDS op 22 juli 2024 16:26]

[Pietervs]

Ik ben niet zo blij met de macht die google hier naar zich toe trekt omdat ik veel tijd ben verloren aan een false positive van Google.
En dat is de keerzijde van AI in het beveiligingslandschap: alle grote vendoren van firewalls (Check Point, Palo Alto, Fortinet, Cisco, enzovoort) gaan steeds meer AI inzetten om de netwerken van hun klanten te beschermen. Een false positive bij de één kan dus zo maar een sneeuwbaleffect gaan krijgen.

[HenkEisDS]

Zoiets moet het haast wel geweest zijn inderdaad. Ik heb het uiteindelijk wel kunnen herleiden naar één specifieke first party tag, met 3rd party software, opgevoerd als CNAME. Maar ik was de enige van de 100.000 klanten die hier last van had.

[Alfa1970]

Dit heeft op geen enkele wijze te maken met AI.

Dit is een principe dat al tientallen jaren bestaat (zeker 25 jaar) er zijn meerdere leveranciers van een dergelijke oplossing, alleen bij die oplossingen heb je zelf de keuze om er gebruik van te maken of niet.

Google stuurt permanent alles wat je doet naar zichzelf.
Dat deden ze al maar ze geven het nu publiekelijk toe, en onder het mom van "kijk ons eens goed bezig zijn" en ze doen nu een extra huphup Barbatruck .

Er worden overigens geen gehashte URL's gescanned zoals de titel van dit artikel doet geloven.
Het gaat om een standaard man-in-the-middle die nu hardcoded in de browser zit en Google die de content van de website door een anti-virus scanner heen trekt.

[Pietervs]

Uit het artikel:
Het gaat om een nieuwe variant waarbij URL's niet meer lokaal worden geanalyseerd, maar geanonimiseerd naar Google worden gestuurd.
Je had toch niet de illusie dat bij Google er mannetjes handmatig de hashes controleren van de aangeboden URLs? Juist: AI controleert de aangeboden URLs op potentiele malware.

Je zegt het notabene zelf: en Google die de content van de website door een anti-virus scanner heen trekt. Die virusscanner is een vorm van AI.

[Alfa1970]

URL's worden niet gecontroleerd op malware. URL's zijn platte 7 bit ascii text. Daar kan geen virus in zitten.
Het is gewoon een standaard proxy opstelling waarbij de URL die je in je browser intypt wordt verzonden naar Google, daar is geen AI voor nodig.
Het enige dat verandert is is dat je voorheen dat zelf kon instellen in je proxy instellingen en laten verwijzen naar een door jou zelf uitgekozen dienst die dit voor jou doet.
Dat kan dus nu niet meer, Google heeft voor jou beslist dat zij dat zelf doen.

Die virusscanner is niets meer dan een slimme applicatie die door middel van anti-virus patterns een scan doet. En nee, een virusscanner is zeker geen vorm van AI. Het is een zeer gespecialiseerde applicatie die op geen enkele manier uitgelegd kan worden als AI, ook niet degenen die door marketing als zodanig worden bestempelt. AI is véél te langzaam om voor dit doel te worden gebruikt. Je zou minuten lang op de content van je website moeten wachten als AI een dergelijke scan zou moeten doen.

[Pietervs]

URL's worden niet gecontroleerd op malware.
Inderdaad. En hoe denk je dat die controle plaats vindt? Op basis van lijstjes? Door mensen? Nee. Computers. Die patronen ontdekken en herkennen. Dat is precies iets wat AI goed kan.

Die virusscanner is niets meer dan een slimme applicatie
Wat denk je dat die virusscanner zo slim maakt?

applicatie die op geen enkele manier uitgelegd kan worden als AI
Sorry, maar verdiep je eens in de werking van “slimme applicaties”.
Leesvoer als voorbeeld.

Al in 2019 waren er virusscanners die AI gebruikten.

[Reactie gewijzigd door Pietervs op 22 juli 2024 16:26]

[Alfa1970]

Je leest niet. Het URL zelf wordt niet gecontroleerd op malware, de inhoud van de website waarnaar dat URL verwijst wordt gescanned, in real-time.
De URL zelf wordt hooguit vergeleken met een regel in een database, in de meeste oplossingen die dit soort dingen doet is dat gewoon een standaard mysql query.

De virusscanner is zo slim gemaakt door de geniale mensen die die virusscanner hebben geprogrammeerd.

Al die zogenaamde AI scanners en ML scanners zijn niets anders dan marketing verhaaltjes.
De spelers die je in het artikel aanhaalt waren wat dat betreft laatbloeiers te noemen die achteraf op de marketing bandwagon zijn gesprongen, dit soort marketing uitingen bestonden voor 2019 ook al.

De real time virusscanners, waar het artikel over gaat zijn zonder uitzondering pattern matching engines.
Heel abstract bekeken zijn er twee type pattern matching engines, de traditionele pattern matching engines, en de pattern matching engines waarvan marketing beweert dat het AI of ML bevat, maar dat niet zijn.

De traditionele pattern matching engines zijn gebaseerd op CRC patterns. Simpel, doeltreffend en super snel, daarom was dit ook lange tijd de enige bruikbare technologie om in real-time te scannen.

De nieuwere methode heeft platte binaire blokken als patterns. Daar zijn er onnoemelijk veel van.
Die patterns zijn ook dusdanig groot dat ze feitelijk onbruikbaar zijn voor real-time scanning.

Echter door een slim iemand is bedacht dat als je een klein stukje van het grote pattern neemt, en dat gebruikt als een soort van index dat je die weer op de traditionele manier met de traditionele pattern matching engine kan gebruiken (met dit verschil dat het dus geen CRC match is maar een plat binair vergelijk).

Met deze index bepaal je of een bestand verdachte onderdelen bevat of niet. En wordt een verdacht stukje gevonden pas dan wordt de overdracht gedaan naar een derde pattern matching engine die uiteindelijk het volledige grote pattern gebruikt om te bepalen of er daadwerkelijk een stuk malware in het bestand zit of niet.

Het verschil tussen AI/ML aan de ene kant en deze niuewere vorm van pattern matching engines is dat de pattern matching engines een 100% exacte binaire match maken met de aangeboden data die meestal in de vele megabytes loopt die in een fractie van een seconde moet worden gescanned om als real-time engine te worden beschouwd.
Tevens is de uitkomst van een pattern matching engine altijd hetzelfde, ook als de data deels anders is, terwijl AI's (zoals GPT) in dat geval vrijwel altijd een ander antwoord zullen geven, als een dergelijke AI al in staat zou zijn om dezelfde hoeveelheid data te verwerken in een fractie van een seconde zoals de exacte pattern matching engines van A/V scanners.

[Pietervs]

Ik lees het prima. Ik reageer namelijk op jouw opmerking Dit heeft op geen enkele wijze te maken met AI.

Dat je nu de doelpalen gaat verzetten om die onzin recht te praten heb ik geen belangstelling voor. Feit is dat het scannen van URLs volop te maken heeft met AI.

[elmuerte]

maar geanonimiseerd

Yeah right.

Maar goed, als je Chrome gebruikt moet je toch al geen privacy van Google verwachten.

[ANdrode]

Als puur om hashes gaat kan het wel met beperkt privacy verlies. Zie bijvoorbeeld https://blog.cloudflare.c...mised-credential-checking

[Verwijderd]

Het is bij oa. Google vooral het probleem dat het én én én is.
Als je de dingen als losstaand bekijkt maar het totaalplaatje niet kent lijkt het allemaal heel onschuldig.

Door het koppelen van verschillende data points kunnen zij heel gedetailleerd vastleggen (oa) welke websites jij bezoekt en wanneer, en een schat aan kennis hieruit afleiden.

Bovendien zijn zij zo'n beetje dé gateway voor het internet want men zoekt en komt voornamelijk daar uit wat Google aanbiedt.
Zij liggen eigenlijk, samen met adverteerders, soort van aan de kern van wat men ziet en doet.

Voeg hier Android devices en andere gadgets aan toe.

Gaat jouw smartwatch hartslag omhoog ten tijde dat jij website X bezocht?
Hoe voel jij je bij deze content? Bedenk maar wat je er allemaal mee kunt.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:26]

[Bertsjuhn]

Je hebt een goed punt, zo wordt het vaak niet bekeken. Maar als je hier verder op ingaat kan Google op deze manier ook enige mate van censuur toepassen op dat wat wordt aangeboden in de resultaten.

[k995]

gebruik dan geen google?

[Verwijderd]

Ah, de standaard 'dooddoener'.

Zij hebben een positie en schaal verworven waar eigenlijk niet tegen te concurreren is.
Niet zonder reden dat Europa zich gedwongen voelt om dergelijke tech giganten op te breken.
Of dit iets uithaalt kun je ook nog een goed gesprek over voeren.

Iedereen klikt natuurlijk "doorgaan zoals voorheen", want toch lastig als je ineens losse accounts moet gebruiken voor verschillende producten enz.
Het werd de afgelopen dagen duidelijk dat de nadruk gelegd werd op de nadelen/moeite voor de klant, in de keuze vensters, terwijl de voordelen en het nut van deze acties weinig mensen schijnbaar bekend zijn.
Gemak, danwel moeite doen voor het niet bestaande alternatief, wint.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:26]

[k995]

Dat kan zonder enige problemen, zeg me gerust waar je niet rondkan .
Dit begint gewoon paranoia te worden, elke keer google ter sprake hier komt is het talloze posts van REEEEEE PRIVACY , wel simpel gebruikt het niet.

[Verwijderd]

Maat, dat is geen paranoia maar het feitelijke bedrijfsmodel van big tech.
Platform vorming, niet mee te concurreren want gratis en overal in zitten.
Van Google DNS tot javascriptjes tot browsers, en gadgets met zoveel mogelijk sensoren etc.

Subpar alternatieven zijn er zeker maar je kunt niet concurreren tegen gratis en schaal.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:26]

[k995]

Neen het bedrijfsmodel van google is niet jouw persoonlijk te monitoren en te traceren.

EN niks van dat moet je gebruiken, koop geen google spul en gebruik hun software niet er is voor alles een makkelijk en net zo goed alternatief.

[AvanCade]

Nou... het bedrijfsmodel is om je persoonlijke (en dus effectievere) advertenties voor te schotelen. Hoe meer data hoe beter ze het kunnen targetten. Dus ik denk dat er zeker wel reden is om alle informatie rondom jouw persoon te linken en te bewaren.

[k995]

EN als je dat niet wil is het dan niet beter geen google producten te gebruiken? Lijkt me logisch.

[Prince]

Heb je ook iets tegen de Nederlandse postcodes? Daar hangen redelijk wat sociaal-demografische data aan vast. Wat zijn appartementen, wat is commercieel gebied vs industrieel, wonen er hoog geschoolde mensen vs minder geschoolde mensen, hoeveel mensen wonen er gemiddeld per huishouden, etc...

Allemaal zodat bedrijven die tuinmeubels verkopen dat bvb niet sturen naar mensen die in appartementen wonen. Kostenbesparing, beter voor het milieu, minder onnodige post, etc...

Maar het zal vast zijn: de Nederlandse overheid wil de informatie van je hebben en verkopen; ze zijn uit op geld...

Het is goed om bewust te zijn van je privacy, maar het is ook goed om geen spoken te zien. Ook niet uitgaan van wat kan, want jij "kan" morgen iemand onder een auto duwen en jij "kan" morgen een mes in iemands rug steken. Daarom doe je het nog niet. Ditto bij dit soort bedrijven die continu doorgelicht worden door externe firma's om te zien dat ze compilant zijn met alle Europese en niet-Europese regels.

[AvanCade]

Postcodes zijn een hele straat.. niet een enkel persoon. En ja, de Nederlandse overheid wil ook alle informatie van je hebben. Maar dan voor een ander doel en niet voor geld.

De audits van dit soort bedrijven als Google zijn een lachtertje. Hoe lang is het niet mis gegaan bij Facebook en waarom is er een klokkenluider nodig om het aan het licht te brengen? Juist. Omdat het zo transparant is als een betonnen muur.

[Prince]

En hoe kom je tot deze geaggregeerde gegevens denk je? Als je weet dat de gezinnen in een postcode gemiddeld 2.12 leden telt. Dan heb je eerst de individuele gegevens nodig.

Ivm het voorbeeld van de tuin weet je dat praktisch geen huizen daar een tuin hebben; dat betekent dat ze dat met hoge zekerheid ook van jou specifiek weten.

Toch leuk voor inbrekers dat ze data kunnen aanschaffen in welke wijken de mensen het meeste verdienen; deze hebben meestal leuke spulletjes...

Maar "mijn god hoe erg" dat jouw browser een hash van een url doorstuurt. Natuurlijk weten ze welk domein achter elke hash zit, maar ze houden niet bij wat jij individueel doet; ze berekenen er wél geaggregeerde data van.
Eerder hadden ze deze data eventueel ook van de Google DNS indien je deze gebruikte of van elk domein dat gehost wordt op het GCP.

[Verwijderd]

Google is voor een deel een 'advertentie' bedrijf en, nogmaals, ligt aan de kern van hoe het internet er voor ons uit ziet, met andere woorden in wat wij geserveerd krijgen als opties.

Elk van hun producten is doortrokken met het aanboren van nieuwe signals, data punten.
AI is de kroon op de verzamelwoede in de wereld.

Bovendien is 'advertentie bedrijf' een oud begrip. Ze zijn dé spil in welke content wij geserveerd krijgen en feedback zorgt er voor dat ze hier effectief in zijn en blijven.
Terwijl het voor de advertentieboeren en concurrentie moeilijk gemaakt wordt heeft Google zich stevig bevestigd op elk mogelijke vorm aan/als de kern van het moderne internet.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:26]

[k995]

Nogmaals als jij denkt dat google de wet ovettreed (want dat is wat ze hierboven zeggen) en jouw persoonlijk traceren en die data over jou met naam verkopen: gebruik dan google niet.

Heel simpel, help google niet jou te traceren door hun producten te gebruiken.

[Verwijderd]

Waar schrijf ik dat zij de wet overtreden? Ook schrijf ik niet dat ze "mij persoonlijk traceren" nog met naam verkopen.

Je bent zelf behoorlijk aan het overdrijven en feiten weg aan het zetten als overdrijvingen.

[k995]

OK dus google heeft anonieme gegeven van jou die je privacy rechten niet scheden en ze verkopen die niet persoonlijk door.
Wat is dan je probleem met google?

[Verwijderd]

Ik heb uitdrukkelijk en duidelijk omschreven wat "het probleem" is in mijn eerste reactie.

Namelijk in dat als losstaande zaken er op zich niets op aan te merken is, maar dat er in het totaalplaatje data bij elkaar gebracht wordt en waarop niet te concurreren is.
Bovendien krijg je dan de vraag of wij dat moeten willen als samenleving.

Dit is overigens de kwestie voor waarom er mensen nadenken over het opbreken "van de macht van big tech".

Ik denk dat je zelf misschien een vreemde en simplistische opvatting hebt van het probleem, namelijk dat mensen die hierover nadenken gedreven zijn door paranoia in plaats van inzicht.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:26]

[Sando]

Neen het bedrijfsmodel van google is niet jouw persoonlijk te monitoren en te traceren.

Volgens mij is dat precies de helft van het business model.

En het is alweer tien jaar geleden, maar we weten ook van de Snowden leaks dat ze deze monitoring en traceertools tegen betaling leasen aan de NSA (o.a. PRISM).

[CAPSLOCK2000]

Dat kan zonder enige problemen, zeg me gerust waar je niet rondkan .
Dit begint gewoon paranoia te worden, elke keer google ter sprake hier komt is het talloze posts van REEEEEE PRIVACY , wel simpel gebruikt het niet.

Ongeveer de helft van de sites op internet gebruikt techniek/scripts van Google, daar kun je niet om heen zonder je van internet af te sluiten. Overal zie je bijvoorbeeld youtubfilmpjes gebruikt worden. Om aan deze maatschappij mee te kunnen moet je aanwezig zijn op internet.
Een mobiele telefoon is echt wel nodig. Zelfs als je zelf geen Google telefoon neemt ben je er nog steeds mee omgeven.
E-mail is essentieel en wederom zit de halve wereld bij gmail. Ik gebruik het zelf wel niet maar een hoop van mijn contacten wel en dus krijgt Google mijn mail toch wel te zien.

Je kan dus niet om Google heen, tenzij je bedoelt dat we dan maar in een hutje in de Amazone moeten gaan zitten.

[k995]

Script en YouTube kan je blokeren (en ja dan mis je content maar dat is nu eenmaal je keuze). En neen dat zal je functioneren in de maatschappij niet hinderen, YouTube is geen verplichting.

Mobiel kan je android zonder google gebruiken, email perfect te gebruiken zonder google en als iemand een google email heeft gebruik een ndere manier om te communiceren.

Je kan wel om google heen, zal wat moeite kosten maar zeggen dat het je uit de maatschappij zet is absurd.

[CAPSLOCK2000]

Even vooraf: ik ga heel ver in het weigeren/blokkeren van Google. Ik blokkeer al die scripts. Ik heb een Google-vrije telefoon. Ik heb geen G-Mail, etc etc. Ik kan veel doen maar ik heb geen controle over wat anderen doen.

Script en YouTube kan je blokeren (en ja dan mis je content maar dat is nu eenmaal je keuze). En neen dat zal je functioneren in de maatschappij niet hinderen, YouTube is geen verplichting.

Om mijn werk te doen wordt ik geacht om af en toe video's op Youtube te kijken. Of zeg je dan dat ik maar ander werk moet zoeken? Ik vind het niet echt een een realistisch keuze.

Mobiel kan je android zonder google gebruiken, email perfect te gebruiken zonder google en als iemand een google email heeft gebruik een ndere manier om te communiceren.

Je kan wel om google heen, zal wat moeite kosten maar zeggen dat het je uit de maatschappij zet is absurd.

"wat moeite" is nogal een understatement. Ik ben technisch behoorlijk capabel en het is een voortdurende worsteling. Om Google echt buiten de deur te houden moet je als een kluizenaar gaan leven en de meeste alternatieven (Apple, MS) zijn eigenlijk geen haar beter.
Voor de meeste mensen is het echt niet te doen. Ik vond je vergelijking met water drinken daarom helemaal niet gek. Technisch gezien is het mogelijk om nooit water te drinken maar realistisch gezien heb je dan geen normaal leven.

[Jerie]

Je kunt YouTube filmpjes gewoon scrapen met youtube-dl of hoe de opvolger ook moge heten. Voordeel: alle troep eromheen zie je niet.

[k995]

Om mijn werk te doen wordt ik geacht om af en toe video's op Youtube te kijken. Of zeg je dan dat ik maar ander werk moet zoeken? Ik vind het niet echt een een realistisch keuze.

Kijk via vpn, tor of via alternatieve app zoals newpipe. ALs dat "af en toe is" is dat toch geen probleem?

"wat moeite" is nogal een understatement. Ik ben technisch behoorlijk capabel en het is een voortdurende worsteling. Om Google echt buiten de deur te houden moet je als een kluizenaar gaan leven en de meeste alternatieven (Apple, MS) zijn eigenlijk geen haar beter.
Voor de meeste mensen is het echt niet te doen. Ik vond je vergelijking met water drinken daarom helemaal niet gek. Technisch gezien is het mogelijk om nooit water te drinken maar realistisch gezien heb je dan geen normaal leven.

Dat is je keuze, ken mensen die weigeren een auto te gebruiken en ja dat maakt sommige zaken voor hen moeilijker.

[Sando]

Script en YouTube kan je blokeren. En neen dat zal je functioneren in de maatschappij niet hinderen

Zonder script (noscript) werkt praktisch niets meer. Geen internetbankieren. Geen belastingaangifte. Geen toeslagen. Geen zorgdeclaratie.

Tot voor kort werkte zelfs DigiD niet zonder Google.

[Aldy]

simpel gebruikt het niet

Ook als je iets niet gebruikt, kun je er een mening over hebben. Soms is je mening de reden om iets niet te gebruiken of juist wel. Dus de opmerking "Gebruik het niet" is volledig irrelevant.

[k995]

ELke keer als google vernoemd word daarover beginnen is gewoon vervelend, zeker als het altijd dezeldde domedenken en bangmakerij is.
Dat komt heel bekeringsdrang gematigd over.

[Aldy]

Je hebt gelijk, maar dat gebeurt niet alleen bij Google. Ook FB en TikTok hebben dezelfde issues. En volkomen terecht. Het verschil tussen FB, TikTok en Google is dat je bijna niet om Google heen kan. Zeker als Android-gebruiker is dit onmogelijk.

[Jerie]

@k995 heeft wel een punt. Er bestaat een betaald alternatief voor Google, zonder advertenties: Kagi. Deze gebruikt geen Google of Bing. @TijsZonderH misschien interessant om een artikel aan te wijden?

[TijsZonderH]

Ik heb vorig jaar al eens geschreven over alternatieve zoekmachines, al heb ik Kagi daar niet in meegenomen.

Edit: overigens doet Kagi hetzelfde als de meeste andere privacyvriendelijke zoekmachines, namelijk resultaten van Google, Bing en Yandex combineren en dat geanonimiseerd aanbieden. Ze zeggen dat ze wel een eigen crawler hebben, maar ze zijn voor zover ik zie vaag over welk aandeel van de zoekresultaten daar vandaan komen. Dat betekent in de praktijk vaak dat dat aandeel laag is, net als bij DuckDuckGo. Uiteindelijk is het maken van een eigen crawler gewoon ontzetten moeilijk...

[Reactie gewijzigd door TijsZonderH op 22 juli 2024 16:26]

[Jerie]

Dat is inmiddels 2 jaar oud. Destijds bestond Kagi ook al, want ik zag de suggestie in de comments. Al wordt er actief aan ontwikkeld.

Kagi heeft een eigen crawler (dit gegeven alleen al maakt het interessant om te onderzoeken want daarmee is het geen proxy/frontend zoals vrijwel alle genoemde suggesties), een ander verdienmodel dan andere zoekmachines, en gaat voor gebruikerservaring. Goede defaults en hoge customizability. Zo kun je (sub)domeinen er standaard uitfilteren, of bepaalde websites zoals bijvoorbeeld Reddit of Tweakers pinnen.

Er is ook een GoT topic zag ik zojuist forumtopic: Ervaringen met Kagi Search

Het treurige is en blijft dat mensen met een kleine portemonnee overgeleverd zijn aan platformen met advertenties. Want direct betalen zit er voor hen niet in. Daardoor ontstaat een virtuele tweedeling in de maatschappij. Maar voor degenen in het Westen die geen minima zijn is het betaalbaar en bovendien ook harde keuzes maken in het leven.

Mijn trial loopt binnenkort waarschijnlijk af, dan ga ik betalen en me er meer in verdiepen.

[holoduke51]

Dat is hetzelfde als zeggen drink dan geen water. Bijna onmogelijk.

[watercoolertje]

Dat kan juist heel makkelijk, je kan alleen moeilijk geen producten drinken/eten waar water in zit, maar specifiek water drinken kun je gewoon je hele leven niet doen als je wilt.

[Llopigat]

Dat is precies het probleem met google. Heel veel sites en diensten zitten Google diensten in verwerkt zonder dat je het weet. Denk aan ads, analytics. De helft van de mails wereldwijd gaan naar gmail.

[Tintel]

Je zegt het goed; je denkt dan dat je geen water drinkt want je drinkt...bier, frisdrank, enz. Maar stiekem drink je dus gewoon wel degelijk water. Nou, dat is precies wat Google probeert....dat je hoe dan ook via hun systemen gebruik maakt van het Internet.

[TheVivaldi]

Name checks out.

[k995]

Ik hoef geen water te drinken en ik hoef geen google te gebruiken. Beide zonder problemen perfect mogelijk.

[CAPSLOCK2000]

Ik hoef geen water te drinken en ik hoef geen google te gebruiken. Beide zonder problemen perfect mogelijk.

Goede vergelijking die prima laat zien hoe absurd moeillijk het is om Google te ontwijken.

[k995]

nee dat was een absurde vergelijking van iemand

[lenwar]

Klopt uiteraard helemaal. En Google heeft natuurlijk op z'n zachtst ook gewoon de schijn tegen.
Ik maag zelf helemaal geen gebruik van wat voor Google dienst dan ook. Maar ik ben er toch van overtuigd dat zij prima een profiel hebben van mij.

Maar dit concrete ding. De data wordt verstuurd naar diensten van Fastly, waar de vergelijkingen gedaan worden. De hashes worden dus niet verstuurd naar de servers van Google zelf.

[GertMenkel]

Je kunt met een kwart van een hash helemaal niks. Het voorkomen van identifiers is ook de reden dat dit allemaal via Fastly gaat.

Google weet toch al welke websites je gebruikt omdat je je geschiedenis naar je Google account uploadt. Waarom zouden ze investeren in het brute forcen van dit soort hashes?

[Verwijderd]

> Je kunt met een kwart van een hash helemaal niks.

Diezelfde regel heb ik zelf een tijdje geleden getypt op een ander artikel die ging om het toetsen van bestaande gelekte wachtwoorden.

Zoals aangegeven is het issue met een Google dat het én én én is en effectief een wassen neus.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 16:26]

[GertMenkel]

Dat probleem lossen ze op door Fastly jouw gegevens uit het verzoek te laten strippen. Als Fastly ze een hash stuurt, hebben ze geen idee wie daar precies achter zit.

De huidige aanpak lekt dit soort informatie naar Google, de nieuwe versie niet.

[elmuerte]

Dus in plaats van dat Google weet dat ik van nieuws: Chrome gaat gehashte URL's in real time scannen op malware naar https://blog.cloudflare.c...mised-credential-checking ga, krijgen ze te horen dat ik van 0x987234 naar 0x098345 ga.
Dat krijgen ze ook te horen voor veel andere gebruikers. Zo kan je dus groepen mensen volgen.
Dat lijkt weinig impact op de privacy te hebben, want je weet niet wat 0x987234 is, toch? Tenzij google voor het gemak voor elke pagina die ze indexen ook deze hash berekenen (en niet alleen de gevaarlijke websites).

[GertMenkel]

Google weet niet eens dat jij dit bent. Google krijgt van Fastly te horen dat er een verzoek is voor 0x098345. Daar is de oblivious HTTP-stap voor. Jouw specifieke sessie uit die miljarden verzoeken halen, is bijna onmogelijk voor Google.

Wat Fastly hiermee doet is weer wat anders, maar het lijkt me sterk dat ze die data gaan verkopen. Google zal dat wel dichtgetimmerd hebben in hun contract, want anders zitten ze hun eigen concurrentie te helpen.

[unglaublich]

Nou ja, Google heeft dus een enorme database met 'kwaadaardige' hashes. En het is dus ook triviaal om die database aan te vullen met de top-miljard meest gebrowste hashes, waardoor je zomaar de ~90% populairste internet urls direct kunt achterhalen.

[Niemand_Anders]

Niet anoniem naar Google, maar de link wordt anoniem gecontroleerd door google en jouw browser krijgt vervolgens van Google weer het antwoord. Ofwel Google gaat ertussen zitten. Bij een malware link krijgt de hoster dus niet langer jouw gegevens door, maar die van Google...

[unglaublich]

Tsja, nu Edge effectief Chromium is, en Firefox steeds minder populair wordt, is Google in een positie om als dictator te bepalen wat er gebeurt met de ervaring van 90% van de internetgebruikers.

Het is echt brood nodig dat wij Tweakers, de volgende keer dat onze vrienden en familie om advies vragen, we vaker een alternatieve browser (lees: Firefox) aanraden.

[Sando]

Beter van niet. Firefox gebruikt Safe Browsing van Google. Vivaldi gebruikt Safe Browsing van Google. Als Tweaker kan je in deze context beter LibreWolf (privacy fork van Firefox) of Brave (privacy fork van Chromium) aanraden.

Firefox is in het bijzonder een slechte tip, omdat het met 0,4 miljard per jaar bijna exclusief wordt gefinancierd door Google.

[killercow]

Die safe browser van google was tot nu toe geimplementeerd als iets dat niet of zelden een url daadwerkelijk naar google stuurd (en dan nog altijd met mozilla als privacy-filter er tussen).

Er zijn legio redenen om firefox (of iig niet chrome based browsers) te gebruiken omwille van de gezondheid van het web.

[warp]

Brave heeft ook niet een al te beste reputatie...

[Sando]

Dat is een activistisch opgeklopte storm in een glas water die vooral uit oude koeien van de beta-fase bestaat. Ik weet niet hoe hoog je de lat legt, maar als Brave afvalt, dan ga ik er van uit dat je Chrome en Firefox al helemáál niet gebruikt. Die hebben immers een nog slechtere reputatie:

• nieuws: Google Street View schikt zich naar Belgische privacywetgeving
• nieuws: Google verzamelde privédata via Streetview-auto's
• nieuws: 'Google schikt voor 13 miljoen dollar in zaak over dataverzameling St...
• nieuws: Google schikt met FTC over privacybeleid Buzz
• nieuws: Gerucht: Google wacht miljoenenboete vanwege omzeilen do not track
• nieuws: Google krijgt Franse boete van 220 miljoen euro voor misbruik adverte...
• nieuws: Mozilla wil proef uitvoeren met verzamelen anonieme browsegegevens
• nieuws: Firefox toont vanaf volgende week gesponsorde links aan gebruikers in VS
• nieuws: Mozilla verwijdert aanbevolen veiligheidsextensie uit blogpost na kri...
• nieuws: Twitter waarschuwt dat Firefox privégegevens in cache opsloeg - update
• nieuws: Firefox 75 stuurt standaard dagelijks telemetriedata naar Mozilla
• nieuws: Mozilla test optionele Firefox-functie voor gesponsorde zoeksuggestie...

[BCC]

Ik begrijp dat een browser al een dependency heeft op het internet om te werken, maar dit is wel een bijzondere toevoeging.

[Tintel]

Dit is geen depency op het internet alleen....dit is een dependcy op Google's servers....

Ik zeg: dan maar niet safe browsen....een bedrijf als Google dat bepaalt wat wel/niet veilig is lijkt een redelijk goed idee maar is het uiteindelijk niet ben ik bang.

[TheAncientDovah]

Publieke informatie hashen, zoals URLs betekent niet dat het privacy vriendelijk is. Google kan simpelweg een tabel bijhouden met URLs en de bijbehorende hashes en aan de hand van de opgestuurde hash de tabel achterhalen. Wellicht is dit niet praktisch haalbaar voor alle URLs of websites, maar Google zou dit zeker kunnen doen voor de homepages van een paar interessante websites. Kortom, zo privacy vriendelijk is het idee niet.

[unglaublich]

Precies, voor Google is het triviaal om even de hashes van de populairste 10 miljard pagina's te gebruiken en die als referentie tabel te gebruiken.

[Sluuut]

Dus de volgende stap voor malware leveranciers gaat zijn om dynamische websites te maken die bij elk uniek bezoek automatisch een nieuwe URL aanmaakt zodat de hashes die Google heeft waardeloos worden.

[MaffeMaarten]

Goed punt. Dat is wat bijvoorbeeld een grote bekende piraten-bibliotheek ook aan het doen is om ISP-level blocks te omzeilen. Daar krijg je een "unieke url" per gebruiker.

Aan de andere kant is daar ook wel weer rekening mee te houden natuurlijk. Zeker als het allemaal sub-domijnen zijn van één en dezelfde domain-name.

-- edit
Dit heeft er mee te maken; ik was een rabbit-hole ingedoken:
https://publicsuffix.org/

[Reactie gewijzigd door MaffeMaarten op 22 juli 2024 16:26]

[Mushroomician]

Gelukkig Firefox hier. Hashes praten dit absoluut niet goed.

A ) Google heeft met een wereldwijde indexatie van het www misschien wel ‘s werelds grootste raintable in eigen bezit. Een kwestie van records matchen. Dat werkt niet (direct) voor nieuwe url submissions, maar wel met terugwerkende kracht. Immers kunnen zij bij elk record in hun zoekmachinedatabase ook de hash opslaan.

B ) een unieke hash is nog steeds een uniek gegeven in een datamodel. Zo werkt een LLM ook: geen idee wat de woorden betekenen, maar tokenizeren geeft het verbanden.

[Reactie gewijzigd door Mushroomician op 22 juli 2024 16:26]

[Llopigat]

Volgens Google is dat systeem privacyvriendelijker en helpt het met de efficiëntie van de browser, maar is het ook wat achterhaald.

Juist door Google is privacy ook wat achterhaald, helaas.

En een hash is net zo uniek als de site zelf. Ik ben er niet blij mee. Maargoed ik ben met niks blij dat Google doet, zeker ook niet dingen als FLoC en Topics / "Privacy" Sandbox enz. Helaas begint MS er ook al mee, maar gelukkig is er nog steeds firefox. Ik gebruik niks anders meer behalve enkele sites die moedwillig firefox blokkeren zoals ovchipkaart.nl (Daar krijg ik de melding "Deze pagina is (tijdelijk) niet beschikbaar. Zorg dat je javascript en cookies hebt ingeschakeld in je browser." - en ja Javascript en firstparty cookies staan gewoon aan, thirdparty cookies natuurlijk niet)

[Reactie gewijzigd door Llopigat op 22 juli 2024 16:26]

[alwuzomondo]

Vaak kun je dit soort sites gewoon bezoeken als je een user-agent switcher gebruikt:
https://addons.mozilla.org/nl/firefox/search/?q=useragent

Wel maak je dan in de webstatistieken het marktaandeel van Firefox kleiner. Dus klaag vooral ook bij de beheerders van websites die aan Firefox-discriminatie doen.

[Llopigat]

Dat doe ik al, ik gebruik de user agent van edge. Omdat Microsoft anders sommige functies van office 365 uitschakelt

De statistieken is een ander punt maar ik ben erg pragmatisch wat dat betreft

[xzaz]

Volgens Google is dat systeem privacyvriendelijker en helpt het met de efficiëntie van de browser, maar is het ook wat achterhaald.

Lees: voor de gebruiker is het beter maar niet voor ons want wij willen graag data.