1. Overview
2. Supported Versions
3. Vulnerability Disclosure
4. Security Posture
5. Policy Verification
6. Trust & Supply Chain
7. Registry Safety
8. Hardening Levels
9. Security FAQ

Brave Omega is a registry-hardening tool designed to enhance browser privacy, not to introduce new attack surfaces. This document outlines the project's security stance, vulnerability handling procedures, and how to verify the integrity of the changes the script makes.

If you discover a security-related issue in Brave Omega — whether a policy that has an unintended side effect, a registry path that behaves unexpectedly, or any other concern — please report it privately:

• Email: Open a GitHub Security Advisory
• Issue: For non-critical security concerns, open a standard GitHub Issue with the security label

In scope:

• Registry policies that leak data beyond documented behavior
• Policies with incorrect or unsafe default values
• Unintended privilege escalation paths
• Incorrect ADMX-to-registry type mapping

Out of scope:

• Vulnerabilities in Brave Browser itself (report to Brave Security)
• Vulnerabilities in Windows or PowerShell
• Social engineering attacks requiring physical access
• Denial of service through registry modification (inherent to the tool's purpose)

Brave Omega implements browser hardening through three independent enforcement layers:

┌──────────────────────────────────────────────────────────┐
│  TIER 1 — HKCU User Preference                           │
│  ↳ UsageStatsInSample = 0                                 │
│  ↳ ChromeVariations = 1 (HKCU mirror)                     │
│  ↳ User-modifiable, provides fallback protection          │
├──────────────────────────────────────────────────────────┤
│  TIER 2 — HKLM Enterprise Policy (ADMX)                  │
│  ↳ 24–151 policies depending on hardening level           │
│  ↳ Locked/gray in browser UI — user cannot override       │
│  ↳ Requires Administrator privileges to write             │
├──────────────────────────────────────────────────────────┤
│  TIER 3 — Omaha Updater GUID Layer                       │
│  ↳ usagestats = 0 per application GUID                   │
│  ↳ Independent of browser-level policies                  │
│  ↳ Disables update infrastructure telemetry              │
└──────────────────────────────────────────────────────────┘

• The script requires Administrator privileges because it writes to the HKLM registry hive
• No permanent elevation: the script exits, privileges are gone
• No background services, no scheduled tasks, no startup entries

Brave Omega itself collects zero telemetry. The script:

• Makes no network calls
• Downloads no external content
• Writes no usage logs
• Does not phone home

The recommended invocation method uses a session-scoped bypass:

PowerShell -ExecutionPolicy Bypass -File ".\BraveOmega.ps1" -Language EN

This affects only the current PowerShell window. No permanent execution policy change is made. No attack surface is introduced.

After running the script, confirm active policies in Brave:

1. Navigate to brave://policy
2. Verify all expected policies appear in the list
3. Check that policy values match the expected settings

# List all applied Brave enterprise policies
Get-ChildItem -Path "HKLM:\SOFTWARE\Policies\BraveSoftware\Brave"

# Check a specific policy value
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\BraveSoftware\Brave" -Name "MetricsReportingEnabled"

Backups are stored in %TEMP%\BravePolicyBackup\ with timestamps. To inspect:

notepad "$env:TEMP\BravePolicyBackup\*"

To restore a previous state:

reg import "$env:TEMP\BravePolicyBackup\HKLM_BravePolicy_20260607_143022.reg"

Every policy in Brave Omega can be traced to its authoritative source:

• Fully open source — every line is public at github.com/bayraktarozcan/Brave-Omega-Project
• No obfuscation — the PowerShell source is plain text, human-readable, and reviewable
• No compiled binaries — no .exe, .dll, or .msi files
• No external dependencies — requires only PowerShell 5.1+, included with Windows 11

Project maintainers sign releases and tags using GPG. Verify signatures:

git tag -v v2.0

For enterprise deployments:

1. Fork the repository and audit the code internally
2. Run the script in a test environment before production
3. Pin to a specific release tag, not main branch
4. Verify SHA256 checksums of downloaded release artifacts

Before writing any HKLM policy, the script exports the current state:

reg export "HKLM\SOFTWARE\Policies\BraveSoftware\Brave" "backup.reg" /y

All registry write operations use the -Force flag. Running the script multiple times:

• Does not create duplicate entries
• Does not cause side effects
• Produces identical results each time

Each registry write is individually wrapped in a try-catch block:

• Failed policies do not halt the entire script
• Success and failure are tracked with counters
• The final summary report shows exactly what was applied

Full state restoration with a single command:

reg import "%TEMP%\BravePolicyBackup\HKLM_BravePolicy_20260607_143022.reg"

The script handles three registry value types:

Brave Omega offers five progressive hardening tiers:

Each level cumulatively includes all policies from previous levels. See README.md for the complete policy reference.

Q: Does Brave Omega modify the Brave browser binary? A: No. It writes only to the Windows Registry. The browser binary remains untouched.

Q: Can these policies be reversed without a backup? A: Yes. Delete the HKLM\SOFTWARE\Policies\BraveSoftware\Brave registry key to remove all policies. A full backup is recommended for audit purposes.

Q: Does Brave Omega protect against all tracking? A: No tool can provide absolute privacy. Brave Omega focuses on first-party telemetry and data leakage prevention through enterprise policy channels. Additional protections (VPNs, anti-fingerprinting, etc.) are complementary.

Q: Can I run this script in a managed enterprise environment? A: Yes, but test in a non-production environment first. The script is designed for enterprise deployment with idempotent execution and automated backups. Use the -Level parameter for silent deployment.

Q: What happens when Brave updates? A: Registry policies persist across browser updates. However, new Brave/Chromium versions may introduce new policies or deprecate existing ones. Always run the latest Brave Omega version for the corresponding Brave version.

Q: Does this script work with Chrome instead of Brave? A: The policies registry path differs. Brave uses HKLM\SOFTWARE\Policies\BraveSoftware\Brave while Chrome uses HKLM\SOFTWARE\Policies\Google\Chrome. With path substitution, many policies are compatible, but this project targets Brave specifically.

1. Genel Bakış
2. Desteklenen Sürümler
3. Güvenlik Açığı Bildirimi
4. Güvenlik Duruşu
5. Politika Doğrulama
6. Güven ve Tedarik Zinciri
7. Kayıt Defteri Güvenliği
8. Sıkılaştırma Seviyeleri
9. Güvenlik SSS

Brave Omega, tarayıcı gizliliğini artırmak için tasarlanmış bir kayıt defteri sıkılaştırma aracıdır. Yeni saldırı yüzeyleri oluşturmaz, mevcut güvenlik açıklarını kapatır. Bu belge, projenin güvenlik duruşunu, güvenlik açığı bildirim süreçlerini ve betiğin yaptığı değişikliklerin bütünlüğünü doğrulama yöntemlerini açıklar.

Brave Omega ile ilgili bir güvenlik sorunu keşfederseniz — istenmeyen yan etkiye sahip bir politika, beklenmedik davranış gösteren bir kayıt defteri yolu veya başka bir endişe — lütfen özel olarak bildirin:

• E-posta: GitHub Security Advisory sayfasını kullanın
• Sorun: Kritik olmayan güvenlik endişeleri için security etiketiyle standart bir GitHub Issue açın

Kapsam dahilinde:

• Belgelenen davranışın ötesinde veri sızdıran kayıt defteri politikaları
• Yanlış veya güvensiz varsayılan değerlere sahip politikalar
• Yetkisiz ayrıcalık yükseltme yolları
• Hatalı ADMX-kayıt defteri türü eşlemesi

Kapsam dışında:

• Brave Browser'ın kendisindeki güvenlik açıkları (Brave Security adresine bildirin)
• Windows veya PowerShell'deki güvenlik açıkları
• Fiziksel erişim gerektiren sosyal mühendislik saldırıları
• Kayıt defteri değişikliği yoluyla hizmet reddi (araç doğası gereği)

Brave Omega, tarayıcı sıkılaştırmasını üç bağımsız zorunlu kılma katmanı aracılığıyla uygular:

┌──────────────────────────────────────────────────────────┐
│  KATMAN 1 — HKCU Kullanıcı Tercihi                       │
│  ↳ UsageStatsInSample = 0                                 │
│  ↳ ChromeVariations = 1 (HKCU yansıması)                  │
│  ↳ Kullanıcı tarafından değiştirilebilir, yedek koruma    │
├──────────────────────────────────────────────────────────┤
│  KATMAN 2 — HKLM Kurumsal Politika (ADMX)                │
│  ↳ Sıkılaştırma seviyesine bağlı olarak 24–151 politika   │
│  ↳ Tarayıcı arayüzünde kilitli/gri — kullanıcı değiştiremez│
│  ↳ Yazmak için Yönetici ayrıcalıkları gerekir            │
├──────────────────────────────────────────────────────────┤
│  KATMAN 3 — Omaha Güncelleyici GUID Katmanı              │
│  ↳ Her uygulama GUID'i için usagestats = 0               │
│  ↳ Tarayıcı düzeyi politikalarından bağımsız             │
│  ↳ Güncelleme altyapısı veri aktarımını kapatır          │
└──────────────────────────────────────────────────────────┘

• Betik, HKLM kayıt defteri kovanına yazdığı için Yönetici ayrıcalıkları gerektirir
• Kalıcı yetki yükseltmesi yok: betik biter, yetkiler kaybolur
• Arka plan hizmeti, zamanlanmış görev veya başlangıç kaydı yok

Brave Omega'nın kendisi sıfır veri aktarımı toplar:

• Hiçbir ağ çağrısı yapmaz
• Harici içerik indirmez
• Kullanım günlüğü yazmaz
• Dışarıya bilgi göndermez

Önerilen çalıştırma yöntemi oturum bazlı bypass kullanır:

PowerShell -ExecutionPolicy Bypass -File ".\BraveOmega.ps1" -Language TR

Bu ayar yalnızca geçerli PowerShell penceresini etkiler. Kalıcı bir çalıştırma ilkesi değişikliği yapılmaz. Hiçbir saldırı yüzeyi oluşturulmaz.

Betik çalıştıktan sonra Brave'de aktif politikaları kontrol edin:

1. brave://policy adresine gidin
2. Beklenen tüm politikaların listede göründüğünü doğrulayın
3. Politika değerlerinin beklenen ayarlarla eşleştiğini kontrol edin

# Uygulanan tüm Brave kurumsal politikalarını listele
Get-ChildItem -Path "HKLM:\SOFTWARE\Policies\BraveSoftware\Brave"

# Belirli bir politika değerini kontrol et
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\BraveSoftware\Brave" -Name "MetricsReportingEnabled"

Yedekler zaman damgalarıyla %TEMP%\BravePolicyBackup\ klasöründe saklanır:

notepad "$env:TEMP\BravePolicyBackup\*"

Önceki duruma dönmek için:

reg import "$env:TEMP\BravePolicyBackup\HKLM_BravePolicy_20260607_143022.reg"

Brave Omega'daki her politika yetkili kaynağına kadar izlenebilir:

• Tamamen açık kaynak — her satır github.com/bayraktarozcan/Brave-Omega-Project adresinde kamuya açıktır
• Gizleme yok — PowerShell kaynağı düz metin, insan tarafından okunabilir ve incelenebilir
• Derlenmiş ikili dosya yok — .exe, .dll veya .msi dosyası yok
• Harici bağımlılık yok — yalnızca Windows 11 ile birlikte gelen PowerShell 5.1+ gerektirir

Proje bakımcıları sürümleri ve etiketleri GPG kullanarak imzalar:

git tag -v v2.0

Kurumsal dağıtımlar için:

1. Depoyu forklayın ve kodu dahili olarak denetleyin
2. Üretim ortamından önce test ortamında çalıştırın
3. main dalı değil, belirli bir sürüm etiketine sabitleyin
4. İndirilen sürüm yapıtlarının SHA256 sağlama toplamlarını doğrulayın

Her HKLM politikası yazmadan önce, betik mevcut durumu dışa aktarır:

reg export "HKLM\SOFTWARE\Policies\BraveSoftware\Brave" "yedek.reg" /y

Tüm kayıt defteri yazma işlemleri -Force bayrağını kullanır. Betiği birden fazla kez çalıştırmak:

• Yinelenen kayıt oluşturmaz
• Yan etkiye neden olmaz
• Her seferinde aynı sonucu üretir

Her kayıt defteri yazma işlemi ayrı ayrı try-catch bloğuyla sarılır:

• Başarısız politikalar tüm betiği durdurmaz
• Başarı ve başarısızlık sayaçlarla takip edilir
• Nihai özet raporu tam olarak neyin uygulandığını gösterir

Tek komutla tam durum geri yükleme:

reg import "%TEMP%\BravePolicyBackup\HKLM_BravePolicy_20260607_143022.reg"

Betik üç kayıt defteri değer türünü işler:

Brave Omega beş kademeli sıkılaştırma seviyesi sunar:

Her seviye, önceki seviyelerdeki tüm politikaları kümülatif olarak içerir. Tam politika referansı için README.md dosyasına bakın.

S: Brave Omega, Brave tarayıcı ikili dosyasını değiştirir mi? C: Hayır. Yalnızca Windows Kayıt Defteri'ne yazar. Tarayıcı ikili dosyasına dokunulmaz.

S: Bu politikalar yedek olmadan geri alınabilir mi? C: Evet. Tüm politikaları kaldırmak için HKLM\SOFTWARE\Policies\BraveSoftware\Brave kayıt defteri anahtarını silin. Denetim amaçlı tam yedek önerilir.

S: Brave Omega tüm izlemeye karşı korur mu? C: Hiçbir araç mutlak gizlilik sağlayamaz. Brave Omega, kurumsal politika kanalları aracılığıyla birinci taraf veri aktarımı ve veri sızıntısı önlemeye odaklanır. Ek korumalar (VPN'ler, parmak izine karşı koruma vb.) tamamlayıcıdır.

S: Bu betiği yönetilen bir kurumsal ortamda çalıştırabilir miyim? C: Evet, ancak önce üretim dışı bir ortamda test edin. Betik, kararsız olmayan çalışma ve otomatik yedeklemelerle kurumsal dağıtım için tasarlanmıştır. Sessiz dağıtım için -Level parametresini kullanın.

S: Brave güncellendiğinde ne olur? C: Kayıt defteri politikaları tarayıcı güncellemeleri arasında kalıcıdır. Ancak yeni Brave/Chromium sürümleri yeni politikalar ekleyebilir veya mevcutları kullanımdan kaldırabilir. İlgili Brave sürümü için her zaman en güncel Brave Omega sürümünü kullanın.

S: Bu betik Chrome ile çalışır mı? C: Politika kayıt defteri yolları farklıdır. Brave HKLM\SOFTWARE\Policies\BraveSoftware\Brave kullanırken Chrome HKLM\SOFTWARE\Policies\Google\Chrome kullanır. Yol ikamesiyle birçok politika uyumludur ancak bu proje özellikle Brave'i hedefler.