Die calc()-Funktion liefert unter Windows 10 und 11 minimal andere Ergebnisse als Linux und macOS, sodass sich daraus Hinweise auf das Betriebssystem ableiten lassen.

[Felix Riesterer]

Liebe Mitlesende,

wer von euch hatte das auf dem Schirm? Mit CSS kann man wohl in E-Mails ganz gut Tracking betreiben. [heise.de]

Liebe Grüße

Felix Riesterer

[Der Martin]

Hallo Felix,

wer von euch hatte das auf dem Schirm?

ich weiß nicht, worauf du konkret abzielst, und den heise-Artikel darf ich nicht lesen, eine massive Cookie-Wall hindert mich daran.

Mit CSS kann man wohl in E-Mails ganz gut Tracking betreiben.

Das gilt wohl immer, wenn man als Absender fordert und als Empfänger zulässt, dass in e-Mails beim Anzeigen externe Inhalte nachgeladen werden. Ob das Bilder sind, oder Stylesheets, oder Bilder via Stylesheets ...

Einen schönen Tag noch
 Martin

[Rolf B]

Hallo Der Martin,

massive Cookie-Wall

machst Du Inkognito-Fenster, wie ich auch.

wenn man als Absender fordert und als Empfänger zulässt, dass in e-Mails beim Anzeigen externe Inhalte nachgeladen werden.

Manche Mails sind ohne Nachladen externer Inhalte schlicht unlesbar. Woraufhin ich sie dann auch nicht lese. Ich habe den Artikel nicht intensiv durchgelesen und ich weiß nicht, ob sie die Auswirkungen der Nachladesperre diskutiert haben - aber es ist ja auch so, dass diese Techniken auf normalen Webseiten zum Fingerprinting genutzt werden, und da hast Du diese Sperren zumeist nicht drin.

Dass jemand ermittelt, ob ich Office besitze, indem die Existenz eines Fonts an Hand der daraus errechneten Breite eines CSS Containers ermittelt wird, ist schon wirklich fies. Oder ob ich einen Little-Endian oder Big-Endian Prozessor habe. Dass bspw. sin() bei gleichem Prozessor und gleichem Browser etwas anderes liefern soll, wenn ich das unter Windows oder unter Linux mache, kommt mir allerdings merkwürdig vor. Das muss dann ein Unterschied in der vom Browser verwendeten Mathe-Bibliothek sein… Aber die Kameraden haben ja auch proaktiv und nachdrücklich nach solchen Abweichungen geforscht.

Rolf

[Der Martin]

Hallo Rolf,

massive Cookie-Wall

machst Du Inkognito-Fenster, wie ich auch.

und das hilft? Dann kommt doch die Cookie-Pest trotzdem noch. Mir geht's ja gar nicht so sehr um die Kekse an sich, sondern ums Prinzip. Wenn ein Website-Betreiber mich so massiv belästigt, bin ich weg.

wenn man als Absender fordert und als Empfänger zulässt, dass in e-Mails beim Anzeigen externe Inhalte nachgeladen werden.

Manche Mails sind ohne Nachladen externer Inhalte schlicht unlesbar. Woraufhin ich sie dann auch nicht lese.

So mach ich das auch. Wenn die Plaintext-Only-Ansicht von Thunderbird nichts brauchbares mehr anzeigen kann, dann weg damit.

Einen schönen Tag noch
 Martin

[Auge]

Hallo

massive Cookie-Wall

machst Du Inkognito-Fenster, wie ich auch.

und das hilft? Dann kommt doch die Cookie-Pest trotzdem noch. Mir geht's ja gar nicht so sehr um die Kekse an sich, sondern ums Prinzip. Wenn ein Website-Betreiber mich so massiv belästigt, bin ich weg.

Bei heise.de hilft es, zum Beispiel per NoScript das JS auszulassen.

Tschö, Auge

[Der Martin]

n'Abend,

machst Du Inkognito-Fenster, wie ich auch.

und das hilft? Dann kommt doch die Cookie-Pest trotzdem noch. Mir geht's ja gar nicht so sehr um die Kekse an sich, sondern ums Prinzip. Wenn ein Website-Betreiber mich so massiv belästigt, bin ich weg.

Bei heise.de hilft es, zum Beispiel per NoScript das JS auszulassen.

gibt's das auch für den Microsoft Chrome (aka Edge), der mir auf meinem Arbeitsrechner aufgezwungen wird? Ja, ich könnte auch noch einen Firefox Portable benutzen ...

Anyway, der zielführende Hinweis wäre dann nicht der Incognito-Mode (denn der hilft gar nicht), sondern die NoScript-Extension. Und gerade für Firefox habe ich noch etwas viel Schöneres, besser auf den Anwendungsfall zugeschnitten: https://addons.mozilla.org/en-US/firefox/addon/i-dont-care-about-cookies/

Fast unnötig zu erwähnen, dass die Keksdose beim Beenden des Browser sowieso auskippe.

Einen schönen Tag noch
 Martin

[Rolf B]

Hallo Der Martin,

Incognito-Mode (denn der hilft gar nicht)

Hä?

Sollte der nicht die Kekse nach Verlassen des Browsers entsorgen?

Rolf

[Der Martin]

Moin,

Incognito-Mode (denn der hilft gar nicht)

Hä?

Sollte der nicht die Kekse nach Verlassen des Browsers entsorgen?

doch natürlich - aber darum geht's mir ja nicht, das tut mein Browser beim Beenden sowieso. Ich will die störende Abfrage loswerden!

Einen schönen Tag noch
 Martin

[Felix Riesterer]

Lieber Martin,

ich weiß nicht, worauf du konkret abzielst, und den heise-Artikel darf ich nicht lesen, eine massive Cookie-Wall hindert mich daran.

dagegen gab's doch mal was von SELFHTML...

Liebe Grüße

Felix Riesterer

[Rolf B]

Hallo Felix,

bah, ist ja ekelhaft.

Vor allem ist die vorgeschlagene Gegenmaßnahme ekelhaft: Preloading aller Ressourcen, um zu verhindern, dass die per CSS gewonnenen Erkenntnisse exfiltriert (also auf dem Server des Angreifers bekannt gemacht) werden.

Selektives Laden von Ressourcen hat ja oft einen guten Zweck: Bandbreite einsparen. Aber was hilft es mir dann noch, wenn ich z.B. für ein Bild 3 Größenversionen vorhalte? Die Abwehr des CSS Angriffs verlangt, dass ich alle lade, und zwar gleich zu Beginn, bevor ich irgendwas anzeige.

Schüttet man hier das Kind mit dem Bad aus? Oder ist dies wirklich die einzige Art, sich zu wehren?

Rolf

[Hans Baumann]

vor allem sieht man deutlich Unterschiede, ob 32bit oder 64bit 😀

[Gunnar Bittersmann]

@@Felix Riesterer

[heise.de]

„Die gesamten Ergebnisse haben die Wissenschaftler auf der Website ihres Instituts veröffentlicht.“

Und was muss man (als Firefox-Nutzer) dort lesen‽

„We are currently experiencing issues with logging in using the Firefox browser. Firefox has updated the way they handle single sign-ons. To avoid any issues, please use an alternative browser such as Google Chrome.“

Tracking kritisch hinterfragen, aber Chrome als Browser empfehlen‽ Das ist ja wohl ein Scherz! Kein guter.

Kwakoni Yiquan

[Mitleser 2.0]

wer von euch hatte das auf dem Schirm? Mit CSS kann man wohl in E-Mails ganz gut Tracking betreiben. [heise.de]

Jetzt mal ganz für blöde (also z.B. mich): gängige Mail-Clients setzen beim Lesen einer Mail per Default ungefragt Remote-Anfragen ab?

Falls ja: WTF?

Falls nein: Click-Bait. Gut gemachte HTML-Mails sind auch ohne Nachladen externer Ressourcen lesbar.

[Rolf B]

Hallo Mitleser,

gängige Mail-Clients setzen beim Lesen einer Mail per Default ungefragt Remote-Anfragen ab?

Das habe ich noch nicht gemonitored. Mangels Knowhow und Mailclient-Vorrat…

Ich weiß nur, dass das Nachladen von Bildern durch eine Rückfrage gesichert ist. Ob das für alle Ressourcen gilt oder nur für Bildquellen, weiß ich nicht.

Vielleicht gehen die Autoren auch davon aus, dass Mickey Mailnoob diese Rückfrage ausgeschaltet hat oder gerne mit "ja, mach schon" bestätigt? Denn wenn das Nachladen externer Ressourcen NIE passiert, dann wäre der ganze Angriffsvektor Unsinn.

Aber sie schreiben auch, dass einige Mailclients, vor allem Webclients, trotz einer Filterung der potenziellen Exfiltrationskanäle nicht alles unterbinden, weil sie böse Patterns blacklisten statt problemlose Patterns zu whitelisten. Wobei stets das Risiko besteht, dass eine geschickte Kombi vermeintlich sicherer Funktionen dann doch wieder unsicher ist.

Rolf

[Mitleser 2.0]

gängige Mail-Clients setzen beim Lesen einer Mail per Default ungefragt Remote-Anfragen ab?

Das habe ich noch nicht gemonitored. Mangels Knowhow und Mailclient-Vorrat…

Dito.

Ich weiß nur, dass das Nachladen von Bildern durch eine Rückfrage gesichert ist. Ob das für alle Ressourcen gilt oder nur für Bildquellen, weiß ich nicht.

Nur so ergibt das m.E. doch Sinn. Ist doch letztlich wurscht, was genau nachgeladen wird. Sobald eine externe Ressource beim Öffnen einer Mail nachgeladen wird, ist das Kind doch schon in den Brunnen gefallen.

Vielleicht gehen die Autoren auch davon aus, dass Mickey Mailnoob diese Rückfrage ausgeschaltet hat oder gerne mit "ja, mach schon" bestätigt? Denn wenn das Nachladen externer Ressourcen NIE passiert, dann wäre der ganze Angriffsvektor Unsinn.

Genau. Wer das Nachladen beim Öffnen / Lesen einer Mail erlaubt, ist selbst schuld. Völlig egal, ob das nun Bilder, CSS, Fonts oder was auch immer ist.

Aber sie schreiben auch, dass einige Mailclients, vor allem Webclients, trotz einer Filterung der potenziellen Exfiltrationskanäle nicht alles unterbinden, weil sie böse Patterns blacklisten statt problemlose Patterns zu whitelisten. Wobei stets das Risiko besteht, dass eine geschickte Kombi vermeintlich sicherer Funktionen dann doch wieder unsicher ist.

Was ich schon einmal vor einiger Zeit beobachtet habe: GMail-Webmailer z.B. zog mal externe Ressourcen durchaus durch einen eigenen Proxy, änderte das Markup entsprechend und liefert dann darüber aus. Keine Ahnung, ob dem heute noch so ist. Dann ist Google zwar böse, ist es aber beim Öffnen der Mail ohnehin hin schon, also wurscht.

Bis zum Beleg des Gegenteils bleibe ich daher bei Clickbait. Wer externe Ressourcen erlaubt, ist selbst schuld.

Oder um auf den Punkt des OP zu kommen: gibt es in Mail-Clients einen Dialog „Jau, CSS nachladen geht klar?“. Noch nie gesehen / gehört.

[Der Martin]

Hallo,

Ich weiß nur, dass das Nachladen von Bildern durch eine Rückfrage gesichert ist. Ob das für alle Ressourcen gilt oder nur für Bildquellen, weiß ich nicht.

Nur so ergibt das m.E. doch Sinn. Ist doch letztlich wurscht, was genau nachgeladen wird. Sobald eine externe Ressource beim Öffnen einer Mail nachgeladen wird, ist das Kind doch schon in den Brunnen gefallen.

seh ich auch so. Zumindest Thunderbird und Outlook behaupten, dass zur Wahrung der Privatsphäre "externe Inhalte" blockiert wurden und bieten einen Button an, der dann das Nachladen einmalig zulässt. Das klingt so, als ob es für alle externen Ressourcen gelten würde.

Aber das muss man wohl einfach glauben - oder mit einem gewissen Aufwand selbst überprüfen.

Für andere Mailclients fehlt mir jede Erfahrung. Insbesondere Webmail-Clients sind da vermutlich sehr problematisch.

Wer externe Ressourcen erlaubt, ist selbst schuld.

👍

Oder um auf den Punkt des OP zu kommen: gibt es in Mail-Clients einen Dialog „Jau, CSS nachladen geht klar?“. Noch nie gesehen / gehört.

Differenziert nach Ressourcentypen? Nö, hab ich auch noch nie gesehen.

Einen schönen Tag noch
 Martin

[Bimmelbeule]

Hallo!

wer von euch hatte das auf dem Schirm? Mit CSS kann man wohl in E-Mails ganz gut Tracking betreiben. [heise.de]

Wusste ich auch nicht… finde ich grundsätzlich unverschämt, juckt mich persönlich aber nicht… ich habe noch einen recht konservativen Email-Client (Sylpheed). Der ist klein, schnell (stellt auch auf meinem 13 Jahre alten Rechner einen Ordner mit über 40.000 Mails in ausgeklappten Zustand in weniger als 4 Sekunden dar) und er kann keine HTML-Mails darstellen (was ich schon immer als Feature wahr genommen habe, weil ich HTML-Mails eh als Pest empfinde)…

Einen schönen Tag noch!

Liebe Grüße
Felix Riesterer