[LW] Informations-Leaks in Browsern (was: Warum ist NoScript überflüssig?)

Paul Hänsch paul.h at o2online.de
Mi Aug 11 16:27:54 CEST 2010


<olafBuddenhagen at gmx.net>, Mon, 9 Aug 2010 23:15:12 +0200:
> Das Informations-Leak basiert ja auf der anderen Darstellung von
> besuchten Links -- CSS an sich liefert aber keine Möglichkeit,
> Feedback an den Server zu geben. Eventuell ginge es, indem man für
> jeden Link jeweils andere Hintergrund-Grafiken für besucht und nicht
> besucht festlegt: Falls der Browser nur jeweils die benötigte lädt,
> könnte der Server das auswerten. Habe aber nicht ausprobiert, ob
> Browser das wirklich so handhaben. Außerdem würde das bei vielen zu
> prüfenden Links verdammt viele Server-Anfragen erfordern...

Ja, meine Idee ging genau in die Richtung. Du brauchst keine Grafiken
nehmen, es gibt noch ein paar andere Formen von Content, die man da
benutzen kann. Das mit den verdammt vielen Serveranfragen sehe ich nicht
so kritisch, eine durchschnittliche Myspace-Seite lädt ja auch ein paar
dutzend bis hundert files hinterher.
Bisher habe ich mich bei der Implementierung zu blöd angestellt, habe
das trotzdem noch mit geringer Priorität im Hinterkopf.

> In Firefox 4 soll das Leak übrigens angeblich behoben werden -- habe
> allerding keine Ahnung auf welche Weise.
Auweia, ja ich habe darüber gelesen. Die Feuerfuchs-Leute haben da
mehrere Ansätze:
1. Rendern sie jedes Element mehrmals in verschiedenen Versionen und
zeigen dann das richtige an, so erschlagen sie Timingatacken und den
oben beschriebenen Angriff.
2. Liefern sie an JavaScripte neuerdings nur noch die
Default-Eigenschaften für die Links zurück, unabhängig davon, was
tatsächlich angezeigt wird. Das ist eine Reaktion auf den speziellen
Angriff auf der genannten Seite. Kann auf anderen Seiten jedoch den
berechtigten ( != sinnvollen ) Einsatz von Scripten stark stören
(denken wir z.B. an dynamisch generierte Farbverläufe, die sich nicht
mit der Textfarbe beißen sollen).
3. Haben sie die Menge von CSS-Atributen eingeschränkt, die an
bestimmte Elemente, z.B. Links vergeben werden dürfen. Damit entfernen
sie sich meiner Meinung nach weiter von der W3C-Kompatibilität und
besonders hier können störende Effekte auftreten.

Ich empfehle den Gebrauch von Webkit-Browsern ;-)
Arora und Chromium gehören z.B. dazu (Chromium ist die unvergooglete,
freie Version von Chrome).

....das war mein Beitrag zum Browserkrieg ;-)
Paul
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : signature.asc
Dateityp    : application/pgp-signature
Dateigröße  : 198 bytes
Beschreibung: nicht verfügbar
URL         : https://mlists.in-berlin.de/pipermail/linuxworks-mlists.in-berlin.de/attachments/20100811/60070b1f/attachment.pgp