Die calc()-Funktion liefert unter Windows 10 und 11 minimal andere Ergebnisse als Linux und macOS, sodass sich daraus Hinweise auf das Betriebssystem ableiten lassen.

[Rolf B]

Hallo Felix,

bah, ist ja ekelhaft.

Vor allem ist die vorgeschlagene Gegenmaßnahme ekelhaft: Preloading aller Ressourcen, um zu verhindern, dass die per CSS gewonnenen Erkenntnisse exfiltriert (also auf dem Server des Angreifers bekannt gemacht) werden.

Selektives Laden von Ressourcen hat ja oft einen guten Zweck: Bandbreite einsparen. Aber was hilft es mir dann noch, wenn ich z.B. für ein Bild 3 Größenversionen vorhalte? Die Abwehr des CSS Angriffs verlangt, dass ich alle lade, und zwar gleich zu Beginn, bevor ich irgendwas anzeige.

Schüttet man hier das Kind mit dem Bad aus? Oder ist dies wirklich die einzige Art, sich zu wehren?

Rolf