{"id":217818,"date":"2019-05-09T00:52:00","date_gmt":"2019-05-08T22:52:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=217818"},"modified":"2019-05-08T17:53:41","modified_gmt":"2019-05-08T15:53:41","slug":"remote-maustracking-per-html-und-css","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/05\/09\/remote-maustracking-per-html-und-css\/","title":{"rendered":"Remote Maustracking per HTML und CSS"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>Beunruhigende Entdeckung: CSS-Anweisungen und ein unsichtbares Hintergrundbild in einer Webseite reichen aus, um remote die Mausbewegungen des Nutzers zu erfassen. Damit lie\u00dfe sich ein Fingerprinting zur Verfolgung des Nutzers \u00fcber Webseiten auch ohne JavaScript oder Cookies realisieren. <\/p>\n<p><!--more--><\/p>\n<p>Ein Twitter-Nutzer hat in einer in einer <a href=\"https:\/\/twitter.com\/davywtf\/status\/1124130932573839360\" target=\"_blank\" rel=\"noopener noreferrer\">Reihe von Tweets<\/a> auf seine Erkenntnisse hingewiesen. Auch ohne JavaScript kann er \u00fcber eine Webseite die Bewegungen des Mauszeigers verfolgen.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">Here's a PoC that confirms my hunch.<\/p>\n<p>*Neither* of these windows use JavaScript but the position of the cursor in the left window is sent to the right window. This works on Tor Browser with JS disabled. <a href=\"https:\/\/t.co\/cnfOy5OkUj\">pic.twitter.com\/cnfOy5OkUj<\/a><\/p>\n<p>\u2014 davy (@davywtf) <a href=\"https:\/\/twitter.com\/davywtf\/status\/1124146339259002881?ref_src=twsrc%5Etfw\">3. Mai 2019<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script>  <\/p>\n<p>Er verwendet CSS <em>:hover <\/em>Selektoren, um versteckte Hintergrundbilder zu \u00e4ndern, was zu einer GET-Anfrage f\u00fchrt. An Hand der Anfragen kann er dann die Position des Mauszeigers ermitteln. Das funktioniert auch im Tor-Browser mit deaktiviertem JavaScript. Der Twitter-Nutzer hat den Code auf <a href=\"https:\/\/gist.github.com\/wybiral\/c8f46fdf1fc558d631b55de3a0267771\" target=\"_blank\" rel=\"noopener noreferrer\">GitHub als Proof of Concept<\/a> (PoC) ver\u00f6ffentlicht. Bei Interesse, Bleeping Computer hat das Ganze in <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/researcher-finds-css-only-method-to-track-mouse-movements\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Beitrag<\/a> n\u00e4her beschrieben. <\/p>\n","protected":false},"excerpt":{"rendered":"<p>Beunruhigende Entdeckung: CSS-Anweisungen und ein unsichtbares Hintergrundbild in einer Webseite reichen aus, um remote die Mausbewegungen des Nutzers zu erfassen. Damit lie\u00dfe sich ein Fingerprinting zur Verfolgung des Nutzers \u00fcber Webseiten auch ohne JavaScript oder Cookies realisieren.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-217818","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/217818","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=217818"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/217818\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=217818"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=217818"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=217818"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}