Heyes beschreibt CSS nicht mehr nur als Mittel für Darstellung und Design von Webseiten, sondern als Technik mit Fähigkeiten, die sich auch für Angriffe missbrauchen lassen. Gegenüber Dark Reading sagte der PortSwigger-Forscher, CSS sei „inzwischen fast wie eine Programmiersprache“. Lange sei es vernachlässigt worden, doch heute seien CSS und HTML allein ausreichend, um einen funktionierenden Keylogger zu bauen — ganz ohne JavaScript und ohne Dateianhänge.

Auf die Risiken stieß Heyes nach eigenen Angaben, als er für persönliche Projekte mit dem Design einer eigenen Website experimentierte und dabei untersuchte, wie mächtig CSS geworden ist, insbesondere bei böswilliger Nutzung. Zugleich schränkt er ein, dass CSS-basierte Angriffe mehr Aufwand erfordern als klassische E-Mail-Exploits. Zwar sei der Ansatz leistungsfähig, doch das Herausleiten von Daten etwa über Animationen und ähnliche Mechanismen sei aufwendiger.

Trotz dieses höheren Aufwands hält Heyes das Feld für weitgehend unerschlossen und damit für eine naheliegende nächste Entwicklungsstufe bei Angriffen. Ein Grund sei, dass sich auf diesem Weg die Ausführung von Skripten umgehen lasse. Hinzu komme, dass dem Thema bislang nicht genügend Aufmerksamkeit gewidmet werde. Nach seiner Einschätzung vergrößert sich das Problem mit jeder neuen Funktion, die Browser für CSS und HTML hinzufügen, weil damit auch die Angriffsfläche wächst.

Konkrete technische Details will Heyes in seinem Vortrag auf der Black Hat USA in dieser Woche offenlegen. Er bestätigt jedoch bereits, dass er Schwachstellen bei bekannten großen Namen gefunden habe. Außerdem berichtet er aus seiner Forschung von Übernahmefehlern, verschiedenen fortgeschrittenen Angriffsmethoden und sogar von Fehlern in den Webmail-Plattformen der Anbieter selbst.

Besonders problematisch ist der Fall laut Heyes für Nutzer von Webmail. Erhält ein Anwender eine E-Mail mit bösartigen CSS-Anzeigeeigenschaften, ist er nach seiner Darstellung praktisch in der Darstellung gefangen. „CSS lässt sich nicht abschalten“, sagt Heyes. Deshalb sieht er die Verantwortung klar bei den Plattformbetreibern. Aus Sicht von Webmail-Anbietern sollten Nachrichten mit einer Technik isoliert werden, damit sie nicht mit dem Rest der Seite interagieren können. Zusätzlich müsse CSS wirksamer bereinigt werden, damit Inhalte nicht aus der Seite ausbrechen und die Vertrauensgrenzen der Nachricht überschreiten.

Als weitere Schutzmaßnahme nennt Heyes den Einsatz eines Bild-Proxys durch Sicherheitsteams, um Nutzer besser abzusichern. Ob die Anbieter ausreichend konsequent reagieren, bewertet seine Offenlegungspraxis allerdings gemischt. Einige Hersteller hätten schnell und transparent geantwortet. Andere hätten die Funde zunächst vollständig zurückgewiesen und Korrekturen erst später stillschweigend eingespielt, ohne dies anzuerkennen.

Genau dieses Muster macht die Forschung für Heyes besonders relevant: Während bekannte E-Mail-Bedrohungen viel Aufmerksamkeit auf sich ziehen, bleibt CSS als Angriffsfläche leicht übersehbar — obwohl die zugrunde liegenden Möglichkeiten nach seinen Erkenntnissen bereits vorhanden sind.