Mozilla heeft besloten om uiteindelijk dan toch een privacylek te dichten dat zich voordoet in de surfgeschiedenis van de gebruiker. Hiervoor maakt het bedrijf echter wel een opoffering: wanneer ze dit lek dichten betekent dit meteen ook dat ze zullen moeten afwijken van een aantal regels in de css-standaard.

Het lek maakt gebruik van de mogelijkheden die CSS biedt om bepaalde stijlelementen toe te wijzen aan een bezochte link. Bezochte links worden bijvoorbeeld standaard paars gekleurd. Dit is allemaal heel handig voor de gebruiker om te zien welke pagina's hij nu al heeft bezocht en welke niet, maar de webpagina kan dat dus ook zien. Het is via de JavaScript functie "getComputedStyle()" een koud kunstje om na te gaan welke stijl een link nu precies heeft en dus kan er ook worden nagegaan of een link al dan niet eerder bezocht is. 

Grote bedreigingen hier zijn technieken die veel bandbreedte veroorzaken of veel gegevens tegelijk uit de browsers kunnen hallen. Deze gegevens kunnen dan weer gebruikt worden voor niet alleen gerichte aanvallen, maar ook brute-force aanvallen. Omdat deze functie redelijk snel resultaat levert kan men van honderdduizenden links per minuut nagaan of ze al bezocht zijn of niet. 

Mozilla gaat deze lekken op verschillende gebieden te lijf. In de eerste plaats gaan ze het aantal stijlelementen dat kunnen worden toegekend aan bezochte links een heel stuk inkorten. Zo worden bijvoorbeeld een groot deel van de eigenschappen geblokkeerd. Deze eigenschappen roepen ofwel resources aan, ofwel passen ze de grootte en/of positie van het element zodanig aan dat het mogelijk is om dit te achterhalen. Wanneer er een resource zoals bijvoorbeeld een achtergrondafbeelding wordt aangeroepen kan men alweer de bezochte links traceren. Verder maken ze het voor JavaScript ook onmogelijk om de stijl van bezochte links te weten te komen, in de plaats hiervan wordt die van niet-bezochte links doorgegeven.

Firefox gebruikers die liever niet willen wachten op de fix van Mozilla kunnen eventueel ook de waarde van layout.css.visited_links_enabled in about:config te veranderen naar false.

Het volledige artikel is hier te vinden.