Шпигунство через SSD: атака FROST загрожує вашій приватності

Новий метод шпигування за користувачами через SSD: що таке атака FROST?

За останні десятиліття з'явилося чимало сайтів, які використовують витончені методи для прихованого збору даних про користувачів. Вони відстежують історію переглядів, унікальні відбитки пристроїв, натискання клавіш та навіть рухи миші в реальному часі. Нещодавно навіть компанія Meta була викрита у використанні подібних практик, що порушують приватність.

Тепер зловмисники знайшли новий спосіб стеження за відвідувачами — через вимірювання взаємодій із твердотільними накопичувачами (SSD). Метод, названий FROST (fingerprinting remotely using OPFS-based SSD timing), дозволяє сайтам визначати, які ресурси відкриті у користувача та які програми запущені на його пристрої.

Як працює атака через побічний канал?

FROST використовує так званий побічний канал — тип витоку інформації, що виникає через фізичні особливості роботи пристроїв. Наприклад, електромагнітне випромінювання, кешування даних або час виконання операцій. Вимірюючи ці параметри, зловмисники можуть отримувати конфіденційні дані, навіть якщо трафік зашифрований.

Автори дослідження пояснюють:

«Атака FROST використовує канал конкуренції (contention side channel), який фіксує взаємодію процесів, що змагаються за один ресурс».

Вимірюючи затримки операцій вводу-виводу (I/O) SSD, дослідники змогли визначити, які сайти відкриті в інших вкладках — навіть у різних браузерах — та які програми запущені на пристрої. Для успішної атаки FROST не потрібна жодна взаємодія з користувачем, окрім відкриття скомпрометованого сайту.

Чому сучасні браузери вразливі?

Сучасні веб-браузери перетворилися з простих переглядачів документів на потужні платформи, здатні запускати складні застосунки. Компанії на кшталт Google, Microsoft та Adobe створили повноцінні офісні пакети, редактори фото та відео, а також інтегровані середовища розробки (IDE), що працюють виключно в браузері.

Дослідники зазначають:

«Хоча ці функції розширюють можливості вебзастосунків і відкривають нові сценарії використання, вони також збільшують площу атаки браузера. Деякі з них вже виявилися вразливими».

На відміну від попередніх атак на SSD через побічні канали, FROST працює виключно в браузері. Метод використовує JavaScript та OPFS (origin private file system) — виділений простір сховища для конкретного сайту, який створюється без участі користувача.

«Хоча кожна файлова система ізольована (sandboxed) і відокремлена від інших сайтів та системи, JavaScript може вимірювати взаємодії з нею», — йдеться у дослідженні.

Як атака ідентифікує активність користувача?

Зібрані дані про затримки операцій з SSD пропускаються через згорткову нейронну мережу (CNN) — алгоритм глибокого навчання, який аналізує текстові, аудіо- та візуальні дані. Це дозволяє атакувальнику визначати, які сайти та програми відкриті на пристрої.

Дослідники детально описують механізм атаки:

«Зловмисник безперервно вимірює конкуренцію за SSD, виконуючи випадкові читання з великого файлу в OPFS. Затримки читання змінюються через конкуренцію за ресурси, спричинену активністю користувача. Навчаючи CNN на цих даних, атакувальник може ідентифікувати активність на системі, класифікуючи нові дані за допомогою моделі».

Обмеження та вразливі системи

Метод FROST має певні обмеження. По-перше, файл OPFS має бути надзвичайно великим — ймовірно, від одного гігабайта і більше. Це робить масові атаки помітними для багатьох користувачів. По-друге, файл OPFS має зберігатися на тому ж SSD, який використовує користувач.

«Зазвичай це не проблема для відстеження відкритих сайтів, оскільки OPFS зберігається у стандартному розташуванні браузера. Однак якщо програми використовують інший SSD-диск, їх неможливо виявити за допомогою FROST», — зазначають автори.

Дослідники провели повну атаку на комп'ютері Mac з чипом M2. У Linux вони продемонстрували роботу базового примітиву (вимірювання затримок доступу до SSD через JavaScript), але повну атаку не тестували.

«Оскільки продуктивність примітиву подібна на macOS і Linux, ми очікуємо схожих результатів і для повної класифікації», — пояснив у листі Ганнес Вайсштайнер, один із співавторів дослідження. — «У принципі, можна навчити модель на будь-якій системній активності, яка стабільно генерує звернення до SSD».

Тестування на Windows не проводилося. Детальніший опис методу міститься у науковій роботі, яку планують представити на конференції DIMVA у липні.

Як захиститися від атаки FROST?

Найефективніший спосіб захисту — закривати вкладки одразу після використання. Досвідчені користувачі також можуть відстежувати створення та розмір файлів OPFS, які генерують невідомі сайти.

Дослідники запропонували розробникам браузерів кілька способів усунення цієї вразливості, зокрема обмеження максимального розміру файлів OPFS. Наразі немає підтверджень, що атаки FROST застосовуються в реальних умовах.