Атака FROST: как сайты следят за пользователем через активность SSD

Группа ученых из Грацского технического университета в Австрии обнаружила необычный вектор атаки, позволяющий отслеживать активность пользователя в браузере и операционной системе. Метод получил название FROST. Он дает возможность злоумышленникам узнавать, какие веб-сайты посещает человек и какие приложения запущены на его компьютере, причем для этого не требуется установка вредоносного ПО, плагинов или получение специальных разрешений от системы.

Принцип работы FROST основан на анализе активности SSD-накопителя через JavaScript-код, запущенный на вредоносной веб-странице. Исследователи задействовали API Origin Private File System (OPFS), доступный в актуальных версиях современных браузеров. Метод заключается в следующем: атакующий сайт создает на накопителе пользователя объемный файл, после чего начинает отслеживать малейшие задержки при чтении и записи данных. Каждое приложение или открытая вкладка в браузере вносят свои коррективы в работу дисковой подсистемы, создавая уникальные паттерны нагрузки.

Анализ активности накопителя

Для интерпретации собранных данных специалисты применили обученную нейронную сеть. Алгоритм сопоставляет зафиксированные «отпечатки» активности SSD с конкретными программами или сайтами. В ходе испытаний на компьютере Mac Mini с процессором M2 точность идентификации открытых сайтов составила около 89%, а запущенных сторонних приложений — 96%.

Важной особенностью FROST является межбраузерная природа атаки: система может отслеживать активность, происходящую, например, в Safari, даже если вредоносный код запущен в окне Chrome.

Ограничения и способы защиты

Несмотря на высокую эффективность, у метода есть существенные слабые стороны:

• Масштаб нагрузки: Для работы атаки требуется создание файла огромного размера. В современных реалиях Chrome и Safari позволяют сайтам через OPFS резервировать до 60% свободного места на SSD (до 150 ГБ на накопителе объемом 256 ГБ). Пользователь может заметить резкое исчезновение свободного дискового пространства.
• Аппаратные нюансы: Для успеха атаки файлы OPFS и отслеживаемая активность должны находиться на одном физическом накопителе, что делает метод практически бесполезным на конфигурациях с несколькими дисками.

В качестве защитных мер исследователи предлагают браузерам ограничить максимальный размер файлов в OPFS, чтобы данные не выходили за пределы оперативной памяти, либо внедрить механизм обязательного запроса разрешений на создание подобных хранилищ.

Авторы работы передали информацию о FROST разработчикам Google, Apple и Mozilla. Однако, как отмечают исследователи, реакции разработчиков пока нет: в Google не классифицировали метод как уязвимость, Apple отнесла проблему к «зоне вне ответственности», а в Mozilla лишь подтвердили факт изучения отчета.

Ранее мы писали о том, что специалисты научились определять людей в помещениях через обычные Wi-Fi-роутеры с точностью до 99,5% без необходимости взлома сетей.