Шпионаж на грани эксплойта: исследователи обнаружили возможность сайтов "читать" содержимое вашего SSD через браузер

02 червня 2026 р. 10:34

02 червня 2026 р. 10:34

За последние десятилетия хватало сайтов, которые используют хитрые методы для скрытого отслеживания истории просмотров пользователей, отпечатков устройств, а также ввода с клавиатуры и движений мыши в режиме реального времени. Недавно даже Meta была поймана на участии в этой нарушающей приватность «свободной игре».

Теперь у сайтов появился новый способ шпионить за посетителями: измерение тонких взаимодействий с их твердотельными накопителями. Метод, названный FROST (fingerprinting remotely using OPFS-based SSD timing), позволяет сайтам отслеживать, какие другие сайты открыты у посетителя и какие программы запущены на его устройстве.

Сайд-канал на основе конкуренции за ресурсы

Этот метод, описанный в научной работе, использует побочный канал (side channel) — тип утечки информации, возникающей из-за физических проявлений, такие как электромагнитное излучение, кэширование данных или время выполнения операций. Измеряя эти проявления, атакующие могут расшифровывать зашифрованный трафик и получать другую конфиденциальную информацию.

«Атака FROST использует так называемый канал конкуренции (contention side channel), который измеряет взаимодействие различных процессов, использующих или конкурирующих за один ресурс», — пишут авторы исследования.

Измеряя задержки определенных I/O (ввод-вывод) операций SSD, исследователи смогли определять веб-сайты, открытые в других вкладках — даже в разных браузерах — а также приложения, запущенные на устройстве пользователя. FROST не требует никакого взаимодействия пользователя, кроме открытия сайта, выполняющего атаку.

«Веб-браузеры эволюционировали от простых просмотрщиков документов до сложных платформ, способных запускать сложные приложения», — говорят исследователи. — «Такие компании как Google, Microsoft и Adobe создали полноценные офисные пакеты, редакторы фото и видео или даже интегрированные среды разработки (IDE), которые работают полностью в браузере».

Далее они отмечают:

«Хотя эти функции расширяют возможности веб-приложений и открывают новые сценарии использования, они также увеличивают площадь атаки браузера, и некоторые из них уже показали новые уязвимости».

В отличие от предыдущих атак побочного канала на SSD, FROST работает исключительно в браузере. Он использует JavaScript, который взаимодействует с OPFS (origin private file system) — выделенным пространством хранилища, зарезервированным для конкретного сайта для выполнения кода, необходимого для определенных операций. Веб-сайты могут создавать его без какого-либо взаимодействия с пользователем.

«Хотя каждая файловая система изолирована (sandboxed), то есть отделена от других сайтов и системы устройства, JavaScript может измерять I/O-взаимодействия», — утверждается в исследовании.

Далее, пропуская эти данные через предварительно обученный сверточный нейронный сетевой алгоритм (CNN) — систему глубокого обучение, анализирующее текст, аудио и изображения — атакующий может определять, какие приложения и сайты открыты на устройстве.

«Атакующий непрерывно измеряет конкуренцию SSD, выполняя случайные чтения из большого файла OPFS», — объясняют исследователи. «Задержки чтения меняются из-за конкуренции за SSD, вызванной активностью пользователя. Обучая сверточную нейронную сеть (CNN) на этих данных, атакующий может идентифицировать активность пользователя на системе, классифицируя новые данные с помощью модели».

У метода есть ограничения. Во-первых, файл OPFS должен быть чрезвычайно большим — вероятно, гигабайт или более. Это означает, что массовые атаки были бы заметны для многих пользователей. Кроме того, файл OPFS должен храниться на том же SSD, который использует пользователь.

«Обычно это не проблема для отслеживания открытых сайтов, поскольку OPFS хранится в стандартном расположении браузера. Но если приложения используют другой SSD-диск, они не могут быть обнаружены методом FROST», — добавляют исследователи.

Они провели полную атаку FROST на Mac с чипом M2. В Linux они показали, что базовый примитив ( измерение задержек доступа к SSD из-за JavaScript) работает, но полную атаку не запускали.

«Однако, поскольку производительность примитива подобна на macOS и Linux, мы ожидаем похожих результатов и для полной классификации», — написал в письме Ганнес Вайсштайнер, один из соавторов. — «В принципе, можно обучить модель на любой системной активности, которая стабильно генерирует обращения к SSD».

Тестирование Windows не проводилось. Бумага с исследованием содержит гораздо больше технических деталей . Его планируют представить на конференции DIMVA в июле. А пока — что делать пользователям?

«Один из лучших способов защиты от атак FROST — закрывать вкладки сразу после использования. Более опытные пользователи могут отслеживать создание и размер файлов OPFS, которые создают неизвестные сайты», — пишет портал ArsTechnica.

Исследователи также предложили способы, которыми разработчики браузеров могут устранить этот канал утечки. Один из них — ограничение максимального размера таких файлов . Пока что пока нет признаков, что атаки FROST применяются в реальных условиях.

Всього 3 налаштування браузера: як сховатися від шпигування провайдера без VPN

Источник: ArsTechnica

Технології