Site-urile de internet pot afla ce faci în alte aplicații. Noua tehnică de spionaj descoperită. Îți folosește SSD-ul din sistem

Site-urile web au la dispoziție o nouă metodă de monitorizare a utilizatorilor, descoperită de cercetători în domeniul securității cibernetice. Tehnica, denumită FROST, poate identifica alte site-uri deschise în browser și anumite aplicații active pe dispozitiv, analizând activitatea unității SSD. Cercetarea a fost prezentată înaintea conferinței DIMVA, programată în luna iulie. Specialiștii precizează că nu există dovezi că metoda este folosită în prezent în atacuri reale.

Site-urile web pot identifica alte pagini și aplicații deschise pe dispozitiv

Site-urile web au folosit de-a lungul timpului numeroase tehnici pentru a colecta informații despre utilizatori, de la monitorizarea istoricului de navigare și a amprentelor dispozitivelor până la înregistrarea mișcărilor mouse-ului și a tastelor apăsate. În ultimii ani, astfel de practici au generat controverse majore în industria tehnologiei, inclusiv după apariția unor informații care au asociat companii importante cu metode invazive de urmărire a utilizatorilor.

Acum, cercetătorii au identificat o nouă abordare, denumită FROST (Fingerprinting Remote Using OPFS-Based SSD Timing), care permite unui site să obțină indicii despre alte activități desfășurate pe dispozitivul unui vizitator.

Metoda funcționează prin măsurarea unor interacțiuni extrem de subtile cu unitatea SSD a sistemului. Pe baza acestor măsurători, atacatorii pot determina ce alte pagini web sunt deschise în file diferite, inclusiv în alte browsere, și pot identifica anumite aplicații care rulează simultan pe dispozitiv.

FROST nu necesită nicio acțiune suplimentară din partea utilizatorului. Simplul acces al unei persoane pe un site care găzduiește codul necesar este suficient pentru inițierea procesului de colectare a datelor.

Cum exploatează FROST timpul de răspuns al SSD-ului

La baza tehnicii se află un așa-numit „canal lateral” („side-channel”), adică o metodă prin care informațiile sunt deduse indirect, analizând manifestări fizice sau comportamente ale sistemului, precum timpul necesar executării unor operațiuni.

În cazul FROST, cercetătorii folosesc ceea ce este cunoscut drept un „contention side-channel”. Acest tip de atac măsoară modul în care diferite procese concurează pentru acces la aceeași resursă hardware, în acest caz unitatea SSD.

Prin monitorizarea timpilor de răspuns ai unor operațiuni de intrare-ieșire (I/O), cercetătorii au demonstrat că pot identifica activitățile desfășurate în paralel pe dispozitivul utilizatorului.

„Browserele web au evoluat de la simple instrumente de vizualizare a documentelor la platforme complexe capabile să ruleze aplicații sofisticate”, au scris autorii lucrării.

Aceștia au explicat că numeroase companii tehnologice oferă deja aplicații complexe care rulează exclusiv în browser.

„Companii precum Google, Microsoft și Adobe au dezvoltat suite office complete, editoare foto și video sau chiar medii de dezvoltare integrate (IDE) care rulează în întregime în browser”, au precizat autorii.

Potrivit cercetătorilor, această evoluție aduce beneficii semnificative pentru utilizatori, dar creează și noi riscuri de securitate.

„Deși aceste caracteristici îmbunătățesc capacitățile aplicațiilor web și permit cazuri de utilizare complet noi, ele cresc și suprafața de atac a browserului, iar unele dintre ele s-au dovedit deja că introduc noi vulnerabilități”, au adăugat autorii.

Tehnologia folosește JavaScript și spațiul de stocare OPFS al browserului

Spre deosebire de alte atacuri similare asupra SSD-urilor, FROST funcționează exclusiv în interiorul browserului și nu necesită instalarea unui software suplimentar pe dispozitivul victimei.

Tehnica utilizează JavaScript și interacționează cu OPFS (Origin Private File System), un spațiu de stocare privat atribuit fiecărui site web. Acest sistem permite paginilor web să creeze și să gestioneze fișiere locale fără intervenția utilizatorului.

Deși fiecare spațiu OPFS este izolat de celelalte site-uri și de sistemul de operare, codul JavaScript poate măsura latențele generate de operațiunile efectuate asupra SSD-ului.

Datele colectate sunt apoi analizate cu ajutorul unei rețele neuronale convoluționale, un tip de inteligență artificială utilizat frecvent pentru recunoașterea modelelor complexe.

„Atacatorul măsoară continuu conflictul SSD efectuând citiri aleatorii dintr-un fișier OPFS mare”, au explicat cercetătorii.

Potrivit acestora, activitatea utilizatorului generează diferențe de latență suficient de clare pentru a fi identificate de modelul de inteligență artificială.

„Conflictul SSD cauzat de activitatea utilizatorului provoacă diferențe de latență măsurabile pentru aceste operațiuni de citire. Prin antrenarea unei rețele neuronale convoluționale (CNN) pe aceste urme, atacatorul poate identifica activitatea utilizatorului pe sistemul gazdă prin clasificarea noilor urme folosind modelul antrenat”, au precizat autorii cercetării.

Cercetătorii spun că metoda are limite și nu există atacuri confirmate

Deși rezultatele experimentelor sunt relevante din perspectiva securității informatice, cercetătorii subliniază că tehnica are limitări importante.

Una dintre acestea este necesitatea utilizării unor fișiere OPFS foarte mari, care pot depăși un gigabyte. O astfel de cerință ar putea atrage atenția utilizatorilor și ar face dificilă desfășurarea unor campanii extinse fără a fi observate.

În plus, fișierul OPFS trebuie să fie stocat pe aceeași unitate SSD utilizată pentru activitatea care urmează să fie monitorizată. Dacă anumite aplicații rulează pe un alt SSD, acestea nu pot fi identificate prin intermediul metodei FROST.

Pentru reducerea riscurilor, specialiștii recomandă închiderea filelor care nu mai sunt utilizate și monitorizarea spațiilor de stocare create de site-uri necunoscute. Cercetătorii au propus și măsuri tehnice pe care dezvoltatorii de browsere le-ar putea implementa, inclusiv limitarea dimensiunii maxime a fișierelor OPFS.

Testele complete au fost realizate pe un sistem Mac echipat cu procesor M2. Pe Linux, cercetătorii au demonstrat funcționarea mecanismului de bază, însă nu au executat întregul atac.

„Totuși, deoarece performanța primitivei este similară între macOS și Linux, ne așteptăm la performanțe similare pentru clasificarea completă”, a scris Hannes Weissteiner, unul dintre coautorii studiului, într-un e-mail.

Acesta a explicat că tehnologia ar putea fi adaptată pentru monitorizarea oricărei activități care generează accesări constante ale SSD-ului.

„În principiu, ar fi posibil să se antreneze un model pe baza oricărei activități de sistem care generează în mod fiabil accese SSD”, a precizat Hannes Weissteiner.

Autorii cercetării nu au efectuat teste pe sistemele Windows. Studiul complet urmează să fie prezentat oficial în cadrul conferinței DIMVA din luna iulie, unde vor fi publicate și detalii tehnice suplimentare privind funcționarea metodei FROST.

Documentul despre FROST poate fi consultat aici: