Selama beberapa dekade, tidak ada kekurangan situs yang menggunakan teknik cerdas untuk melacak pengunjung secara diam-diam. riwayat penelusuran, sidik jari perangkatDan penekanan tombol dan gerakan mouse dalam waktu nyata. Bahkan Meta dan Yandex baru-baru ini ketahuan bergabung dalam tindakan bebas-untuk-semua yang bersifat invasif terhadap privasi.
Kini situs memiliki cara baru untuk memata-matai pengunjungnya: dengan mengukur interaksi halus dengan solid-state drive mereka. Teknik yang diberi nama FROST (sidik jari jarak jauh menggunakan pengaturan waktu SSD berbasis OPFS), memungkinkan situs memantau situs lain yang dilihat pengunjung dan aplikasi apa yang terbuka di perangkat mereka.
Tekniknya, dituangkan dalam a makalah penelitianeksploitasi a saluran sampingsuatu bentuk kebocoran akibat manifestasi fisik seperti pancaran elektromagnetik, cache data, atau waktu yang diperlukan untuk menyelesaikan suatu tugas. Dengan mengukur manifestasinya, penyerang dapat mendekripsi lalu lintas terenkripsi dan menyimpulkan data rahasia lainnya.
Serangan yang digunakan FROST dikenal sebagai a saluran sisi perselisihanyang mengukur interaksi berbagai proses yang semuanya menggunakan (atau bersaing untuk) sumber daya tertentu. Dengan mengukur waktu pengoperasian I/O (input-output) tertentu pada SSD yang digunakan pengunjung, para peneliti dapat menentukan situs web yang dibuka di tab lain—bahkan di browser lain—dan aplikasi yang dibuka di perangkat pengunjung. FROST tidak memerlukan interaksi dari pengunjung selain membuka situs yang menampung serangan tersebut.
“Peramban web telah berevolusi dari penampil dokumen sederhana menjadi platform kompleks yang mampu menjalankan aplikasi canggih,” tulis penulis makalah. “Perusahaan seperti Google, Microsoft, dan Adobe telah mengembangkan rangkaian aplikasi perkantoran, editor foto dan video, atau bahkan lingkungan pengembangan terintegrasi (IDE) yang lengkap yang berjalan sepenuhnya di dalam browser.” Penulis melanjutkan dengan mencatat: “Meskipun fitur-fitur ini meningkatkan kemampuan aplikasi web dan memungkinkan kasus penggunaan yang benar-benar baru, fitur-fitur ini juga meningkatkan permukaan serangan browser, dan beberapa telah terbukti menimbulkan kerentanan baru.”
Tidak seperti serangan saluran samping sebelumnya pada SSD, FROST berjalan secara eksklusif di browser. Ia menggunakan JavaScript yang berinteraksi dengan OPFS (sistem file pribadi asal), ruang penyimpanan yang dialokasikan yang disediakan untuk situs tertentu guna menjalankan kode yang diperlukan untuk menyelesaikan tugas tertentu. Situs web dapat membuatnya tanpa memerlukan interaksi dari pengunjung.
Meskipun setiap sistem file di-sandbox, artinya terisolasi dari situs web lain dan dari sistem perangkat itu sendiri, JavaScript dapat mengukur interaksi I/O. Kemudian, dengan menjalankan interaksi tersebut melalui pelatihan sebelumnya jaringan saraf konvolusional—sebuah sistem yang menggunakan pembelajaran mendalam untuk menganalisis teks, audio, dan gambar—penyerang dapat menyimpulkan berbagai aplikasi dan situs web yang terbuka di perangkat.
“Penyerang terus-menerus mengukur pertikaian SSD dengan melakukan pembacaan acak dari file OPFS yang besar,” jelas para peneliti. “Pertentangan SSD yang disebabkan oleh aktivitas pengguna menyebabkan perbedaan latensi yang dapat diukur untuk operasi pembacaan ini. Dengan melatih jaringan saraf konvolusional (CNN) pada jejak ini, penyerang dapat mendeteksi aktivitas pengguna di sistem host dengan mengklasifikasikan jejak baru menggunakan model yang dilatih.”
Teknik ini mempunyai keterbatasan. Pertama, file OPFS harus berukuran sangat besar—mungkin satu gigabyte atau lebih. Persyaratan tersebut berarti bahwa serangan dalam skala besar pasti akan terdeteksi oleh banyak pengguna. Selain itu, file OPFS harus disimpan di SSD yang sama dengan yang digunakan pengunjung. Ini biasanya bukan masalah untuk melacak situs web yang terbuka, karena file OPFS disimpan di lokasi default browser. Jika aplikasi menggunakan drive SSD terpisah untuk aplikasi, aplikasi tersebut tidak dapat dideteksi oleh FROST.
Salah satu cara terbaik untuk mencegah serangan FROST adalah dengan menutup tab segera setelah tidak diperlukan lagi. Pengguna yang lebih paham dapat memantau pembuatan dan ukuran file OPFS yang dialokasikan oleh situs web yang tidak dikenal. Para peneliti mengusulkan cara bagi pembuat browser untuk menutup saluran samping. Salah satu metode tersebut adalah dengan membatasi ukuran maksimum file yang diperbolehkan. Tidak ada indikasi serangan FROST telah dilakukan di alam liar.
Para peneliti melakukan serangan FROST penuh pada M2 Mac. Di Linux, mereka menunjukkan bahwa primitif yang mendasarinya (mengukur jejak latensi akses SSD dari JavaScript) berfungsi tetapi tidak menjalankan serangan penuh.
“Namun, karena performa primitif serupa antara macOS dan Linux, kami mengharapkan performa serupa untuk klasifikasi lengkap,” tulis Hannes Weissteiner, salah satu rekan penulis, dalam email. “Pada prinsipnya, dimungkinkan untuk melatih model pada aktivitas sistem apa pun yang menghasilkan akses SSD secara andal.”
Para peneliti tidak menguji Windows.
Makalah yang ditautkan di atas memberikan lebih banyak rincian teknis. Penelitian ini rencananya akan dipresentasikan pada Konferensi DIMVA pada bulan Juli.
Cerita ini pertama kali muncul di Ars Teknika.
