Новый метод веб-трекинга позволяет отслеживать активность пользователей через SSD-накопители

Исследователи обнаружили способ скрытного мониторинга активности пользователей в браузере, использующий особенности работы твердотельных накопителей (SSD). Метод, получивший название FROST, позволяет определять, какие сайты открыты в других вкладках и какие приложения запущены на устройстве в данный момент.

Принцип работы технологии FROST

Технология FROST (Fingerprinting Remotely using OPFS-based SSD Timing) эксплуатирует так называемый побочный канал — утечку данных, возникающую из-за физических процессов в аппаратном обеспечении. В данном случае измеряется время выполнения операций ввода-вывода (I/O) на SSD. Поскольку различные процессы в системе конкурируют за доступ к ресурсам накопителя, сторонний сайт может по задержкам в работе SSD вычислить активность других программ.

Для реализации атаки не требуется никаких действий со стороны пользователя, кроме открытия страницы, на которой размещен вредоносный код. Используя JavaScript, злоумышленники взаимодействуют с OPFS (Origin Private File System) — специальной изолированной областью памяти, которую браузер выделяет сайтам для хранения временных данных.

Анализ данных с помощью нейросетей

Процесс слежки выглядит следующим образом:

• Сайт создает крупный файл в хранилище OPFS, размер которого может достигать одного гигабайта и более.
• Скрипт непрерывно считывает данные из этого файла, фиксируя микроскопические изменения в задержках при доступе к накопителю.
• Собранные показатели анализируются обученной сверточной нейронной сетью — алгоритмом глубокого обучения, способным распознавать закономерности в сложных массивах данных.
• На основе анализа нейросеть с высокой точностью классифицирует активность: какие сайты посещает пользователь и какие приложения запущены в системе.

Ограничения и способы защиты

Исследователи отмечают, что текущая реализация имеет ряд ограничений. Метод требует создания объемного файла, что может быть замечено пользователями или системами мониторинга ресурсов. Кроме того, FROST работает только в том случае, если OPFS-файл и отслеживаемые приложения находятся на одном физическом накопителе.

На текущий момент нет данных о применении данной технологии в реальных атаках. В качестве мер предосторожности эксперты рекомендуют закрывать неиспользуемые вкладки браузера. Разработчикам браузеров предложено ограничить максимальный размер файлов, которые сайты могут создавать в OPFS, чтобы перекрыть этот канал утечки информации.

Стоит отметить, что ранее в использовании сомнительных методов сбора данных, включая отслеживание нажатий клавиш и движений мыши, были замечены такие компании, как Meta* и Яндекс. Специалисты подчеркивают, что по мере превращения браузеров из простых просмотрщиков документов в полноценные платформы для запуска сложного ПО, поверхность атаки значительно расширяется, что создает новые риски для конфиденциальности.

* — деятельность компании запрещена на территории РФ