Sajtët mund të spiunojnë vizitorët përmes matjes së aktivitetit të SSD-së

Në dekadat e fundit, uebfaqet kanë përdorur metoda të ndërlikuara për të ndjekur në mënyrë të fshehtë historikun e shfletimit, shenjat e pajisjes dhe lëvizjet e mausit të përdoruesve. Së fundi, edhe kompanitë më të mëdha si Meta dhe Yandex janë kapur duke përdorur teknika që cenojnë privatësinë. Tani, një metodë e re e quajtur FROST (fingerprinting remotely using OPFS‑based SSD timing) lejon sajtet të vëzhgojnë ndërveprimet e përdoruesit me diskun e tyre solid‑state, duke zbuluar se cilat faqe të tjera janë hapur dhe cilat aplikacione janë në ekzekutim.

FROST bazohet në një “kanal anësor” të tipit “contention”, i cili mat konkurrencën mes proceseve që përdorin të njëjtin burim – në këtë rast SSD‑në. Përmes JavaScript‑it që lexon rastësisht të dhëna nga një skedar i madh në OPFS (origin private file system), sulmuesi mund të kapë ndryshimet në vonesë të operacioneve I/O. Këto sinjale, pasi trajtohen nga një rrjet nervor konvolucional i trajnuar paraprakisht, lejojnë identifikimin e faqeve të hapura në skeda të tjera, madje edhe në shfletues të ndryshëm, dhe të aplikacioneve të hapura në pajisje. Siç shprehen autorët e studimit: “Shfletuesit e uebit janë evoluar nga thjeshtë shikues dokumentesh në platforma komplekse që mund të ekzekutojnë aplikacione të sofistikuara”, dhe “kjo rrit sipërfaqen e sulmit të shfletuesit dhe sjell cenueshmëri të reja”.

Metoda kërkon një skedar OPFS jashtëzakonisht të madh – tipikisht një gigabajt ose më shumë – dhe duhet të vendoset në të njëjtin SSD që përdor vizitori. Kjo e bën të vështirë zbatimin në shkallë të gjerë, pasi përdoruesit mund të vërejnë rritjen e hapësirës së përdorur nga sajtet e panjohura. Si masë parandaluese, mbyllja e skedave sapo të mos jenë më të nevojshme dhe monitorimi i skedarëve OPFS nga pjesë të paidentifikuara mund të reduktojë rrezikun. Hulumtuesit sugjerojnë që prodhuesit e shfletuesve të kufizojnë madhësinë maksimale të këtyre skedarëve për të mbyllur kanalin anësor. Deri tani, nuk ka dëshmi për përdorim të FROST‑it në “wild”.

Eksperimentet e kryera në një Mac me çip M2 dhe në mjedise Linux kanë konfirmuar funksionimin e parimeve bazë të sulmit, edhe pse sulmi i plotë nuk është provuar në Windows. Hannes Weissteiner, një nga bashkëautorët, ka shpjeguar se “për shkak të ngjashmërisë së performancës së primitivës në macOS dhe Linux, presim rezultate të ngjashme edhe në sisteme të tjera”. Hulumtimi do të prezantohet në konferencën DIMVA në korrik.