Исследователи нашли новый способ шпионить за пользователем через браузер — атаку назвали FROST. Она использует файловую систему OPFS, которая есть в современных браузерах. Каждая песочница OPFS изолирована от других сайтов и самой системы, но JavaScript может замерять задержки при чтении и записи. Учёные обучили свёрточную нейросеть (CNN) анализировать эти задержки. Нейросеть выясняет, какие приложения и сайты открыты на устройстве.
Как это работает. Злоумышленник создаёт в OPFS огромный файл — гигабайт или больше — и постоянно читает из него случайные блоки. Пока SSD занят реальной работой пользователя, время чтения этого файла заметно меняется. Нейросеть ловит эти паттерны и угадывает активность.
У атаки есть ограничения. Во-первых, файл должен быть гигантским, так что массовые атаки вряд ли останутся незамеченными. Во-вторых, файл обязан лежать на том же SSD, которым пользуется жертва. Отследить приложения не получится, если они стоят на отдельном диске. Сайты это обычно не касается — браузер хранит OPFS в папке по умолчанию.
Лучшая защита — закрывать вкладки, когда они больше не нужны. Продвинутые пользователи могут следить, какие сайты создают OPFS-файлы и какого они размера. Исследователи предложили браузерным разработчикам просто ограничить максимальный размер таких файлов, чтобы перекрыть побочный канал. Пока нет данных, что FROST использовали в реальных атаках.
Полный эксперимент провели на M2 Mac. На Linux проверили только базовую возможность замерять задержки SSD из JavaScript — она сработала. Полную атаку на Linux не запускали, но соавтор Ханнес Вайсштайнер считает, что результат будет таким же, потому что производительность примитива на обеих системах похожа. Windows не тестировали. Подробности — в статье, исследование представят на конференции DIMVA в июле.