A lo largo de las décadas, no han faltado sitios que utilizan técnicas inteligentes para rastrear de forma encubierta los historiales de navegación de los visitantes, las huellas digitales de los dispositivos y las pulsaciones de teclas y movimientos del mouse en tiempo real. Incluso Meta y Yandex fueron sorprendidos recientemente uniéndose a la lucha libre para todos que invadía la privacidad.
Ahora los sitios tienen una nueva forma de espiar a sus visitantes: midiendo interacciones sutiles con sus unidades de estado sólido. La técnica, denominada FROST (huella digital remota utilizando sincronización SSD basada en OPFS), permite a los sitios monitorear otros sitios que un visitante está viendo y qué aplicaciones están abiertas en sus dispositivos.
La técnica, expuesta en un artículo de investigación, explota un canal lateral, una forma de fuga resultante de manifestaciones físicas como emanaciones electromagnéticas, cachés de datos o el tiempo necesario para completar una tarea. Al medir las manifestaciones, los atacantes pueden descifrar el tráfico cifrado e inferir otros datos confidenciales.
El ataque que utiliza FROST se conoce como canal lateral de contención, que mide la interacción de varios procesos que utilizan (o compiten por) un recurso determinado. Al medir el tiempo de ciertas operaciones de E/S (entrada-salida) del SSD que utiliza un visitante, los investigadores pudieron determinar los sitios web abiertos en otras pestañas, incluso en otros navegadores, y las aplicaciones que estaban abiertas en el dispositivo del visitante. FROST no requiere ninguna interacción por parte del visitante más que abrir el sitio que alberga el ataque.
«Los navegadores web han evolucionado desde simples visores de documentos hasta plataformas complejas capaces de ejecutar aplicaciones sofisticadas», escribieron los autores del artículo. «Empresas como Google, Microsoft y Adobe han desarrollado suites ofimáticas completas, editores de fotografías y vídeos, o incluso entornos de desarrollo integrados (IDE) que se ejecutan íntegramente dentro del navegador». Los autores continuaron señalando: «Si bien estas características mejoran las capacidades de las aplicaciones web y permiten casos de uso completamente novedosos, también aumentan la superficie de ataque del navegador, y ya se ha demostrado que algunas introducen nuevas vulnerabilidades».
A diferencia de los ataques anteriores de canal lateral de contención a SSD, FROST se ejecuta exclusivamente en el navegador. Utiliza JavaScript que interactúa con OPFS (sistema de archivos privado de origen), un espacio de almacenamiento asignado que está reservado para que un sitio específico ejecute el código necesario para completar una tarea determinada. Los sitios web pueden crear uno sin que el visitante requiera interacción.
Si bien cada sistema de archivos está protegido, lo que significa que está aislado de otros sitios web y del propio sistema del dispositivo, JavaScript puede medir las interacciones de E/S. Luego, al ejecutar esas interacciones a través de una red neuronal convolucional previamente entrenada (un sistema que utiliza aprendizaje profundo para analizar texto, audio e imágenes), el atacante puede deducir varias aplicaciones y sitios web abiertos en el dispositivo.
«El atacante mide continuamente la contención de SSD realizando lecturas aleatorias de un archivo OPFS de gran tamaño», explicaron los investigadores. «La contención de SSD causada por la actividad del usuario provoca diferencias de latencia mensurables para estas operaciones de lectura. Al entrenar una red neuronal convolucional (CNN) en estos rastros, el atacante puede tomar huellas dactilares de la actividad del usuario en el sistema host clasificando nuevos rastros utilizando el modelo entrenado».
La técnica tiene sus limitaciones. Primero, el archivo OPFS debe ser extremadamente grande, probablemente un gigabyte o más. Ese requisito significa que muchos usuarios inevitablemente detectarían ataques a escala. Además, el archivo OPFS debe almacenarse en el mismo SSD que utiliza el visitante. Esto no suele ser un problema para rastrear sitios web abiertos, ya que el archivo OPFS se almacena en la ubicación predeterminada del navegador. En el caso de que las aplicaciones utilicen una unidad SSD separada para aplicaciones, FROST no podrá detectar esas aplicaciones.
Una de las mejores formas de prevenir ataques FROST es cerrar las pestañas tan pronto como ya no sean necesarias. Los usuarios más expertos pueden controlar la creación y el tamaño de los archivos OPFS asignados por sitios web desconocidos. Los investigadores propusieron formas para que los fabricantes de navegadores cerraran el canal lateral. Uno de esos métodos consiste en limitar el tamaño máximo permitido de dichos archivos. No hay indicios de que se hayan realizado ataques FROST en la naturaleza.
