FROST: der Angriff, der den Browser in einen Spion verwandelt, indem die Latenz von SSD gemessen wird, um Ihre Websites und Ihre Apps zu enthüllen

Ein neuer Angriff getauft als FROST, beschrieben von Forschern der Universität Graz Technologie und präsentiert in DIMVA 2026, zeigt, dass eine bösartige Website kann wissen, welche Websites Sie besuchen und welche Anwendungen durch einfache Messung der Latenz einer SSD aus JavaScript öffnen. Die Neuheit ist nicht, dass SSD-Disks Filter-Informationen - dass Familie der Fehler bereits Forschung wie Secret Spying Drive enthalten - aber dass FROST beseitigt die Notwendigkeit für nativen Code oder explizite Berechtigungen: alles läuft in der Browser-Sandbox und nutzt eine standardisierte API namens Origin Private File System (OPFS), entwickelt für Web-Anwendungen, um lokale Dateien zu verwalten, ohne den Benutzer um Erlaubnis zu bitten.

Der technische Vektor ist einfach und beunruhigend in seiner Wirksamkeit. OPFS ermöglicht es jeder Webquelle, Dateien in einem Teil der Festplatte ohne Benutzerinteraktion zu buchen und zu schreiben. Ein Angreifer erstellt eine größere Datei als der RAM des Teams, um direkte Messwerte an die SSD anstelle von Treffern auf dem Cache zu zwingen, und führt dann zufällige Messwerte von 4 KB-Blöcken durch Messzeit mit hochauflösenden Uhren. Wenn eine andere Seite geladen wird oder eine App beginnt, ändert die Disc-Eindämmung diese Zeiten und ein trainierter Klassifikator kann mit hoher Präzision identifizieren, welche Software oder Seite die Störung erzeugt. In den gemeldeten Experimenten erreichte die Inferenz gegen die 50 beliebtesten Websites F1 bei macOS knapp 89 % und war noch effektiver bei der Identifizierung von nativen Anwendungen; außerdem montierten Forscher einen verdeckten Kanal, der Hunderte von Bits pro Sekunde zwischen einer kooperierenden nativen App und der bösartigen Seite übertragen konnte.

Während die Technik auf einem physischen Zeitkanal basiert - etwas, das die Sicherheitsgemeinschaft seit Jahren bekannt ist - die Transformation von einem lokalen Angriff zu einem entfernten ist, was das Bild verändert: Es ist genug, dass ein Benutzer eine Registerkarte für die Website besuchen oder verlassen, um die Aktivität auf Ihrem Computer zu beobachten. Dies ändert das Risiko, vor allem bei Einzeldiskettengeräten, wo alles in der gleichen Einheit liegt; Maschinen mit mehreren Festplatten oder Konfigurationen, die das Browser-Profil in RAM halten (z.B. bestimmte Bereitstellungen mit Prophyle-sync-daemon in Linux) begrenzen die Oberfläche, aber diese sind nicht universelle Lösungen.

Die praktischen Minderungsmöglichkeiten für einen Nutzer sind heute begrenzt, aber nützlich. Verdächtige Tabs schließen sofort die Messung stoppen, und die Überwachung der Browser-Speicher, um außergewöhnlich große Dateien, die mit unbekannten Ursprüngen verknüpft zu erkennen, ist ein Hinweis auf Engagement. Deaktivieren Sie JavaScript für unzuverlässige Websites oder unter Verwendung von Skripten Lock-Erweiterungen reduziert die Belichtung sowie die Verwendung von konfigurierten Browsern mit separaten Profilen oder laufende sensible Aktivität auf virtuellen Maschinen oder einem dedizierten Browser nur für kritische Aufgaben. Für Administratoren können Prozesse auf verschiedenen Festplatten isolieren oder Richtlinien verwenden, die verhindern, dass das Profil auf Festplatte geschrieben wird, eine effektive Verteidigung sein, da Patches ankommen.

Die endgültigen Korrekturen hängen jedoch von Browserherstellern ab. Zu den möglichen technischen Lösungen gehören Begrenzung der maximalen Größe OPFS kann von der Quelle in Cache, fügen Sie eine Genehmigungstabelle für die intensive Nutzung der lokalen Speicherung hinzu oder die temporäre Auflösung bei Einsatz von OPFS zu verschlechtern. Jede Alternative hat eine Kosten für Usability oder Performance, so dass Lieferanten die Auswirkungen wiegen müssen: Google, Apple und Mozilla wurden vor der Veröffentlichung gewarnt und es gab bisher keine einheitliche Aktion oder öffentliche CVE, die das Problem zusammenbringt.

Aus einer breiteren Perspektive unterstreicht FROST einen Trend: Der Browser erweitert weiterhin die nativen Fähigkeiten, die er für Webanwendungen bietet, und mit ihnen wachsen die Low-Level-Informations-Fluchtrouten. Dies ist nicht nur eine isolierte Verwundbarkeit, sondern eine Designstunde: Die APIs, die einen engen Zugang zu Hardware geben, erfordern Datenschutzbewertungen und Seitenkanalrisiken so streng wie bei herkömmlichen Sicherheitsschnittstellen. In der Zwischenzeit sollten Benutzer und Organisationen davon ausgehen, dass das Verlassen offener Registerkarten mit implizitem Vertrauen ein Risiko impliziert und Verteidigungen annimmt, die die Exposition reduzieren, bis Browser eine Minderung implementieren.

Für diejenigen, die die betreffende Technologie vertiefen wollen, beschreibt die WICG OPFS-Spezifikation, warum die API ohne Genehmigungsdialoge konzipiert wurde: Origin Private File System (WICG). Die Konferenz, auf der die Arbeit präsentiert wird und der akademische Kontext des Bereichs auf der DIMVA-Seite zu finden: DIMVA. Es ist auch nützlich zu überprüfen, wie native E / S-Schnittstellen wie io _ uring beeinflusst vorherige Forschung auf Festplattenfilterung: io _ uring - Linux Kernel Dokumentation.