दशकों से, वास्तविक समय में आगंतुकों के ब्राउज़िंग इतिहास, डिवाइस फ़िंगरप्रिंट और कीस्ट्रोक्स और माउस आंदोलनों को गुप्त रूप से ट्रैक करने के लिए चतुर तकनीकों का उपयोग करने वाली साइटों की कोई कमी नहीं हुई है। यहां तक ​​कि मेटा और यांडेक्स को भी हाल ही में सभी के लिए गोपनीयता-आक्रामक नि:शुल्क में शामिल होते हुए देखा गया था।

अब साइटों के पास अपने विज़िटरों की जासूसी करने का एक नया तरीका है: अपने सॉलिड-स्टेट ड्राइव के साथ सूक्ष्म इंटरैक्शन को मापकर। तकनीक, जिसे FROST (OPFS-आधारित SSD टाइमिंग का उपयोग करके दूरस्थ रूप से फ़िंगरप्रिंटिंग) नाम दिया गया है, साइटों को उन अन्य साइटों की निगरानी करने की अनुमति देती है जिन्हें कोई विज़िटर देख रहा है और उनके डिवाइस पर कौन से ऐप्स खुले हैं।

एक शोध पत्र में बताई गई तकनीक, एक साइड चैनल का उपयोग करती है, जो भौतिक अभिव्यक्तियों जैसे विद्युत चुम्बकीय उत्सर्जन, डेटा कैश या किसी कार्य को पूरा करने के लिए आवश्यक समय के परिणामस्वरूप होने वाले रिसाव का एक रूप है। अभिव्यक्तियों को मापकर, हमलावर एन्क्रिप्टेड ट्रैफ़िक को डिक्रिप्ट कर सकते हैं और अन्य गोपनीय डेटा का अनुमान लगा सकते हैं।

FROST जिस हमले का उपयोग करता है उसे एक विवाद पक्ष चैनल के रूप में जाना जाता है, जो किसी दिए गए संसाधन का उपयोग करने (या प्रतिस्पर्धा करने) वाली विभिन्न प्रक्रियाओं की बातचीत को मापता है। विज़िटर द्वारा उपयोग किए जा रहे SSD के कुछ I/O (इनपुट-आउटपुट) संचालन के समय को मापकर, शोधकर्ता अन्य टैब में खुली वेबसाइटों को निर्धारित करने में सक्षम थे – यहां तक ​​​​कि अन्य ब्राउज़रों पर भी – और विज़िटर के डिवाइस पर खुले ऐप्स को निर्धारित करने में सक्षम थे। FROST को हमले की मेजबानी करने वाली साइट को खोलने के अलावा विज़िटर से किसी भी बातचीत की आवश्यकता नहीं है।

पेपर लेखकों ने लिखा, “वेब ब्राउज़र सरल दस्तावेज़ दर्शकों से परिष्कृत अनुप्रयोगों को चलाने में सक्षम जटिल प्लेटफार्मों में विकसित हुए हैं।” “Google, Microsoft और Adobe जैसी कंपनियों ने पूर्ण विकसित ऑफिस सूट, फोटो- और वीडियो संपादक, या यहां तक ​​कि एकीकृत विकास वातावरण (IDE) विकसित किए हैं जो पूरी तरह से ब्राउज़र के भीतर चलते हैं।” लेखकों ने नोट किया: “हालांकि ये सुविधाएं वेब अनुप्रयोगों की क्षमताओं को बढ़ाती हैं और पूरी तरह से नए उपयोग के मामलों की अनुमति देती हैं, वे ब्राउज़र की हमले की सतह को भी बढ़ाती हैं, और कुछ को पहले से ही नई कमजोरियों को पेश करने के लिए दिखाया गया है।”

SSDs पर पिछले विवाद साइड-चैनल हमलों के विपरीत, FROST विशेष रूप से ब्राउज़र में चलता है। यह जावास्क्रिप्ट का उपयोग करता है जो ओपीएफएस (मूल निजी फ़ाइल सिस्टम) के साथ इंटरैक्ट करता है, एक आवंटित भंडारण स्थान जो किसी दिए गए कार्य को पूरा करने के लिए आवश्यक कोड चलाने के लिए एक विशिष्ट साइट के लिए आरक्षित होता है। वेबसाइटें विज़िटर के लिए आवश्यक किसी सहभागिता के बिना एक वेबसाइट बना सकती हैं।

जबकि प्रत्येक फ़ाइल सिस्टम सैंडबॉक्स्ड है, जिसका अर्थ है कि यह अन्य वेबसाइटों और डिवाइस सिस्टम से अलग है, जावास्क्रिप्ट I/O इंटरैक्शन को माप सकता है। फिर, उन इंटरैक्शन को एक पूर्व-प्रशिक्षित कनवल्शनल न्यूरल नेटवर्क के माध्यम से चलाकर – एक प्रणाली जो पाठ, ऑडियो और छवियों का विश्लेषण करने के लिए गहन शिक्षण का उपयोग करती है – हमलावर डिवाइस पर खुले विभिन्न ऐप्स और वेबसाइटों का पता लगा सकता है।

शोधकर्ताओं ने समझाया, “हमलावर एक बड़ी ओपीएफएस फ़ाइल से यादृच्छिक रीड्स करके लगातार एसएसडी विवाद को मापता है।” “उपयोगकर्ता गतिविधि के कारण होने वाला एसएसडी विवाद इन रीड ऑपरेशंस के लिए मापने योग्य विलंबता अंतर का कारण बनता है। इन निशानों पर एक कन्वेन्शनल न्यूरल नेटवर्क (सीएनएन) को प्रशिक्षित करके, हमलावर प्रशिक्षित मॉडल का उपयोग करके नए निशानों को वर्गीकृत करके मेजबान सिस्टम पर उपयोगकर्ता गतिविधि को फिंगरप्रिंट कर सकता है।”

तकनीक की अपनी सीमाएँ हैं। सबसे पहले, ओपीएफएस फ़ाइल बहुत बड़ी होनी चाहिए – संभवतः गीगाबाइट या अधिक। उस आवश्यकता का मतलब है कि बड़े पैमाने पर हमलों का कई उपयोगकर्ताओं द्वारा अनिवार्य रूप से पता लगाया जाएगा। इसके अतिरिक्त, ओपीएफएस फ़ाइल को उसी एसएसडी पर संग्रहीत किया जाना चाहिए जिसका विज़िटर उपयोग कर रहा है। खुली वेबसाइटों को ट्रैक करने में यह आमतौर पर कोई समस्या नहीं है, क्योंकि ओपीएफएस फ़ाइल ब्राउज़र के डिफ़ॉल्ट स्थान पर संग्रहीत होती है। ऐसी स्थिति में ऐप्स ऐप्स के लिए एक अलग SSD ड्राइव का उपयोग कर रहे हैं, उन ऐप्स का FROST द्वारा पता नहीं लगाया जा सका।

FROST हमलों को रोकने का सबसे अच्छा तरीका यह है कि जैसे ही टैब की आवश्यकता न रह जाए, उन्हें बंद कर दिया जाए। अधिक समझदार उपयोगकर्ता अज्ञात वेबसाइटों द्वारा आवंटित ओपीएफएस फ़ाइलों के निर्माण और आकार की निगरानी कर सकते हैं। शोधकर्ताओं ने ब्राउज़र निर्माताओं के लिए साइड चैनल को बंद करने के तरीके प्रस्तावित किए। ऐसी ही एक विधि ऐसी फ़ाइलों के अधिकतम आकार को सीमित करना है जिनकी अनुमति है। इस बात का कोई संकेत नहीं है कि जंगल में फ्रॉस्ट हमले किए गए हैं।