di
Sergio Donato
Non ruba file, password o cookie, ma può capire cosa l’utente sta usando. FROST mostra come una pagina web possa profilare attività locali osservando la “contesa sull’SSD”
Una pagina web lasciata aperta può misurare i tempi di risposta dell’SSD e usare quelle variazioni per dedurre quali siti o applicazioni l’utente sta usando. È la tecnica descritta dai ricercatori della Graz University of Technology nella ricerca su FROST, acronimo di “Fingerprinting Remotely using OPFS-based SSD Timing”. Non è un attacco che legge file, password o cookie, ma è di tipo “side-channel”, cioè, osserva un effetto indiretto dell’attività del computer. E l’attività è quella dell’SSD.Quello spazio locale che i siti tengono per se stessi
L’attacco gira dentro il browser, in JavaScript, senza installare codice nativo. FROST sfrutta OPFS, Origin Private File System, quello spazio su disco che i browser assegnano a ogni sito per salvare file, ma anche cache e dati locali. È una funzione del tutto legittima e prevista, perché serve a editor video e immagini, IDE online, app offline, giochi, database locali o strumenti che lavorano con file grandi senza dover caricare tutto sul server. Per dare un esempio ancora più fermo, pensiamo a servizi web come quelli di Photoshop nel browser, che possono sfruttare OPFS per tenere in locale alcuni contenuti.
