Bestimmung der besuchten Websites durch Analyse der SSD-Aktivität aus dem Webbrowser

Eine Gruppe von Forschern der Technischen Universität Graz (Österreich) hat eine Seitenkanalangriffstechnik namens FROST (Fingerprinting Remotely using OPFS-based SSD Timing) entwickelt, die es ermöglicht, durch die Analyse der Aktivität von SSD-Laufwerken aus JavaScript-Code im Browser die besuchten Websites der Benutzer mit einer Genauigkeit von 88,95 % sowie die in der Systemanwendung gestarteten Programme mit einer Genauigkeit von 95,83 % zu identifizieren. Die Methode kann auch verwendet werden, um einen versteckten Kommunikationskanal zwischen einer lokal laufenden Anwendung und dem im Browser ausgeführten JavaScript-Code zu organisieren. Die Datenübertragungsrate unter Linux betrug 661 bit/s, während es unter macOS 892 bit/s waren.

Der Angriff basiert darauf, dass die Veränderung der Zugriffszeiten auf SSD-Laufwerke beim Öffnen von Websites oder beim Starten von Webanwendungen spezifisch für die jeweilige Website und Anwendung ist. Durch die Verwendung typischer Zeitstempel der Zugriffszeit für im Voraus gemessene Websites und Anwendungen kann die spezifische Aktivität im Vergleich zu anderen Ein-/Ausgabe-Operationen herausgefiltert werden. Im Kontext des durchgeführten Angriffs werden die Verzögerungen bei Ein-/Ausgaben mit den Signaturen von Websites und Anwendungen verglichen.
Eine Faltungsneuronale Netzstruktur wird eingesetzt, die in der Lage ist, Muster im Rauschen von fremden Ein-/Ausgaben zu erkennen.

Für die Funktionsweise der Methode im Browser wird die OPFS-API (Origin-Private FileSystem) verwendet, die es erlaubt, Dateien im lokalen Dateisystem zu erstellen (Dateien werden im zugehörigen isolierten Bereich des Dateisystems erstellt). Die Analyse der Zugriffszeiten auf SSD-Laufwerke erfolgt durch das Messen von Verzögerungen bei identischen Datenoperationen. Um den Einfluss des Seitencache auf die Dateioperationen im Verlauf des Angriffs zu umgehen, müssen Dateien mit sehr großer Größe erstellt werden, die den verfügbaren Arbeitsspeicher überschreiten.

Als Maßnahme zur Bekämpfung des Angriffs wurde den Browserherstellern vorgeschlagen, den Benutzer um eine separate Bestätigung für den Zugriff auf die OPFS-API zu bitten oder die maximale Dateigröße auf einen Wert zu beschränken, der den verfügbaren Arbeitsspeicher nicht überschreitet. Derzeit erlauben Chrome und Safari über die OPFS-API die Erstellung von Dateien, die bis zu 60 % des verfügbaren Speicherplatzes einnehmen.

Die Chromium-Entwickler von Google erkennen solche Angriffe über Seitenkanäle nicht als Schwachstellen an. Die Entwickler von Safari bei Apple schließen jedoch nicht aus, in Zukunft Methoden zur Bekämpfung der Angriffe zu implementieren. Mozilla hat das Problem anerkannt, jedoch bisher keinen Fix bereitgestellt.

Quelle: opennet.ru