Un equipo de investigación austriaco reveló recientemente un nuevo método de ataque de canal lateral del navegador. Sólo necesita confiar en señales débiles del código que se ejecuta en la página web y el hardware de almacenamiento del dispositivo para "espiar" el comportamiento en línea del usuario sin depender de cookies tradicionales, scripts de seguimiento de clics o tecnología común de reconocimiento de huellas dactilares. Este enfoque aprovecha las características de sincronización de las unidades de estado sólido (SSD) al procesar solicitudes de datos.
Esta tecnología se llama FROST, que significa "huella digital remota de temporización SSD basada en OPFS" (toma de huellas dactilares de forma remota utilizando sincronización SSD basada en OPFS). La idea central es que cuando diferentes procesos compiten por el acceso al almacenamiento, dejarán diferencias sutiles pero observables en las latencias de lectura y escritura. Al monitorear estos cambios de latencia, los investigadores pueden inferir qué sitios web o aplicaciones se están ejecutando en el dispositivo.
Desde una perspectiva técnica, FROST es un ataque típico de canal lateral, es decir, no lee directamente datos confidenciales, sino que infiere información a través de "señales de canal lateral" del comportamiento del sistema. En este caso, la "señal del canal lateral" es el retraso de acceso del SSD: cuando varios programas realizan operaciones de lectura y escritura al mismo tiempo, el tiempo de respuesta del SSD cambiará en consecuencia y estos cambios se pueden capturar y analizar dentro del navegador.
Lo que tiene de especial FROST es que se ejecuta completamente dentro de un entorno de navegador y no requiere la instalación local de ningún software adicional. El atacante solo interactúa con Origin Private File System (OPFS) a través de JavaScript; OPFS se diseñó originalmente para proporcionar espacio de almacenamiento local aislado para sitios web. Sin embargo, aunque el aislamiento de la zona de pruebas se implementa a nivel de software, el hardware subyacente aún se comparte, lo cual es la clave para la fuga de información.
En la operación real, el script de ataque primero creará un archivo grande en OPFS, luego realizará lecturas aleatorias continuas en el archivo y registrará con precisión el tiempo dedicado a cada operación de lectura. Si otras aplicaciones o pestañas del navegador en el sistema acceden con frecuencia al mismo SSD en este momento, la latencia de estas operaciones de lectura fluctuará de manera mensurable y la acumulación de datos a largo plazo formará un patrón de serie temporal discernible.
Un atacante puede obtener estos rastros de latencia midiendo continuamente la contención de SSD y luego entrenarlos y clasificarlos utilizando una red neuronal convolucional, dijeron los investigadores en su artículo. Una vez que el modelo está entrenado, puede "huellas dactilares" de la actividad del usuario en función de los nuevos rastros de latencia, es decir, determinar qué acciones se están llevando a cabo en el sistema host, como si se abre un sitio web específico o se ejecuta un determinado tipo de aplicación.
En particular, el equipo descubrió que este enfoque funciona igualmente bien en todos los navegadores, lo que sugiere que las señales explotables provienen más del comportamiento subyacente del sistema que de diferencias de implementación en un navegador en particular. También destaca una tendencia más amplia: a medida que los navegadores evolucionan hacia plataformas capaces de ejecutar aplicaciones complejas, interactúan cada vez más con los recursos subyacentes del sistema, aumentando la superficie para la exposición no deseada de datos.
Los investigadores señalaron que los navegadores actuales han pasado de ser "herramientas de visualización de documentos" a plataformas complejas que pueden albergar suites ofimáticas completas, editores de imágenes y videos e incluso entornos de desarrollo integrados (IDE) proporcionados por compañías como Google, Microsoft y Adobe, todos ejecutándose dentro del navegador. Aunque estas mejoras han ampliado las capacidades de las aplicaciones web y creado nuevos escenarios de uso, también han ampliado significativamente la superficie de ataque del navegador y se ha demostrado que algunas funciones introducen nuevas vulnerabilidades de seguridad.
En términos de viabilidad práctica, FROST todavía tiene ciertas limitaciones. Por ejemplo, el ataque necesita generar archivos grandes de al menos 1 GB en OPFS, lo que puede atraer la atención del usuario o activar recordatorios de espacio de almacenamiento; al mismo tiempo, este método se basa en la actividad monitoreada y el script de ataque que se ejecuta en el mismo SSD físico. Si la aplicación de destino está ubicada en otro disco duro, la señal puede ser débil y difícil de detectar.
En cuanto a la plataforma experimental, el equipo de investigación demostró el proceso de ataque completo en un sistema equipado con un chip Apple M2, verificó el mecanismo central en un entorno Linux y descubrió que también existía un comportamiento similar. Hannes Weissteiner, coautor del artículo, dijo que la tecnología subyacente funciona de manera similar en macOS y Linux, por lo que se espera que el método de clasificación completo funcione de manera similar en estos dos sistemas; En teoría, siempre que un cierto tipo de actividad del sistema produzca de manera estable un patrón de acceso SSD específico, se puede entrenar el modelo para identificarlo, pero el equipo aún no lo ha probado en sistemas Windows.
Actualmente no hay pruebas de que esta tecnología se haya utilizado de forma maliciosa fuera de un entorno de investigación, pero es una prueba más de que el código que se ejecuta en el navegador puede "detectar" el comportamiento del sistema con mayor profundidad que el conocimiento tradicional. Los investigadores sugieren que los proveedores de navegadores pueden reducir los riesgos imponiendo restricciones más estrictas a OPFS, como establecer límites de tamaño de archivos o monitorear patrones anormales de acceso al almacenamiento para bloquear comportamientos sospechosos de manera oportuna.
Según los informes, se espera que los resultados de la investigación relevante se publiquen oficialmente en la conferencia DIMVA en julio. A medida que avancen más investigaciones similares, es probable que cómo controlar los riesgos subyacentes de los canales laterales y al mismo tiempo garantizar una rica funcionalidad de las aplicaciones web se convierta en un problema a largo plazo en el campo de la seguridad de los navegadores.