Webseiten können Nutzer über die Reaktion ihrer SSD überwachen

Sicherheitsforscher haben eine neue Methode entdeckt, mit der Webseiten ihre Nutzer heimlich überwachen können, selbst dann, verschiedene Maßnahmen zum Schutz gegen Tracking verwenden. Das Verfahren läuft über die Analyse von SSD-Zugriffen.

Anwendungen und Webseiten werden erkannt

Die Methode wurde in einer wissenschaftlichen Arbeit vorgestellt, die im Juli auf der Sicherheitskonferenz DIMVA präsentiert werden soll. Sie wird als FROST bezeichnet, dies steht für "Fingerprinting Remotely using OPFS-based SSD Timing" und basiert auf einem Seitenkanalangriff. Dabei werden keine Daten direkt abgegriffen, sondern Rückschlüsse aus technischen Effekten gezogen - in diesem Fall aus minimalen Verzögerungen beim Zugriff auf eine SSD.

Den Forschern der Technischen Universität Graz zufolge genügt bereits der Besuch einer präparierten Webseite, um einen wiederkehrenden Nutzer zu identifizieren. Im Hintergrund führt JavaScript dabei verschiedene Dateioperationen aus und misst, wie schnell die SSD darauf reagiert. Da ständig unterschiedliche Programme und Webseiten gleichzeitig auf den lokalen Speicher zugreifen, entstehen charakteristische Muster.


Mithilfe eines zuvor trainierten neuronalen Netzes können Angreifer daraus nicht nur ableiten, welcher Nutzer die Webseite besucht, sondern auch, welche Anwendungen oder Webseiten parallel geöffnet sind.

Möglich wird dies durch das sogenannte "Origin Private File System" (OPFS), einen Speicherbereich moderner Browser, den Webseiten ohne Zustimmung des Nutzers anlegen können. Obwohl dieser Bereich eigentlich isoliert ist, lassen sich über die Geschwindigkeit der Ein- und Ausgabeoperationen dennoch Informationen über andere Aktivitäten auf dem Gerät gewinnen.

Große Datei nötig

Die Forscher betonen allerdings auch Einschränkungen der Methode. Für den Angriff muss eine sehr große Datei angelegt werden, vermutlich mit einer Größe von mindestens einem Gigabyte. Das könnte aufmerksamen Nutzern auffallen. Zudem funktioniert die Technik nur dann zuverlässig, wenn die überwachten Programme dieselbe SSD verwenden wie der Browser.

Bislang gibt es keine Hinweise darauf, dass FROST bereits aktiv von Kriminellen oder anderen Akteuren eingesetzt wird. Dennoch sehen die Wissenschaftler Handlungsbedarf bei Browser-Herstellern. Eine mögliche Schutzmaßnahme wäre, die maximale Größe von OPFS-Dateien zu begrenzen. Getestet wurde der vollständige Angriff bislang auf einem Mac mit M2-Chip. Unter Linux konnten die Forscher zentrale Teile der Methode ebenfalls nachweisen. Windows-Systeme wurden dagegen noch nicht untersucht.

Siehe auch: