عجیب اما واقعی؛ جاسوسی وب‌سایت‌ها از کاربران با تحلیل حافظه SSD

پژوهشگران امنیتی از روش تازه‌ای با نام FROST پرده برداشته‌اند که می‌تواند بدون نیاز به دریافت مجوز از کاربر، اطلاعاتی درباره برنامه‌ها و وب‌سایت‌های در حال اجرا روی سیستم جمع‌آوری کند. این تکنیک با تحلیل الگوهای دسترسی به حافظه SSD، فعالیت‌های کاربر را شناسایی می‌کند.

سال‌هاست وب‌سایت‌ها از روش‌های مختلفی برای ردیابی کاربران استفاده می‌کنند؛ از کوکی‌ها گرفته تا بررسی رفتار ماوس و صفحه‌کلید. اما FROST رویکرد متفاوتی دارد و به جای جمع‌آوری مستقیم داده‌ها، از نشانه‌های جانبی سیستم برای استنتاج فعالیت‌های کاربر بهره می‌برد.

جزئیات این روش در یک مقاله علمی منتشر شده است. FROST بر پایه حملات موسوم به «کانال جانبی» (Side Channel) توسعه یافته؛ حملاتی که از اطلاعات غیرمستقیم مانند زمان پردازش، مصرف منابع یا تأخیرهای سخت‌افزاری برای استخراج داده استفاده می‌کنند.

محققان دریافتند که با اندازه‌گیری زمان خواندن و نوشتن داده‌ها روی حافظه SSD می‌توان تشخیص داد چه برنامه‌ها یا تب‌های دیگری در پس‌زمینه سیستم فعال هستند. نکته قابل توجه اینکه برای آغاز این فرآیند، تنها باز کردن یک وب‌سایت آلوده کافی است و کاربر نیازی به انجام هیچ اقدام اضافی ندارد.

برخلاف بسیاری از حملات مشابه، FROST تنها از طریق مرورگر اجرا می‌شود. این روش با استفاده از جاوااسکریپت و فضای ذخیره‌سازی اختصاصی OPFS در مرورگر، فایل‌های بزرگی ایجاد می‌کند و سپس عملکرد SSD را زیر نظر می‌گیرد. اگرچه این فضا در محیطی ایزوله قرار دارد، اما همچنان امکان اندازه‌گیری زمان دسترسی به داده‌ها را فراهم می‌کند.

در مرحله بعد، داده‌های جمع‌آوری‌شده به یک مدل هوش مصنوعی مبتنی بر شبکه عصبی پیچشی (CNN) ارسال می‌شود. این مدل با تحلیل الگوهای تأخیر، می‌تواند حدس بزند کاربر چه نرم‌افزارها یا وب‌سایت‌هایی را هم‌زمان اجرا کرده است.

به گفته پژوهشگران، مهاجم با خواندن مداوم داده‌ها از یک فایل حجیم در مرورگر، میزان درگیری حافظه SSD را اندازه‌گیری می‌کند. فعالیت سایر برنامه‌ها باعث ایجاد تغییر در زمان دسترسی به این فایل می‌شود و همین تغییرات برای شناسایی فعالیت کاربر کافی است.

البته این روش محدودیت‌هایی نیز دارد. برای عملکرد صحیح، فایل مورد استفاده باید حجمی در حد چند صد مگابایت تا بیش از 1 گیگابایت داشته باشد که می‌تواند باعث اشغال فضای ذخیره‌سازی یا جلب توجه کاربر شود. همچنین نرم‌افزارهای هدف باید روی همان SSD قرار داشته باشند؛ در غیر این صورت دقت حمله کاهش می‌یابد.

کارشناسان امنیتی توصیه می‌کنند کاربران پس از پایان کار، تب‌های غیرضروری مرورگر را ببندند و نسبت به مصرف غیرعادی فضای ذخیره‌سازی توسط وب‌سایت‌ها حساس باشند. همچنین از توسعه‌دهندگان مرورگرها خواسته شده محدودیت‌های سخت‌گیرانه‌تری برای حجم فایل‌های قابل ذخیره در OPFS اعمال کنند.

در حال حاضر FROST تنها در محیط‌های آزمایشگاهی و روی سیستم‌های مجهز به تراشه‌های Apple M2 و برخی توزیع‌های لینوکس مورد بررسی قرار گرفته است. تاکنون هیچ گزارشی از سوءاستفاده عملی از این روش در حملات واقعی منتشر نشده و انتظار می‌رود جزئیات فنی کامل آن در کنفرانس امنیتی DIMVA ارائه شود.