Introduction

Les sites web ont trouvé un nouveau moyen d'espionner leurs visiteurs en analysant leur activité sur les disques d'état solide (SSD). Cette technique, appelée FROST, permet aux sites de surveiller les autres sites visités par les utilisateurs et les applications ouvertes sur leurs appareils.

Contexte Technique

La technique FROST exploite un canal latéral basé sur la contention, qui mesure l'interaction entre les différents processus qui utilisent ou concourent pour une ressource donnée. En mesurant le temps nécessaire pour effectuer certaines opérations d'entrée-sortie (I/O) sur le SSD, les chercheurs ont pu déterminer les sites ouverts dans d'autres onglets, même sur d'autres navigateurs, ainsi que les applications ouvertes sur l'appareil de l'utilisateur.

Contrairement aux attaques de canal latéral précédentes sur les SSD, FROST s'exécute exclusivement dans le navigateur et utilise du JavaScript qui interagit avec le système de fichiers privé d'origine (OPFS), un espace de stockage alloué réservé à un site spécifique pour exécuter le code nécessaire pour effectuer une tâche donnée.

Analyse et Implications

Cette technique soulève des préoccupations importantes en matière de confidentialité et de sécurité, car elle permet aux sites web de collecter des informations sensibles sur les utilisateurs sans leur consentement. Les navigateurs web ont évolué pour devenir des plateformes complexes capables d'exécuter des applications sophistiquées, ce qui a augmenté leur surface d'attaque et introduit de nouvelles vulnérabilités.

Perspective

Il est essentiel de surveiller les développements futurs de cette technique et de prendre des mesures pour protéger la confidentialité et la sécurité des utilisateurs. Les utilisateurs doivent être conscients des risques potentiels liés à la visite de sites web et prendre des précautions pour protéger leurs données personnelles. Les entreprises et les développeurs de navigateurs doivent également travailler pour renforcer la sécurité de leurs plateformes et protéger les utilisateurs contre ce type d'attaques.