SSD টাইমিং আক্রমণ ওয়েবসাইটগুলোকে আপনি আর কী করছেন তা অনুমান করতে দেয়

নতুন একটি ব্রাউজার সাইড চ্যানেল ওয়েবের ইতিমধ্যেই বিস্তৃত নজরদারি টুলকিটকে আরও প্রসারিত করছে

গবেষকরা এমন একটি কৌশল প্রদর্শন করেছেন, যার মাধ্যমে ওয়েবসাইটগুলো ব্রাউজারের ভেতর থেকে সূক্ষ্ম সলিড-স্টেট ড্রাইভ কার্যকলাপ বিশ্লেষণ করে একজন ভিজিটর কোন কোন অন্য সাইট দেখছেন এবং ডিভাইসে কোন অ্যাপ্লিকেশনগুলো খোলা আছে তা অনুমান করতে পারে। FROST নামের এই পদ্ধতি JavaScript এবং ব্রাউজারের origin private file system, বা OPFS, ব্যবহার করে স্টোরেজ টাইমিং পরিমাপের মাধ্যমে কাজ করে।

এই ফলাফলটি গুরুত্বপূর্ণ, কারণ এটি প্রচলিত অর্থে ডেটা চুরি করে না; বরং সাধারণ হার্ডওয়্যার আচরণকে একটি গোপনীয়তা-ফাঁসের উৎসে পরিণত করে। সরবরাহকৃত প্রতিবেদনের মতে, ভিজিটরকে শত্রুভাবাপন্ন সাইটটি খোলার বাইরে আর কিছুই করতে হয় না। সেখান থেকে ব্রাউজার-ভিত্তিক কোড SSD-এর ইনপুট-আউটপুট কার্যকলাপে প্রতিযোগিতা পর্যবেক্ষণ করতে পারে এবং সেই পরিমাপ ব্যবহার করে মেশিনে আর কী ঘটছে সে সম্পর্কে তথ্য অনুমান করতে পারে।

FROST কেন আলাদা

ওয়েব ট্র্যাকিং এখন একটি পরিণত প্রতিযোগিতা, যেখানে কুকি, ফিঙ্গারপ্রিন্টিং, সেশন রিপ্লে এবং ক্রমাগত আরও সৃজনশীল সাইড চ্যানেল জড়িত। FROST গুরুত্বপূর্ণ, কারণ এটি দেখায় যে ব্রাউজারের ক্রমবর্ধমান সক্ষমতাগুলো কীভাবে নতুন নজরদারি পৃষ্ঠ তৈরি করতে পারে, এমনকি যখন স্যান্ডবক্সিং নিয়মের কারণে অন্য অ্যাপ বা ট্যাবে সরাসরি প্রবেশাধিকার বন্ধ থাকে।

এই আক্রমণটিকে একটি contention side channel হিসেবে বর্ণনা করা হয়েছে। সহজ ভাষায়, এটি দেখে কেমন করে একাধিক প্রক্রিয়া একটি ভাগ করা সম্পদের জন্য প্রতিযোগিতা করে, এখানে SSD I/O, এবং নির্দিষ্ট অপারেশন শেষ হতে কত সময় লাগে তা থেকে ইঙ্গিত বের করে। গবেষকরা নাকি দেখিয়েছেন যে তারা অন্য ট্যাবে খোলা ওয়েবসাইট, এমনকি অন্য ব্রাউজারেও খোলা সাইট, এবং ডিভাইসে চলমান অ্যাপ্লিকেশনগুলো নির্ধারণ করতে পারে।

এটি একটি শক্তিশালী স্মরণ করিয়ে দেওয়া যে গোপনীয়তার সীমানা শুধু অনুমতির ডায়ালগ এবং same-origin নীতির দ্বারা নির্ধারিত হয় না। এগুলো পরোক্ষ ভৌত সংকেত দ্বারাও গঠিত হয়, যেমন টাইমিং, ক্যাশ আচরণ, এবং ভাগ করা হার্ডওয়্যারের বাধা। ব্রাউজার যখন অফিস সুইট, এডিটর এবং ডেভেলপমেন্ট টুলের প্ল্যাটফর্মে পরিণত হচ্ছে, তখন এ ধরনের পরোক্ষ ফাঁসের প্রভাব আরও বাড়তে পারে।

ব্রাউজার এখন অনেক বড় আক্রমণ পৃষ্ঠ

সরবরাহকৃত প্রতিবেদনে গবেষকদের বিস্তৃত বক্তব্য উদ্ধৃত করা হয়েছে: ওয়েব ব্রাউজার সাধারণ ডকুমেন্ট ভিউয়ার থেকে জটিল অ্যাপ্লিকেশন পরিবেশে পরিণত হয়েছে। এই বিবর্তনের সুস্পষ্ট সুবিধা আছে। এটি আরও সমৃদ্ধ প্রোডাক্টিভিটি টুল এবং আরও সক্ষম ওয়েব অ্যাপ চালাতে দেয়। তবে এটি অপব্যবহার করা যেতে পারে এমন ফিচারের সংখ্যাও বাড়ায়।

OPFS তার একটি উদাহরণ। এটি সাইটগুলোকে উন্নত কার্যকারিতা সমর্থনের জন্য সংরক্ষিত স্টোরেজ স্পেস দেয়। স্বাভাবিক ব্যবহারে, এটি আধুনিক অ্যাপ্লিকেশনকে আরও ভালোভাবে কাজ করতে সাহায্য করে। কিন্তু প্রতিকূল ব্যবহারে, প্রতিবেদনের মতে, এটি কেবল JavaScript ব্যবহার করেই একটি ওয়েবপেজের ভেতর থেকে SSD কার্যকলাপের ধরন পরিমাপের একটি ব্যবস্থা দিতে পারে।

এ কারণেই নীতি ও নিরাপত্তা দৃষ্টিকোণ থেকে FROST বিশেষভাবে উদ্বেগজনক। এটি ম্যালওয়্যার ইনস্টল করা, ব্রাউজারের মেমরি-করাপশন বাগ কাজে লাগানো, বা ব্যবহারকারীকে অস্বাভাবিক কোনো অনুমতি দিতে রাজি করানো প্রয়োজন করে না। এই কৌশলটি যদি ব্যাপকভাবে ব্যবহারযোগ্য হয়, তবে একটি সাধারণ ওয়েবসাইট ভিজিটকেই সম্ভাব্য আচরণগত সেন্সরে পরিণত করে।

এর পর কী

FROST ব্যাপক হুমকিতে পরিণত হবে কি না, তা নির্ভর করবে কয়েকটি বিষয়ের ওপর, যার মধ্যে আছে বিভিন্ন সিস্টেমে পরিমাপ কতটা নয়েজপূর্ণ, ব্রাউজার বিক্রেতারা টাইমিং সিগন্যাল কতটা সহজে দুর্বল করতে পারে, এবং বাস্তব দুনিয়ার আক্রমণকারীরা এই কৌশলকে নির্ভরযোগ্য প্রোফাইলিং বা নজরদারিতে রূপান্তর করতে পারে কি না। প্রতিবেদনে বলা হয়েছে, আগেও SSD contention আক্রমণ ছিল, তবে FROST আলাদা, কারণ এটি একান্তই ব্রাউজারের ভেতরে চলে।

এই browser-only বৈশিষ্ট্যটি ব্রাউজার নির্মাতা ও মান নির্ধারণকারী গোষ্ঠীগুলোর ওপর চাপ বাড়ায়। প্রতিরক্ষা হিসেবে অ্যাক্সেস প্যাটার্ন বদলানো, মাপজোকের সূক্ষ্মতা কমানো, API সীমিত করা, বা অন্যভাবে সাইটগুলোর জন্য স্টোরেজ প্রতিযোগিতা পরিষ্কারভাবে পর্যবেক্ষণের ক্ষমতা হ্রাস করা যেতে পারে। প্রতিটি প্রতিরক্ষারই একটি ট্রেড-অফ আছে, কারণ একই সক্ষমতাগুলোর কিছু বৈধ ওয়েব অ্যাপ্লিকেশনও ব্যবহার করে।

ব্যবহারকারীদের জন্য তাৎক্ষণিক শিক্ষা অস্বস্তিকর হলেও পরিচিত: আধুনিক ব্রাউজার ভোক্তা-সফটওয়্যারের সবচেয়ে উন্মুক্ত অংশগুলোর একটি। এটিকে ব্যাংকিংয়ের জন্য যথেষ্ট নিরাপদ, পেশাদার কাজের জন্য যথেষ্ট অভিব্যক্তিপূর্ণ, এবং অজানা ওয়েবসাইট থেকে ক্রমশ আরও জটিল কোড চালানোর জন্য যথেষ্ট অনুমতিপ্রাপ্ত হতে হয়। এই চাহিদাগুলো অনেক সময় পরস্পরের সঙ্গে বিরোধে থাকে।

FROST-এর মানে এই নয় যে হঠাৎ করেই প্রতিটি সাইট ব্যবহারকারীর গোপন তথ্য পড়তে পারে। তবে এর মানে হলো, ওয়েবের গোপনীয়তা-ভিত্তিক মডেলটি এখনও এমন পরোক্ষ ফাঁসের প্রতি সংবেদনশীল, যা স্পষ্ট ডেটা ভাগাভাগির বদলে সিস্টেম নকশা থেকে জন্ম নেয়। ট্র্যাকিং কৌশলগুলো যখন বারবার রূপ বদলাচ্ছে, তখন এ গবেষণা যথেষ্ট গুরুত্বপূর্ণ হয়ে ওঠে।

বিস্তৃত ইঙ্গিতটি সোজাসাপ্টা। ব্রাউজার যত বেশি কম্পিউটিং কাজ নিজেদের মধ্যে নিয়ে নিচ্ছে, ব্যবহারকারীর গোপনীয়তা রক্ষা করতে হবে কেবল স্পষ্ট প্রবেশাধিকার বন্ধ করে নয়, বরং ভাগ করা হার্ডওয়্যারের ওপর বহু শক্তিশালী অ্যাপ চালানোর পার্শ্বপ্রতিক্রিয়াও আগেভাগে বিবেচনা করে। FROST আরেকটি ইঙ্গিত যে এই পার্শ্বপ্রতিক্রিয়াগুলো উপেক্ষা করা আরও কঠিন হয়ে উঠছে।

এই নিবন্ধটি Ars Technica-এর প্রতিবেদনের ভিত্তিতে লেখা। মূল নিবন্ধটি পড়ুন.