SSD టైమింగ్ దాడి వెబ్‌సైట్లకు మీరు ఇంకేమి చేస్తున్నారో ఊహించేందుకు సహాయపడుతుంది

బ్రౌజర్‌లోని ఒక కొత్త side channel, వెబ్ ఇప్పటికే విస్తృతంగా ఉన్న surveillance toolkit‌ను మరింత పెంచుతోంది

ఒక సందర్శకుడు చూస్తున్న ఇతర సైట్లు ఏమిటి, పరికరంలో ఏ అప్లికేషన్లు తెరిచి ఉన్నాయి అనే విషయాలను, బ్రౌజర్‌లోని సూక్ష్మ solid-state drive activity-ని విశ్లేషించడం ద్వారా వెబ్‌సైట్లు ఊహించగలవని పరిశోధకులు ప్రదర్శించారు. FROST అని పిలవబడే ఈ విధానం, JavaScript మరియు బ్రౌజర్ యొక్క origin private file system, లేదా OPFS, ద్వారా storage timing‌ను కొలిచి పనిచేస్తుంది.

ఈ ఫలితం సాంప్రదాయ అర్థంలో డేటాను దొంగిలించడానికంటే, సాధారణ hardware ప్రవర్తనను privacy leak‌గా మార్చడం వల్ల గమనించదగినది. అందించిన నివేదిక ప్రకారం, సందర్శకుడు దుష్ట సైట్‌ను తెరవడం తప్ప మరేదీ చేయాల్సిన అవసరం లేదు. అక్కడి నుంచి, browser-based code SSD input-output activityలోని contention‌ను గమనించి, ఆ కొలతల ద్వారా యంత్రంలో ఇంకా ఏమి జరుగుతోందో ఊహించగలదు.

FROST ఎందుకు ప్రత్యేకం

Web tracking ఇప్పటికే cookies, fingerprinting, session replay, మరియు మరింత సృజనాత్మక side channels‌తో కూడిన成熟మైన arms race. FROST ముఖ్యమైనది, ఎందుకంటే sandboxing నియమాలు ఇతర apps లేదా tabs‌కు ప్రత్యక్ష ప్రవేశాన్ని నిరోధించినా, బ్రౌజర్ సామర్థ్యాలు విస్తరించడం కొత్త surveillance surfaces‌ను ఎలా సృష్టించగలదో ఇది చూపిస్తుంది.

ఈ దాడిని contention side channel గా వర్ణించారు. సులభంగా చెప్పాలంటే, ఇది అనేక processes ఒక shared resource, ఈ సందర్భంలో SSD I/O, కోసం ఎలా పోటీ పడతాయో చూస్తుంది, మరియు కొన్ని operations పూర్తవడానికి ఎంత సమయం పడుతుందో దాని ఆధారంగా సంకేతాలను పొందుతుంది. ఇతర tabs‌లో, hatta ఇతర browsers‌లో కూడా, తెరిచి ఉన్న websites‌ను, అలాగే పరికరంలో నడుస్తున్న applications‌ను కూడా తాము గుర్తించగలిగామని పరిశోధకులు reportedly చూపించారు.

ఇది privacy boundaries కేవలం permission dialogs మరియు same-origin policies ద్వారా మాత్రమే నిర్ణయించబడవని శక్తివంతమైన గుర్తు. అవి timing, cache behavior, మరియు shared hardware bottlenecks వంటి పరోక్ష physical signals ద్వారా కూడా రూపుదిద్దుకుంటాయి. బ్రౌజర్లు office suites, editors, మరియు development tools‌కు platforms‌గా మారుతున్నకొద్దీ, ఈ పరోక్ష leaks‌ యొక్క పరిణామాలు పెరిగే అవకాశం ఉంది.

బ్రౌజర్ ఇప్పుడు చాలా పెద్ద attack surface

అందించిన నివేదికలో పరిశోధకుల విస్తృత వ్యాఖ్యను ఉటంకించారు: web browsers సాధారణ document viewers నుండి సంక్లిష్ట application environments‌గా మారాయి. ఈ పరిణామానికి స్పష్టమైన ప్రయోజనాలు ఉన్నాయి. ఇది మరింత సమృద్ధిగా ఉండే productivity tools‌ను, మరింత సామర్థ్యవంతమైన web apps‌ను సాధ్యం చేస్తుంది. కానీ అదే సమయంలో, దుర్వినియోగానికి ఉపయోగపడే features సంఖ్యను కూడా పెంచుతుంది.

OPFS ఒక ఉదాహరణ. ఇది advanced functionality‌కు మద్దతుగా sites‌కు reserved storage space‌ను ఇస్తుంది. సాధారణ వినియోగంలో, ఇది ఆధునిక applications మెరుగుగా పనిచేయడానికి సహాయపడుతుంది. ప్రతికూల వినియోగంలో, JavaScript మాత్రమే ఉపయోగించి ఒక webpage నుంచే SSD activity patterns‌ను కొలవడానికి ఇది ఒక mechanism‌ను అందించగలదని నివేదిక సూచిస్తుంది.

policy మరియు security దృష్టికోణంలో FROST ప్రత్యేకంగా ఆందోళన కలిగించడానికి ఇదే కారణం. దీనికి malware ఇన్‌స్టాల్ చేయాల్సిన అవసరం లేదు, browser memory corruption bug‌ను exploit చేయాల్సిన అవసరం లేదు, లేదా వినియోగదారుడిని అసాధారణ permissions ఇవ్వమని ఒప్పించాల్సిన అవసరం లేదు. ఈ technique పెద్ద స్థాయిలో సాధ్యమైతే, సాధారణ website visit‌ను ఒక potential behavioral sensor‌గా మారుస్తుంది.

తర్వాత ఏమి జరుగుతుంది

FROST విస్తృత threat‌గా మారుతుందో లేదో అనేది అనేక అంశాలపై ఆధారపడి ఉంటుంది, వాటిలో వివిధ systems‌పై measurements ఎంత noisy‌గా ఉన్నాయో, browser vendors timing signal‌ను ఎంత సమర్థవంతంగా తగ్గించగలరో, మరియు వాస్తవ attackers ఈ technique‌ను నమ్మదగిన profiling లేదా surveillance‌గా మార్చగలరో ఉన్నాయి. ఇంతకుముందు SSD contention attacks ఉన్నాయని నివేదిక చెబుతోంది, కానీ FROST ప్రత్యేకం ఎందుకంటే ఇది పూర్తిగా browser‌లోనే నడుస్తుంది.

ఈ browser-only స్వభావం browser makers మరియు standards groups‌పై ఒత్తిడిని పెంచుతుంది. రక్షణ చర్యల్లో access patterns‌ను మార్చడం, measurement precision‌ను తగ్గించడం, APIs‌ను పరిమితం చేయడం, లేదా sites storage contention‌ను స్పష్టంగా గమనించగల సామర్థ్యాన్ని తగ్గించడం ఉండవచ్చు. ప్రతి mitigation‌కు tradeoff ఉంటుంది, ఎందుకంటే అదే సామర్థ్యాల్లో కొన్నింటి మీద చట్టబద్ధమైన web applications కూడా ఆధారపడతాయి.

వినియోగదారులకు తక్షణ పాఠం అసౌకర్యకరమైనదైనా పరిచితమైనదే: ఆధునిక browser consumer software‌లో అత్యంత exposed భాగాల్లో ఒకటి. అది banking‌కు తగినంత సురక్షితంగా, professional work‌కు తగినంత expressive‌గా, unknown websites నుండి increasingly sophisticated code నడిపేందుకు తగినంత permissive‌గా ఉండాలని ఆశిస్తారు. ఈ అవసరాలు తరచూ పరస్పరం tension‌లో ఉంటాయి.

FROST అంటే ప్రతి సైట్ ఒక్కసారిగా వినియోగదారుడి secrets‌ను చదవగలదని కాదు. దీని అర్థం web privacy model ఇంకా indirect leaks‌కు vulnerable‌గా ఉందని, అవి explicit data sharing వలన కాకుండా system design వలన ఉత్పన్నమవుతాయని. tracking techniques నిరంతరం మారుతున్న దృశ్యంలో, ఇదే ఈ పరిశోధనను ముఖ్యమైనదిగా చేస్తుంది.

పెద్ద సూచన సూటిగా ఉంది. బ్రౌజర్లు మరిన్ని computing functions‌ను స్వీకరిస్తున్న కొద్దీ, user privacy‌ను రక్షించడానికి స్పష్టమైన access‌ను నిరోధించడం మాత్రమే సరిపోదు, shared hardware మీద అనేక powerful applications‌ను నడపడం వల్ల వచ్చే side effects‌ను ముందే అంచనా వేయాల్సి ఉంటుంది. FROST ఆ side effects‌ను నిర్లక్ష్యం చేయడం మరింత కష్టమవుతోందనే మరో సంకేతం.

ఈ వ్యాసం Ars Technica రిపోర్టింగ్ ఆధారంగా ఉంది. మూల వ్యాసాన్ని చదవండి.