FROST: Teknik Pelacakan Aktivitas lewat Waktu SSD di Browser

Seorang tim peneliti di Austria menemukan cara baru bagi situs web untuk memantau aktivitas pengguna di perangkat mereka tanpa menggunakan cookie, skrip pelacakan klik, atau metode sidik jari tradisional. Metode ini memanfaatkan perbedaan kecil dalam waktu akses pada Solid‑State Drive (SSD) pengguna.

Peneliti menamai teknik ini FROST (fingerprinting remotely using OPFS‑based SSD timing). FROST bekerja dengan memonitor bagaimana program-program di komputer bersaing untuk mengakses ruang penyimpanan. Ketika beberapa aplikasi mencoba membaca atau menulis data sekaligus, waktu yang dibutuhkan sedikit berubah. Perubahan ini dapat diukur dan dihubungkan dengan aktivitas tertentu.

Serangan ini termasuk dalam kategori side‑channel attack, di mana informasi diambil secara tidak langsung dari perilaku sistem. Dalam kasus FROST, saluran yang dimanfaatkan adalah latensi SSD.

Berikut cara FROST dijalankan hanya dari dalam browser:

• Eksploitasi OPFS: Penyerang menggunakan JavaScript untuk berinteraksi dengan Origin Private File System (OPFS), fitur sandbox yang memberi situs ruang penyimpanan terisolasi. Meskipun terisolasi secara logis, OPFS masih berbagi SSD fisik dengan sistem.
• File Besar: Skrip menciptakan file berukuran minimal 1 GB di OPFS dan membacanya berulang‑ulang, mencatat durasi setiap operasi.
• Analisis Latensi: Jika aplikasi lain atau tab browser lain sedang menggunakan SSD, waktu baca file akan bergeser. Perubahan ini menjadi sinyal.
• AI Convolutional Neural Network: Peneliti melatih jaringan saraf untuk mengasosiasikan pola waktu tertentu dengan aktivitas spesifik, seperti membuka aplikasi chat atau mengunjungi situs tertentu.

Hasilnya, sinyal latensi ini dapat diidentifikasi lintas browser karena lebih bergantung pada perilaku fisik SSD daripada mekanisme sandbox. Hal ini menunjukkan bahwa browser modern, yang semakin kompleks dan memakan sumber daya sistem, membuka celah kebocoran data yang tidak disengaja.

Meski menakutkan, penerapan FROST di dunia nyata masih terbatas. Serangan memerlukan pembuatan file besar, yang bisa menimbulkan peringatan ruang penyimpanan penuh atau menarik perhatian pengguna. Selain itu, pelacakan hanya efektif jika aplikasi target berada di SSD fisik yang sama. Penelitian ini hanya diuji pada sistem Apple M2 (macOS) dan Linux; belum ada uji coba pada Windows.

Sejauh ini, tidak ada bukti bahwa teknik ini telah disalahgunakan di luar laboratorium. Para akademisi menyarankan vendor browser, seperti Google dan Microsoft, untuk membatasi kapasitas OPFS atau memantau pola akses penyimpanan yang mencurigakan.

Penelitian ini akan dipresentasikan secara resmi pada konferensi keamanan siber DIMVA pada bulan Juli. Informasi lebih lanjut dapat ditemukan di Techspot.

Secara keseluruhan, FROST menunjukkan bahwa data latensi SSD dapat menjadi sumber informasi pribadi yang tidak terduga. Meskipun masih dalam tahap penelitian, temuan ini menyoroti pentingnya meninjau kembali batasan keamanan sandbox dan kebijakan penyimpanan web. Dengan langkah pencegahan yang tepat, risiko kebocoran data melalui saluran ini dapat diminimalkan.