Des chercheurs autrichiens ont révélé une nouvelle vulnérabilité nommée Frost, capable d’espionner l’activité d’un utilisateur via les temps d’accès à son disque SSD. L’étude, menée par des chercheurs de l’Université technique de Vienne (TU Wien), démontre qu’en utilisant le système de fichiers OPFS des navigateurs, cette attaque par canal auxiliaire permet d’identifier les sites et applications ouverts avec une grande précision, sans aucune interaction de l’utilisateur.
Le mécanisme de Frost : exploiter le cache du disque
L’attaque Frost repose sur une exploitation astucieuse de l’Origin Private File System (OPFS), une fonctionnalité intégrée aux navigateurs web pour le stockage temporaire de données. Selon les travaux publiés par Futura-sciences, la méthode consiste à créer un fichier dont le volume est supérieur à la mémoire cache du disque SSD.
Techniquement, Frost exploite l’API FileSystemSyncAccessHandle, qui permet aux applications web d’effectuer des opérations d’entrée/sortie (I/O) de manière synchrone. Cette capacité de lecture et d’écriture directe, conçue pour améliorer les performances des applications web complexes, offre aux attaquants une granularité temporelle que les API asynchrones standards ne permettent pas. Cette saturation du cache oblige le système d’exploitation à vider régulièrement la mémoire pour libérer de l’espace.
En procédant à une lecture continue de différentes parties de ce fichier, le programme malveillant peut mesurer les micro-ralentissements provoqués par d’autres activités de l’ordinateur. Chaque fois que le système accède à un autre fichier, une latence est générée, créant des signatures temporelles spécifiques. Les chercheurs de la TU Wien ont précisé que la précision de la mesure dépend de la capacité du code JavaScript à interroger le système de fichiers avec une fréquence élevée, capturant les variations de latence au niveau de la microseconde.
L’intelligence artificielle au service du traçage
Pour transformer ces variations de temps en informations exploitables, les chercheurs utilisent un réseau neuronal convolutif (CNN). Cette couche d’intelligence artificielle analyse les signatures de latence pour déduire précisément ce que l’utilisateur est en train de faire sur sa machine.
Le modèle de deep learning est entraîné sur des séries temporelles de mesures de latence. En injectant des profils de charge I/O spécifiques — tels que ceux générés par le lancement d’un navigateur, l’ouverture d’un logiciel de traitement de texte ou le streaming vidéo — le CNN apprend à reconnaître les motifs de congestion du bus de données et du contrôleur SSD. L’efficacité de cette technique est particulièrement élevée. Les tests ont démontré des taux de réussite de 88,95 % pour l’identification des sites web consultés, tandis que la précision grimpe à 95,83 % lorsqu’il s’agit de détecter les applications ouvertes sur le système.
Vulnérabilité ciblée sur les moteurs Chromium
Bien que l’attaque soit théoriquement applicable à tout navigateur implémentant l’OPFS, les recherches se sont concentrées sur les navigateurs basés sur le moteur Chromium, tels que Google Chrome, Microsoft Edge et Opera. Ces navigateurs offrent l’implémentation la plus complète de l’API de stockage de fichiers, facilitant l’accès à l’interface FileSystemSyncAccessHandle nécessaire à la précision de l’attaque.
La vulnérabilité réside dans le fait que l’OPFS est conçu pour isoler les données d’un site d’un autre (via le principe de l’origine), mais il ne fournit pas d’isolation au niveau des ressources matérielles partagées, comme le contrôleur SSD et son cache. Les mesures de temps de latence traversent ainsi les barrières de sécurité logicielles imposées par le navigateur pour atteindre le matériel commun.
Ce que l’attaque ne peut pas voler
Bien que l’aspect intrusif de Frost soit préoccupant, la portée de l’espionnage reste ciblée. Il est crucial de préciser que cette vulnérabilité ne permet pas de dérober des fichiers personnels, des mots de passe ou d’autres données sensibles directement stockées sur le disque. L’objectif est le traçage de l’activité et non le vol de données de contenu.
Plusieurs facteurs limitent également la propagation de cette menace :
- La taille du fichier créé par l’attaque peut servir d’indicateur pour détecter sa présence par des outils de surveillance du système de fichiers.
- L’attaque est inopérante si les activités surveillées utilisent un SSD différent de celui utilisé pour l’attaque (par exemple, si l’utilisateur possède plusieurs disques physiques distincts).
- L’exécution dépend strictement de l’utilisation du JavaScript au sein du navigateur, ce qui limite l’attaque aux sessions de navigation web.
Une menace qui ignore les frontières des systèmes d’exploitation
L’une des caractéristiques les plus marquantes de cette découverte est son caractère universel. Contrairement à d’autres failles qui ciblent spécifiquement l’architecture Windows, les chercheurs ont prouvé que Frost fonctionne de manière identique sur macOS et Linux.
Cette transversalité s’explique par le fait que la vulnérabilité ne repose pas sur une erreur de code dans un système d’exploitation spécifique, mais sur la gestion fondamentale du cache et des files d’attente d’I/O par les contrôleurs de stockage modernes. Le comportement de saturation du cache est une caractéristique intrinsèque de la gestion de la mémoire flash sur presque tous les SSD grand public.
Le caractère passif de l’attaque renforce sa dangerosité. Puisqu’elle s’appuie sur des fonctionnalités standards des navigateurs modernes, elle ne nécessite aucune action de la part de la victime, si ce n’est la simple visite d’un site hébergeant le code malveillant. Cette capacité à s’exécuter directement depuis un navigateur transforme une simple navigation en une potentielle source de fuite d’informations sur l’usage de l’ordinateur. Les chercheurs soulignent que la correction de cette faille est complexe, car restreindre l’accès à l’OPFS ou limiter la précision des timers pourrait dégrader les performances des Progressive Web Apps (PWA) et des outils de travail collaboratif en ligne qui dépendent de ces capacités de stockage haute performance.