ブラウザ内でSSDの動きを観測し、ユーザーが閲覧している別サイトや実行中のアプリまで推定できる新たなWeb追跡手法が明らかになった。研究チームはこの手法を「Frost」と名付けており、OSの権限の取得やマルウェアの導入を伴わずに動作し得る点が注目されている。

Ars Technicaが27日（現地時間）に報じたところによると、FrostはSSDの入出力（I/O）遅延の変化を利用するサイドチャネル攻撃だ。攻撃コードを埋め込んだWebサイトを開くだけで成立する可能性があるという。

この手法では、ブラウザの保存領域であるOrigin Private File System（OPFS）を使い、大容量ファイルに対して繰り返しアクセスするJavaScriptを実行する。そこで生じるSSDアクセス時のわずかな遅延差を測定し、事前学習済みの畳み込みニューラルネットワーク（CNN）モデルで解析することで、ユーザーが開いているWebサイトだけでなく、別のブラウザやアプリで動作中のプログラムも推定できるとしている。

研究チームは、ブラウザがもはや単なるWeb閲覧ツールではなく、複雑なアプリケーション実行環境へと進化している点に着目した。実際にGoogleやMicrosoft、Adobeは、ブラウザベースのオフィスツールや編集ソフト、統合開発環境（IDE）などを提供している。こうした機能拡張によってWebアプリの活用範囲は広がる一方、ブラウザの攻撃面も拡大したと指摘している。

Frostの特徴は、ブラウザ内の機能だけで攻撃が成立し得る点にある。OPFSはサイトごとに分離された保存領域で、原則として他サイトやシステムから隔離されているが、JavaScriptからその領域へのI/Oに伴う遅延は観測できる。攻撃者が大容量のOPFSファイルに対してランダム読み取りを繰り返すと、SSDの競合が遅延差として表れ、学習済みモデルがシステムの活動パターンを識別できるという。

もっとも、実際の悪用にはいくつか制約もある。研究チームによれば、攻撃効率を確保するにはOPFSファイルをかなり大きくする必要があり、少なくとも1GB以上になる可能性が高い。保存容量の増加にユーザーが気付くおそれがあるほか、OPFSファイルがユーザーの主要SSDと同じストレージ上に存在しなければならず、別のSSDを使うアプリは検知しにくいとしている。

対策としては、使っていないタブを閉じることが挙げられる。詳しいユーザーであれば、ブラウザが生成したOPFSファイルの有無や容量を直接確認することも可能だ。研究チームはあわせて、ブラウザベンダー側でOPFSファイルの最大サイズを制限することも緩和策になり得ると提案している。

実験はApple M2搭載のMacで、攻撃シナリオ全体を実装する形で実施した。LinuxでもSSDアクセス遅延そのものは測定可能であることを確認しており、安定したSSDアクセスパターンを持つシステム動作であれば、学習対象として利用できると説明した。一方、Windows 11ではまだ検証していない。

現時点で、Frostが実環境で悪用された証拠は確認されていない。研究結果は7月にセキュリティ学会DIMVAで発表される予定だ。ブラウザが高機能なアプリケーション基盤へ進化するなか、ストレージやI/Oといったハードウェアレベルの信号を悪用する新たなWeb追跡手法として警戒が必要になりそうだ。