Durante anos, o rastreamento online esteve associado a cookies, histórico de navegação, impressões digitais dos dispositivos, movimentos do rato ou teclas pressionadas. Agora, investigadores identificaram uma forma ainda mais discreta de espiar utilizadores: medir pequenas variações no tempo de resposta dos discos SSD. A ‘Wired’, num artigo publicado originalmente pela Ars Technica, explica que esta técnica pode permitir a um site perceber que outros sites estão abertos e até que aplicações estão a correr no dispositivo.
A técnica chama-se FROST, sigla de ‘fingerprinting remote using OPFS-based SSD timing’. Em termos simples, funciona como alguém que tenta perceber o que se passa numa casa ouvindo vibrações na parede. O site atacante não vê diretamente os outros separadores nem as aplicações abertas, mas consegue medir pequenas diferenças no tempo que o disco demora a responder a certas operações. A partir dessas diferenças, pode inferir atividade no computador.
O mecanismo explora aquilo que os especialistas chamam ‘canal lateral’. Ou seja, uma fuga indireta de informação. Em vez de roubar dados de forma direta, o atacante observa sinais físicos ou técnicos deixados por outras atividades: o tempo de execução de uma tarefa, o uso de memória, a competição por recursos ou, neste caso, a latência do SSD.
Segundo a ‘Wired’, o FROST pertence a uma categoria de ataques conhecida como ‘canal lateral de contenção’. A ideia é medir como vários processos competem pelo mesmo recurso. Quando diferentes separadores, sites ou aplicações usam o disco ao mesmo tempo, deixam pequenas marcas no tempo de resposta. Isoladamente, essas marcas não dizem muito. Mas, analisadas com modelos de inteligência artificial treinados para reconhecer padrões, podem revelar mais do que seria esperado.
Como é que um site consegue fazer isto?
A parte mais inquietante é que o ataque corre apenas dentro do browser. Não exige que o utilizador instale um programa, descarregue um ficheiro perigoso ou clique em algo suspeito. Basta abrir o site que aloja o código malicioso.
O FROST usa JavaScript e recorre ao OPFS, ou ‘origin private file system’, uma área de armazenamento reservada a cada site dentro do navegador. Esta funcionalidade existe para permitir que aplicações web modernas funcionem melhor, por exemplo editores de imagem, ferramentas de escritório, plataformas de vídeo ou ambientes de desenvolvimento que correm diretamente no browser.
Em princípio, cada OPFS está isolado, como se estivesse dentro de uma caixa separada dos outros sites e do próprio sistema do computador. O problema é que, mesmo sem aceder diretamente a dados externos, o JavaScript consegue medir tempos de leitura e escrita. E esses tempos podem mudar quando o disco está a ser usado por outras atividades.
Os investigadores explicam que o atacante pode fazer leituras aleatórias contínuas de um grande ficheiro OPFS. Quando o utilizador abre outros sites ou aplicações que também usam o SSD, a resposta a essas leituras sofre pequenas variações. Depois, uma rede neural previamente treinada analisa esses rastos e tenta classificar que tipo de atividade está a acontecer no dispositivo.
A comparação mais simples é a de uma fila de supermercado. Mesmo sem ver quem está à frente, é possível perceber que há mais gente na fila se o atendimento começar a demorar mais. O FROST faz algo semelhante, mas com o disco do computador.
O que pode ser descoberto?
Nos testes descritos, os investigadores conseguiram usar estas variações para identificar sites abertos noutros separadores, incluindo noutros browsers, e aplicações abertas no dispositivo. Ou seja, um site podia tentar perceber se o utilizador estava, ao mesmo tempo, a usar outra página ou determinado programa.
Isto não significa que o FROST permita ler passwords, mensagens privadas ou ficheiros pessoais. O risco é diferente: trata-se de uma forma de vigilância indireta, capaz de revelar hábitos, contexto e atividade do utilizador sem autorização clara.
É por isso que a descoberta é relevante. A web moderna transformou os browsers em plataformas muito poderosas. Hoje, já não servem apenas para abrir páginas. Correm aplicações completas, suites de escritório, editores de imagem e vídeo, ferramentas de trabalho e até software técnico. Quanto mais capacidades têm, maior fica também a superfície de ataque.
Como escrevem os autores do estudo, estas funcionalidades criaram novos casos de utilização, mas também aumentaram os riscos. O browser tornou-se uma porta de entrada para tarefas cada vez mais complexas, e isso abre espaço a formas de abuso que antes seriam difíceis de imaginar.
Há motivo para alarme?
Para o utilizador comum, há uma parte tranquilizadora: não há indícios de que o FROST já tenha sido usado em ataques reais. Trata-se, para já, de uma técnica demonstrada em investigação académica, que deverá ser apresentada na conferência DIMVA em julho.
Além disso, o ataque tem limitações importantes. Uma delas é o tamanho do ficheiro OPFS necessário. Para funcionar bem, terá provavelmente de ser muito grande, talvez com um gigabyte ou mais. Isso tornaria ataques em larga escala mais fáceis de detetar por utilizadores ou pelos próprios browsers.
Há ainda outro obstáculo: o ficheiro OPFS usado pelo site atacante precisa de estar guardado no mesmo SSD que as atividades que se pretende observar. Para detetar outros sites abertos, isso não costuma ser um problema, porque o armazenamento do browser tende a ficar no mesmo local. Mas, se uma aplicação estiver a usar outro disco, o FROST pode não conseguir identificá-la.
Os investigadores testaram o ataque completo num Mac com SSD M.2. Em Linux, demonstraram que o princípio de medição da latência do SSD através de JavaScript funciona, mas não executaram o ataque completo. O Windows não foi testado.
O que pode fazer para se proteger?
A recomendação mais simples é também uma das mais esquecidas: fechar separadores que já não estão a ser usados. Quanto menos atividade desnecessária estiver aberta no browser, menor é a quantidade de sinais que podem ser observados por técnicas deste género.
Utilizadores mais experientes podem ainda monitorizar a criação e o tamanho de ficheiros OPFS associados a sites desconhecidos. Mas, para a maioria das pessoas, a solução mais importante terá de vir dos fabricantes de browsers.
Os investigadores sugerem medidas como limitar o tamanho máximo permitido para estes ficheiros OPFS, reduzindo a capacidade de um site criar o tipo de carga necessária para medir a contenção no SSD. Na prática, cabe aos browsers fechar esta janela antes que deixe de ser apenas uma prova de conceito.
A grande lição do FROST é que a privacidade online já não depende apenas de esconder cookies ou apagar histórico. Num mundo em que o browser é quase um sistema operativo dentro do sistema operativo, até o tempo que o disco demora a responder pode transformar-se numa pista.
O utilizador pode não ver nada de estranho no ecrã. Mas, nos bastidores, um site malicioso pode estar a tentar ouvir os pequenos atrasos do computador para perceber o que mais está a acontecer. É uma forma de espionagem silenciosa, técnica e ainda limitada. Mas mostra como a guerra pela privacidade digital continua a encontrar caminhos cada vez mais invisíveis.
