SSD-Timing-Analyse: Wie Websites heimlich Nutzeraktivitäten ausspionieren

Mit der stetigen Weiterentwicklung von Tracking-Technologien wird die Privatsphäre im Netz zunehmend herausgefordert. Lange Zeit nutzten Websites Methoden wie Browserverlaufs-Analysen, Gerätefingerprints oder sogar die Aufzeichnung von Tastatureingaben und Mausbewegungen, um Nutzer zu überwachen. Jüngst gerieten sogar Tech-Giganten wie Meta und Yandex in die Kritik, weil sie Android-Nutzer durch die De-Anonymisierung von Web-Identifikatoren nachverfolgen konnten. Nun präsentieren Sicherheitsexperten eine noch subtilere Methode: die Analyse von SSD-Aktivitätsmustern.

Der FROST-Angriff: SSD-Operationen als Datenschwachstelle

Forscher des Graz University of Technology haben eine Technik namens FROST (Fingerprinting Remotely Using OPFS-based SSD Timing) entwickelt, die es Websites ermöglicht, Aktivitäten auf dem Endgerät eines Nutzers auszuspähen. Der Angriff nutzt die Seiteneffekte des SSD-Zugriffs aus – konkret die Kollisionszeiten beim gleichzeitigen Betrieb mehrerer Anwendungen. Da SSDs auf Speicherzellen zugreifen, die für gleichzeitige Lese- und Schreiboperationen konkurrieren, entstehen messbare Verzögerungen. Diese können von einer Website erfasst werden, wenn ein Nutzer über das Origin Private File System (OPFS) im Browser auf die SSD zugreift.

Die Methode funktioniert so:

• Eine Website lädt ein Skript, das wiederholt kleine Dateien über OPFS liest.
• Gleichzeitig führt der Nutzer auf seinem Gerät andere Anwendungen aus, die ebenfalls auf die SSD zugreifen.
• Die daraus resultierenden Verzögerungen bei den Leseoperationen werden von der Website analysiert.
• Durch Mustererkennung lassen sich Rückschlüsse auf die aktuell geöffneten Programme oder sogar den Browserverlauf ziehen.

Seitliche Angriffe: Wenn Hardware zur Sicherheitslücke wird

FROST basiert auf einem seitlichen Angriff (Side-Channel-Angriff), bei dem physikalische Eigenschaften wie Energieverbrauch, Cache-Nutzung oder – in diesem Fall – Zugriffszeiten ausgenutzt werden, um sensible Daten abzuleiten. Solche Angriffe sind besonders tückisch, da sie oft ohne direkte Berechtigung des Nutzers auskommen. Selbst wenn ein Browser in einem Privatfenster läuft oder der Nutzer ein VPN nutzt, kann die SSD-Aktivität weiterhin analysiert werden.

Bisher galt OPFS als sicherer Kanal für den Zugriff auf die lokale SSD, da es Sandboxing-Maßnahmen bietet. Doch die Forscher zeigen, dass selbst diese Isolation umgangen werden kann, indem die zeitlichen Muster der SSD-Operationen überwacht werden. Die Studie belegt, dass sich damit nicht nur die Nutzung bestimmter Websites, sondern auch die Aktivität in lokalen Anwendungen nachverfolgen lässt.

Schutzmaßnahmen: Wie Nutzer und Entwickler reagieren können

Die Entdeckung von FROST unterstreicht einmal mehr, wie wichtig mehrschichtige Sicherheitsansätze sind. Für Nutzer empfiehlt es sich:

• Regelmäßige Updates von Betriebssystemen und Browsern durchzuführen, da Hersteller oft Patches gegen neue Angriffsvektoren bereitstellen.
• Privacy-Erweiterungen wie uBlock Origin oder Privacy Badger zu nutzen, um das Auslesen von SSD-Aktivitäten zu erschweren.
• Sandboxing-Funktionen zu aktivieren, um den Zugriff von Websites auf lokale Ressourcen weiter einzuschränken.

Entwickler von Browsern und SSD-Hersteller stehen vor der Herausforderung, OPFS und ähnliche APIs künftig robuster gegen seitliche Angriffe zu gestalten. Mögliche Lösungen umfassen:

• Rauschgeneratoren, die die Zugriffsmuster unkenntlich machen.
• Zeitliche Zufallsverzögerungen bei SSD-Operationen, um Rückschlüsse zu erschweren.
• Striktere Sandboxing-Mechanismen, die den Zugriff auf Hardware-Ressourcen weiter begrenzen.

Fazit: Die Grenzen der digitalen Privatsphäre werden neu verhandelt

Die FROST-Technik ist ein weiteres Beispiel dafür, wie Angreifer bestehende Sicherheitsarchitekturen aushebeln, indem sie unbeabsichtigte Seiteneffekte ausnutzen. Während SSDs und moderne Browser-Architekturen zunächst als sicher galten, zeigt sich, dass neue Angriffsvektoren immer wieder entdeckt werden. Nutzer und Entwickler müssen gemeinsam daran arbeiten, solche Lücken zu schließen – bevor sie von Akteuren mit fragwürdigen Absichten missbraucht werden. Bis dahin bleibt die digitale Privatsphäre ein ständiger Wettlauf zwischen Innovation und Schutz.