Un script JavaScript tout simple peut désormais trafiquer votre SSD sans que vous ne vous en aperceviez. Cette technique innovante analyse les latences de lecture pour déduire quels sites et applications vous avez ouverts. En un claquement de doigts, vos onglets et activités se retrouvent exposés, sans aucun avertissement ni permission.
Ce scénario, appelé FROST par ses auteurs, exploite l’Origin Private File System, un espace local réservé aux fichiers du navigateur. Pas besoin d’installation ni de vulnérabilité particulière ! Ça fait froid dans le dos.
Un visage discret du pistage numérique qui met à mal notre idée même de confinement entre onglets. La protection supposée de nos navigations est en réalité un leurre, un peu comme penser verrouiller une porte alors que la fenêtre reste grande ouverte.
Comment un script minimaliste peut-il révéler toutes vos activités sur un SSD ?
À la base, le navigateur propose un système local, OPFS, pour enregistrer des fichiers sans demander d’autorisation. Un outil pratique, non ? Les chercheurs autrichiens du projet FROST ont créé un script JavaScript qui stocke un gros fichier dans cet espace puis effectue en boucle des lectures aléatoires.
Chaque sollicitation du SSD par d’autres programmes ralentit légèrement ces lectures. Ce ralentissement est infime, mesurable en microsecondes seulement. Mais un bon algorithme ne manque rien : en analysant ces variations de latence, il en déduit à quelle application appartient chaque accès.
Le tout fonctionne en temps réel, offrant une « empreinte digitale » du SSD qui révèle vos onglets ouverts, même sur d’autres navigateurs. C’est une nouvelle ère du suivi numérique, plus insidieuse et difficile à détecter.
Une attaque silencieuse, aucun avertissement, aucun logiciel installé
FROST ne demande aucune interaction de l’utilisateur. Pas d’installation à faire, pas de fenêtres pop-up agaçantes. Un script caché dans une page web suffit pour lancer cette surveillance. Vous pensez surfer paisiblement, mais en coulisses, votre SSD est pisté.
Cette méthode ne crée aucune trace classique d’intrusion. Pas de fichiers suspects laissés sur la machine ni de processus lourd à détecter. Son exécution est invisible, comme mesurer la longueur d’un champ à la précision du centimètre avec un pas de géant.
Impacts et limites de ce nouveau type d’espionnage via SSD
Jusqu’à présent, les techniques de pistage comme le fingerprinting se concentraient surtout sur la reconnaissance des appareils. FROST va plus loin : c’est une surveillance active des interactions.
Concrètement, cela signifie que le cloisonnement des onglets dans votre navigateur, conçu pour vous protéger, est complètement réduit à néant. Vos activités, même dans d’autres onglets, peuvent être scrutées et déduites.
Pour l’heure, cette attaque a été testée avec succès sous macOS équipé de puces M2 et sur Linux. Par contre, Windows, avec son immense part de marché, n’a pas encore été étudié. Si les systèmes réputés plus sécurisés tombent, difficile de parier sur la robustesse de Windows dans ce contexte.
Des menaces qui obligent à repenser la sécurité navigateur et système
Cette découverte force à revoir la manière dont le stockage local est protégé. Les navigateurs ne préviennent pas quand un site utilise l’OPFS ainsi. C’est comme prêter les clés de votre maison à un inconnu sans le savoir.
Les développeurs doivent trouver des contre-mesures pour limiter ce genre de collecte. Le navigateur devrait pouvoir détecter et signaler le comportement suspect. Sans quoi, vous naviguez sur un océan où des filets invisibles suivent chacun de vos gestes.
Un groupe de recommandations pour limiter ce genre de fuite via SSD
- Sécuriser et restreindre l’accès à l’Origin Private File System dans les navigateurs
- Mieux cloisonner les processus pour que les latences SSD ne donnent aucun indice exploitables
- Surveiller et limiter les fréquentes lectures/écritures dans des espaces locaux web
- Utiliser des outils de protection et extension pour renforcer la confidentialité numérique
- Conserver ses systèmes à jour face aux dernières failles découvertes
Pour aller plus loin, cet article détaillé présente le phénomène et les implications techniques de FROST. Un script minimaliste révèle vos onglets ouverts en un clin d’œil. Il n’y a pas de fumée sans feu, et dans ce cas, la fumée est bien visible.
Une autre alerte récente souligne une vaste opération d’espionnage qui a siphonné les données de millions d’utilisateurs, touchant Chrome, Edge et Firefox. Ce piratage massif et ses conséquences ne doivent pas être pris à la légère.
Qu’est-ce que l’Origin Private File System (OPFS) ?
L’OPFS est une interface web qui permet à un site de stocker des fichiers localement sur votre disque SSD sans demander de permissions explicites. C’est utile pour accélérer les opérations, mais ça s’avère une porte ouverte à des attaques comme FROST.
Comment ce script mesure-t-il les latences SSD ?
Le script crée en continu des lectures aléatoires sur un fichier volumineux stocké en local. Lorsqu’un autre programme sollicite le SSD, les temps de lectures fluctuent très légèrement, indiquant une activité concurrente détectable.
Est-ce que FROST fonctionne sur tous les systèmes ?
Actuellement testé sur macOS avec puces M2 et Linux, l’attaque n’a pas encore été validée sur Windows. Cependant, sa réussite sur des OS réputés solides laisse craindre une adaptation rapide sur d’autres plateformes.
Comment éviter d’être espionné par ce genre de technique ?
Limiter l’usage de navigateurs non sécurisés, utiliser des extensions de confidentialité, et surtout maintenir vos navigateurs et systèmes à jour. Enfin, évitez de garder trop d’onglets ouverts inutilement, une vieille astuce toujours valable !
Le cloisonnement des onglets est-il still efficace ?
Cette méthode montre clairement que le cloisonnement dans le navigateur n’est pas infaillible. Votre SSD peut trahir vos activités même si vos onglets sont isolés. Les protections doivent évoluer en tenant compte de ce nouvel angle d’attaque.
Source: www.clubic.com