SSD'ler veri sızdırıyor olabilir!

Avusturyalı araştırmacılar, internet kullanıcılarının çevrim içi aktivitelerini izlemek için kullanılabilecek yeni bir yöntem keşfetti. FROST adı verilen teknik, tarayıcı üzerinden SSD erişim sürelerini analiz ederek cihazda çalışan uygulamalar ve açık sekmeler hakkında bilgi toplayabiliyor.

SSD etkinliğini izliyor

FROST, "Fingerprinting Remotely using OPFS-based SSD Timing" ifadesinin kısaltması olarak kullanılıyor. Yöntem, doğrudan verilere erişmek yerine sistem davranışlarını analiz eden "yan kanal saldırıları" kategorisinde yer alıyor. Araştırmacıların geliştirdiği yöntemde saldırganlar, tarayıcı içerisinde çalışan JavaScript kodları aracılığıyla Origin Private File System (OPFS) özelliğini kullanıyor.

OPFS normalde web uygulamalarına izole depolama alanı sağlamak için geliştirilmiş bir teknoloji olsa da, SSD donanımını diğer uygulamalarla ortak kullanması nedeniyle yeni bir güvenlik riski ortaya çıkarıyor. Saldırı sırasında tarayıcı büyük bir dosya oluşturuyor ve bu dosya üzerinde sürekli okuma işlemleri gerçekleştiriyor.

SSD'nin aynı anda başka uygulamalar veya sekmeler tarafından kullanılması durumunda erişim gecikmeleri değişiyor. Bu gecikmeler ise zaman içinde belirli kalıplar oluşturuyor. Araştırmacılar daha sonra bu verileri bir yapay zekâ modeliyle analiz ediyor. Eğitilen sinir ağı, belirli gecikme desenlerini farklı kullanıcı aktiviteleriyle eşleştirebiliyor. Böylece cihazda hangi web sitelerinin açık olduğu veya hangi tür uygulamaların çalıştığı tahmin edilebiliyor.

Tarayıcı alışkanlıklarını analiz ediyor

Çalışmanın dikkat çeken yönlerinden biri, yöntemin farklı tarayıcılar arasında da işe yarayabilmesi oldu. Bu durum, elde edilen sinyallerin belirli bir tarayıcıdan değil doğrudan sistemdeki SSD kullanımından kaynaklandığını gösteriyor. Araştırmacılar sistemi Apple tarafından geliştirilen M2 işlemcili cihazlarda tam kapsamlı olarak test etti. Linux sistemlerde yapılan denemelerde de benzer sonuçlar elde edildi. Ancak yöntemin Windows platformundaki performansı henüz doğrulanmış değil.

Bununla birlikte saldırının bazı önemli sınırlamaları bulunuyor. Öncelikle yöntemin çalışabilmesi için tarayıcı üzerinde en az 1 GB büyüklüğünde bir dosya oluşturulması gerekiyor. Bu durum kullanıcıların dikkatini çekebilir veya tarayıcı tarafından depolama uyarıları gösterilebilir. Ayrıca izlenmek istenen uygulamaların ve tarayıcının aynı fiziksel SSD üzerinde çalışması gerekiyor. Farklı depolama birimlerinde çalışan uygulamalar bu yöntemle tespit edilemiyor.

Şu an için FROST'un gerçek dünyada kullanıldığına dair herhangi bir bulgu bulunmuyor. Araştırmacılar ise, tarayıcı geliştiricilerinin OPFS kullanımına daha sıkı sınırlar getirmesi veya olağan dışı depolama erişimlerini izleyerek bu tür saldırıların önüne geçebileceğini düşünüyor. FROST ile ilgili teknik detayların Temmuz ayında düzenlenecek DIMVA 2026 etkinliğinde paylaşılması bekleniyor.