Les sites web ont toujours cherché à en savoir le plus possible sur leurs visiteurs. Cookies, empreintes numériques du navigateur, suivi des mouvements de souris : les techniques ne manquent pas. Meta et Yandex se sont retrouvés sous le feu des critiques pour des pratiques de collecte de données particulièrement intrusives.
Quand le SSD parle un peu trop
Une équipe de chercheurs de l’Université de technologie de Graz (Autriche) vient de dévoiler une nouvelle méthode qui risque de faire lever quelques sourcils. Son nom : FROST, pour « Fingerprinting Remotely using OPFS-based SSD Timing ». Derrière cet acronyme un peu glacial se cache une idée étonnante : utiliser l’activité du SSD d’un ordinateur pour en apprendre davantage sur ce que fait son propriétaire.
La technique repose sur ce que les spécialistes appellent un « canal auxiliaire » (side channel). Plutôt que d’accéder directement à une information, on observe des indices indirects. Ici, les chercheurs surveillent le temps nécessaire à certaines opérations de lecture sur le SSD.
L’idée est que toutes les applications ouvertes sur un ordinateur se disputent les ressources du stockage. Cette petite compétition laisse des traces mesurables. En étudiant ces variations de temps d’accès, il devient possible d’identifier certaines activités en cours. Le plus surprenant est que tout cela peut être réalisé depuis une simple page web. Aucun téléchargement, aucune extension, aucun clic particulier n’est nécessaire : il suffit qu’un utilisateur visite un site intégrant le code de l’attaque.
Pour parvenir à ses fins, FROST exploite l’OPFS (Origin Private File System), un espace de stockage local dont disposent les sites web modernes. Les navigateurs utilisent cette technologie pour faire fonctionner des applications toujours plus complexes directement dans le navigateur, qu’il s’agisse de suites bureautiques, d’éditeurs vidéo ou même d’environnements de développement.
Les chercheurs ont ensuite confié les données récoltées à un réseau neuronal entraîné à reconnaître différents schémas d’activité. Résultat : le système est capable de deviner quels sites sont ouverts dans d’autres onglets, y compris lorsqu’ils tournent dans un navigateur différent. Il peut également identifier certaines applications exécutées sur l’ordinateur.
Avant de céder à la paranoïa, plusieurs limites importantes doivent être soulignées. D’abord, FROST nécessite la création d’un énorme fichier local, potentiellement supérieur à un gigaoctet. Une opération suffisamment visible pour attirer l’attention de nombreux utilisateurs ou logiciels de sécurité. Ensuite, le fichier doit se trouver sur le même SSD que les applications ciblées, ce qui réduit certains scénarios d’attaque. Par ailleurs, les chercheurs n’ont observé aucun usage réel de cette technique dans la nature. Il s’agit avant tout d’une démonstration académique destinée à mettre en lumière une faiblesse potentielle des navigateurs modernes.
🟣 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google et sur notre canal WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.
