오스트리아 보안 연구팀이 최신 논문에서 FROST(Fingerprinting Remotely using OPFS-based SSD Timing)라고 명명된 새로운 비대화형 공격을 공개했습니다. 이 공격은 악성 웹사이트가 소프트웨어를 설치하거나 사용자를 속여 링크를 클릭하게 할 필요 없이, 피해자 SSD의 데이터 읽기/쓰기 타이밍을 분석하여 다른 탭이나 다른 브라우저에서의 사용자 온라인 활동을 유추할 수 있게 합니다. 공격 원리는 다음과 같습니다. 악성 웹사이트가 브라우저의 OPFS(Origin Private File System) 인터페이스를 통해 SSD에 수 기가바이트 크기의 대용량 파일을 여러 개 기록하여 디스크 대역폭을 점유합니다. 동시에, 다른 사이트가 디스크에 임시 파일을 기록할 때 발생하는 마이크로초 단위의 타이밍 차이를 활용하여, 수집된 데이터를 머신러닝 모델로 분석합니다. 이를 통해 88.95%의 정확도로 사용자가 방문 중인 웹사이트를 추측하고, 95.83%의 정확도로 사용자가 사용 중인 로컬 애플리케이션을 식별할 수 있습니다. 연구진은 Mac 및 Linux 기기에서 실험 검증을 완료했으며, Windows 기기도 면역되지 않는다고 지적했습니다.
이 공격의 가장 우려되는 점은 브라우저 간 특성입니다. 공격 경로가 운영 체제 수준의 SSD 하드웨어를 거치기 때문에, 이론적으로 Chrome에서 실행되는 악성 웹사이트가 사용자의 Firefox 활동을 추적할 수 있어 브라우저의 샌드박스 격리 메커니즘을 완전히 우회합니다. 연구원 Hannes Weissteiner는 "원칙적으로 SSD 액세스를 안정적으로 생성할 수 있는 모든 시스템 활동을 사용하여 모델을 훈련할 수 있습니다"라고 말하며, 이는 공격 표면이 웹 브라우징에 훨씬 못 미친다는 것을 의미합니다. 현재 이에 대한 브라우저 패치는 없으며, 연구진은 사용자가 웹페이지를 떠난 후 즉시 해당 탭을 닫아 위험을 줄일 것을 권장합니다. 이 취약점을 근본적으로 해결하려면 브라우저 공급업체나 운영 체제 수준에서 OPFS의 대역폭 액세스에 대한 스로틀링 제한이 필요합니다.