FROST : le navigateur peut espionner votre SSD grâce à JavaScript

Une nouvelle étude baptisée « FROST » montre que, sans autorisation spéciale, une page web peut déduire l’activité d’un SSD en mesurant le temps de quelques appels JavaScript qui déclenchent des lectures. Cette technique exploite les variations de latence du cache SSD mesurées grâce à des chronomètres haute résolution. Le procédé consiste à envoyer des requêtes de lecture vers des chemins de fichier arbitraires via l’API d’accès au système de fichiers, puis à enregistrer le temps écoulé pour chaque appel. La latence du SSD varie selon la présence de données dans son cache interne, ce qui crée un motif temporel pouvant identifier quels fichiers ont été consultés, voire la présence de blocs de données spécifiques, sans jamais extraire les données elles‑mêmes, et peut être exécuté sans interaction utilisateur. Cette découverte soulève d’importantes questions de confidentialité : même si aucune donnée n’est volée, le profil de navigation peut être reconstitué, révélant l’accès à des documents sensibles, à des identifiants ou à des contenus chiffrés, et facilitant ainsi la surveillance ciblée ou la personnalisation agressive des publicités, et pourrait être combinée avec d’autres télémesures pour créer des profils d’utilisateurs détaillés en temps réel, rendant l’attaque discrète et difficile à détecter. Historiquement, les attaques par canal auxiliaire visent les processeurs ou les réseaux, mais les SSD conservent des données persistantes qui peuvent être interrogées indirectement. FROST prolonge les travaux antérieurs sur les timing‑side‑channel en JavaScript, démontrant que le navigateur peut désormais surveiller le comportement d’un dispositif de stockage autrefois considéré comme opaque et challenge les hypothèses selon lesquelles les navigateurs sandboxés isolent les applications des métriques système de bas niveau dans des environnements réels. À l’avenir, les navigateurs devront durcir l’accès aux timers haute résolution et limiter la précision des API de lecture de fichiers. Les utilisateurs, de leur côté, devront envisager des conteneurs chiffrés ou des SSD dédiés à la confidentialité, tandis que législateurs et régulateurs devront réévaluer les cadres de protection des données face à cette nouvelle forme d’espionnage matériel et promouvoir de nouvelles normes.