Pesquisadores descobrem método para monitorar PCs através do SSD

Desquisidores da Universidade Técnica de Graz desenvolveram uma metodologia de ataque por canal lateral capaz de monitorar a atividade local de um computador por meio da medição das variações de latência de uma unidade de armazenamento SSD. O mecanismo, batizado de FROST (sigla em inglês para Fingerprinting Remotely using OPFS-based SSD timing), explora a interface de programação Origin Private File System (OPFS) integrada aos navegadores web. Um script em JavaScript malicioso gera um arquivo temporário com volume superior a 1 GB nesse espaço de arquivamento virtual para executar requisições de leitura aleatória em loop contínuo, interceptando as micro-operações do sistema sem necessitar de permissões administrativas.

A carga de trabalho gerada por outras abas abertas ou aplicativos em execução no computador reduz a velocidade de acesso ao suporte de hardware em frações de microssegundos. O atacante transmite essas flutuações temporais para uma rede neural convolucional (CNN) treinada para identificar a pegada digital dos softwares e sites ativos. Os testes de validação técnica foram conduzidos de forma completa em um computador Mac equipado com o chip M2, além do sistema operacional Linux. A eficiência do procedimento depende da instalação dos softwares alvos na mesma unidade de armazenamento físico utilizada pelo navegador web.

Os protocolos de mitigação e o quadro regulatório europeu

A neutralização dessa vulnerabilidade de hardware impõe restrições de uso ou modificações de configuração no navegador. A rotina de fechar sistematicamente as abas inativas reduz a superfície de observação explorável pelo algoritmo de aprendizado profundo. A desativação completa da interface OPFS nos parâmetros avançados bloqueia o vetor de ataque, embora essa ação técnica restrinja a compatibilidade operacional de aplicações web complexas. O uso do navegador Tor Browser limita o acesso às interfaces de programação requisitadas para iniciar as sequências de leitura.

A extração de dados comportamentais pela análise das latências físicas entra no escopo do Regulamento Geral sobre a Proteção de Dados (RGPD) e da diretiva ePrivacy. O artigo 5 do RGPD define as regras para a lealdade do tratamento das informações, enquanto o artigo 5.3 da diretiva ePrivacy regula o acesso aos dados armazenados no equipamento terminal do usuário. A Comissão Nacional de Informática e Liberdades (CNIL) qualifica os métodos de rastreamento por impressão digital como técnicas de monitoramento sujeitas à obtenção de consentimento prévio. Os resultados detalhados da pesquisa científica serão apresentados durante a conferência DIMVA no início do mês de julho de 2026.

Você também deve ler!

Os preços de unidades de SSDs e HDs continuam subindo na Europa