Cukup buka satu halaman web, dan seseorang bisa tahu kamu pakai aplikasi apa, mengakses situs mana. Tanpa kamu klik apa pun.
Itulah inti temuan yang baru dirilis tim peneliti keamanan siber dari Austria, dan langsung bikin komunitas keamanan global gaduh. Metode yang mereka sebut FROST, singkatan dari fingerprinting remotely using OPFS-based SSD timing, mengeksploitasi sesuatu yang selama ini jarang dilirik sebagai vektor serangan: latensi waktu akses SSD.
Prinsip kerjanya elegan, dalam artian yang meresahkan. Saat beberapa program berjalan bersamaan dan berebut akses storage, SSD meninggalkan jejak berupa perbedaan waktu kecil yang bisa diukur. Skrip serangan yang tertanam di website jahat memanfaatkan fitur Origin Private File System (OPFS) lewat JavaScript untuk membuat file berukuran sangat besar, minimal 1 GB, di ruang penyimpanan terisolasi browser. File raksasa itu dibaca berulang-ulang, dan setiap pergeseran waktu yang terjadi direkam. Kalau ada tab lain atau aplikasi lain yang aktif menggunakan SSD yang sama, pola latensinya berubah. Perubahan itulah yang dianalisis.
Di sinilah peran AI masuk. Tim peneliti menggunakan convolutional neural network untuk menginterpretasikan pola latensi tersebut menjadi informasi konkret: situs apa yang sedang dibuka, aplikasi mana yang aktif. Hasilnya tidak main-main. Model mereka mampu memprediksi situs yang diakses pengguna dengan akurasi 88,95 persen, dan mendeteksi aplikasi yang berjalan dengan akurasi 95,83 persen. Angka yang, jujur saja, sulit dipercaya pertama kali membacanya.
Yang membuat FROST lebih berbahaya dari kebanyakan serangan browser adalah sifatnya yang cross-browser. Serangan ini bekerja di level perangkat keras, bukan di level software browser, sehingga aktivitas di Firefox bisa terpantau dari Chrome, atau sebaliknya. Ganti browser? Tidak membantu. Sifat no-interaction juga mempersempit ruang aman pengguna: tidak ada tautan mencurigakan yang harus diklik, tidak ada file yang perlu diunduh.
Apakah ini sudah dipakai di luar laboratorium? Belum ada indikasi ke sana. Para peneliti sendiri mengakui ada beberapa hambatan teknis yang membuat FROST sulit dioperasikan secara senyap di dunia nyata. Kebutuhan membuat file berukuran gigabyte berpotensi memicu peringatan storage penuh yang justru menarik perhatian pengguna. Pelacakan juga hanya berjalan jika aplikasi target berada di SSD fisik yang sama dengan browser penyerang. Pengujian baru dilakukan pada sistem Apple M2 dengan macOS dan Linux, belum menyentuh Windows, meski peneliti utama studi Hannes Weissteiner menegaskan bahwa pada prinsipnya, sistem operasi apa pun yang aktivitasnya secara andal menghasilkan akses SSD bisa jadi sasaran.
Solusi jangka pendek yang disarankan pun sederhana: tutup tab browser yang tidak lagi digunakan. Langkah sepele yang memutus akses website jahat ke SSD sebelum sempat mengumpulkan data dalam jumlah berarti. Tapi solusi permanen harus datang dari vendor browser. Tim peneliti secara eksplisit mendesak Google dan Microsoft untuk membatasi kapasitas penggunaan OPFS dan memperketat pemantauan pola akses storage yang tidak wajar.
FROST akan dipresentasikan secara resmi di konferensi keamanan siber DIMVA bulan Juli mendatang. Agaknya saat itulah tekanan terhadap vendor browser untuk bergerak akan makin keras. Pertanyaannya, seberapa cepat patch bisa keluar sebelum teknik ini kabur dari lingkungan riset.