Ricercatori della Graz University of Technology hanno scoperto un nuovo metodo di fingerprinting chiamato FROST (Fingerprinting Remotely using OPFS-based SSD Timing), che permette a una pagina web di profilare l'utente analizzando i tempi di risposta del suo SSD. L'attacco avviene interamente nel browser, tramite JavaScript, sfruttando OPFS (Origin Private File System), una funzionalità legittima che consente ai siti di memorizzare dati locali per applicazioni come editor online o giochi.

FROST crea un grande file in OPFS e ne misura i tempi di lettura. Quando l'utente apre altre app o siti che accedono allo stesso SSD, le variazioni di prestazione vengono rilevate e analizzate con una rete neurale. In scenari sperimentali su macOS, FROST ha identificato correttamente i siti visitati nell’88,95% dei casi e le applicazioni aperte nel 95,83% dei casi.

Nonostante non acceda direttamente ai file, l’attacco rappresenta un rischio per la privacy, poiché può rivelare abitudini, orari e strumenti di lavoro. I ricercatori hanno segnalato il problema a Google, Mozilla e Apple, ma le contromisure potrebbero danneggiare funzionalità legittime. Al momento, non ci sono attacchi attivi noti, ma la semplice chiusura delle schede non utilizzate è consigliata.