연구진, 브라우저 API를 통한 SSD 활동 측정으로 브라우징 감시 가능하다고 발표 — FROST 공격은 권한이나 사용자 상호작용 없이도 사용

오스트리아 Graz 공과대학교 (Graz University of Technology)의 보안 연구진은 표준 브라우저 샌드박스 (sandbox) 내부의 JavaScript를 통해 SSD 액세스 지연 시간 (latency)을 측정함으로써, 방문자가 열어둔 다른 사이트와 앱이 무엇인지 악성 웹사이트가 식별할 수 있게 하는 사이드 채널 공격 (side-channel attack)에 관한 논문을 발표했습니다. FROST (Fingerprinting Remotely using OPFS-based SSD Timing)라고 불리는 이 기술은 테스트용 Mac에서 방문한 웹사이트를 약 89%의 정확도로, 실행 중인 애플리케이션을 약 96%의 정확도로 정확히 식별해냈습니다. 이 공격은 피해자가 공격자의 페이지를 방문하는 것 외에는 아무것도 필요로 하지 않으며, 다양한 브라우저에서 작동합니다.

FROST는 웹사이트가 사용자의 로컬 디스크에 권한 요청 없이 파일을 생성하고 저장할 수 있게 해주는 브라우저 API인 OPFS (Origin Private File System)를 악용합니다. 이전에 우리가 보았던 SSD 사이드 채널 공격들은 권한이 있는 커널 인터페이스 (kernel interfaces)를 통해 실행되는 네이티브 코드가 필요했지만, FROST는 그 요구 사항을 제거했습니다.

연구팀은 자신들의 연구 결과를 Google, Apple, Mozilla에 공개했습니다. Google은 핑거프린팅 (fingerprinting)을 보안 취약점으로 간주하지 않는다고 밝혔으며, Apple은 이 공격을 "현재 범위 외 (out of scope)"라고 불렀고, Mozilla는 수정 사항을 구현하지 않은 채 연구 결과를 인정했습니다.

이 공격은 피해자의 SSD에 대용량 OPFS 파일을 생성합니다. Chrome과 Safari 모두 OPFS를 통해 웹사이트가 전체 디스크 공간의 최대 60%를 점유할 수 있도록 허용하며, 이는 256GB 드라이브의 경우 150GB가 넘는 용량입니다. 파일은 시스템의 가용 RAM (RAM) 용량을 초과해야 하며, 그래야만 모든 4 KB 무작위 읽기 (random read)가 운영체제(OS)의 페이지 캐시 (page cache)가 아닌 SSD에 직접 접근하게 됩니다. 다른 활동이 자체적인 디스크 I/O를 생성하면 공격자의 읽기 작업에서 측정 가능한 지연 시간 급증 (latency spikes)이 발생하며, 이러한 타이밍 패턴은 I/O 시그니처 (I/O signatures)를 통해 특정 웹사이트와 애플리케이션을 인식하도록 훈련된 합성곱 신경망 (convolutional neural network, CNN)에 입력됩니다.

경합 (contention)이 스토리지 수준에서 발생하기 때문에, 이 공격은 브라우저를 가로질러 작동합니다. 피해자가 Safari를 사용하는 동안 공격자 페이지를 Chrome에서 실행했을 때, 동일 브라우저 공격과 비교하여 처리량 (throughput) 차이는 단 3.38%에 불과했습니다.

전체 핑거프린팅 (fingerprinting) 공격은 8GB RAM과 256GB SSD를 탑재한 M2 Mac Mini에서만 테스트되었습니다. Linux 환경에서 연구진은 브라우저로부터 SSD 지연 시간 (latency)을 측정할 수 있음을 확인했으나, 전체 핑거프린팅 분류 (classification)를 실행하지는 않았으며, Windows는 전혀 테스트되지 않았습니다. 또한 OPFS 파일은 모니터링 대상 활동과 동일한 물리적 SSD에 존재해야 하는데, 이는 멀티 드라이브 워크스테이션 (multi-drive workstations)에서는 보장되지 않습니다.

이 공격의 가장 큰 장벽은 단연 거대한 파일 크기입니다. 대부분의 사람들은 수십 또는 수백 기가바이트의 용량이 갑자기 사라지는 것을 알아차릴 것입니다. 하지만 연구진은 OPFS 파일 크기를 시스템 메모리 내에 맞도록 제한하거나, OPFS 파일 생성에 대한 명시적인 권한을 요구하는 등의 완화 조치 (mitigations)를 제안합니다. Google이 핑거프린팅을 보안 문제로 분류하지 않는다는 점을 고려할 때, 가까운 시일 내에 브라우저 수준의 수정이 이루어질 가능성은 낮습니다.

Tom's Hardware의 최고의 뉴스 및 심층 리뷰를 편지함으로 직접 받아보세요.

Tom's Hardware를 Google 뉴스에서 팔로우하거나, 즐겨찾는 소스로 추가하여 최신 뉴스, 분석 및 리뷰를 피드에서 받아보세요.

Luke James는 프리랜서 작가이자 저널리스트입니다. 법률 분야의 배경을 가지고 있지만, 기술의 모든 것, 특히 하드웨어와 마이크로일렉트로닉스 (microelectronics), 그리고 규제와 관련된 모든 것에 개인적인 관심을 가지고 있습니다.