Imaginez qu'en ouvrant simplement un onglet dans votre navigateur , un site web malveillant puisse commencer à espionner les pages que vous consultez ou les applications que vous utilisez, sans rien installer sur votre ordinateur et sans demander d'autorisation particulière. C'est précisément ce qu'exploite FROST, un nouveau type d'attaque par canal auxiliaire qui transforme votre SSD en une source d'informations sur votre activité.
Bien que cela puisse paraître de la science-fiction, l'attaque FROST est une véritable démonstration de faisabilité, développée par des chercheurs de l'Université de technologie de Graz (Autriche). Son objectif n'est pas tant de voler des fichiers que d'exploiter le comportement physique des SSD et une fonction légitime du navigateur pour reconstituer vos habitudes de navigation et d'utilisation des applications. Cette attaque s'avère particulièrement efficace sur les Mac équipés de SSD.
Qu'est-ce qu'une attaque FROST : concept et origine
FROST ( Fingerprinting Remotely using OPFS-based SSD Timing ) est une technique permettant d'« identifier » à distance un système en mesurant les temps d'accès SSD via OPFS, une fonctionnalité des navigateurs modernes. L'attaque est exécutée exclusivement depuis le navigateur, à l'aide de code JavaScript intégré à une page web contrôlée par l'attaquant.
Ces travaux ont été réalisés par une équipe de chercheurs de l'Université de technologie de Graz , réputée pour son expertise en cybersécurité et en recherche sur les attaques par canaux auxiliaires. Leur objectif n'est pas de lancer une attaque massive aujourd'hui, mais plutôt de démontrer l'existence d'une surface d'attaque réelle et largement inexplorée dans les SSD modernes, lorsqu'ils sont utilisés conjointement avec les API de stockage des navigateurs.
Lors des tests publiés, FROST a pu identifier les pages visitées par les utilisateurs avec une précision d'environ 89 %, atteignant jusqu'à 96 % sur Mac. Sur Windows, l'efficacité était nettement inférieure, mais suffisante pour démontrer que l'approche par canal auxiliaire fonctionne sur plusieurs plateformes.
Un point essentiel est qu'aucune installation de logiciel malveillant classique n'est nécessaire : l'utilisateur doit simplement se rendre sur un site web qui exécute du code JavaScript malveillant. Dès lors, le site peut commencer à surveiller le comportement du SSD et envoyer les données au serveur de l'attaquant pour analyse.
Qu’est-ce qu’une attaque par canal auxiliaire et en quoi FROST est-il différent ?
En cybersécurité, une attaque par canal auxiliaire désigne toute technique permettant d'obtenir des informations non pas par le canal de données officiel, mais par des effets secondaires physiques ou temporels d'un système. Au lieu de lire directement un fichier ou d'analyser un paquet réseau, l'attaquant examine les variations de consommation électrique, de rayonnement électromagnétique, de chaleur, le clignotement d'une LED ou la latence d'accès d'un composant.
Parmi les exemples classiques, on peut citer les techniques de déduction de clés cryptographiques par l'observation de la consommation électrique d'une puce, les méthodes utilisant le bruit électromagnétique pour reconstituer l'activité d'un moniteur, ou encore les expériences exploitant le capteur optique d'une souris pour capturer les vibrations sonores d'une pièce. Toutes ces techniques reposent sur une idée commune : un système filtre, par son comportement physique, plus d'informations qu'il n'en faut.
Cette famille d'attaques comprend les attaques par canal auxiliaire basées sur la contention . Le principe est simple : plusieurs processus se disputent une même ressource partagée (CPU, cache, mémoire, bus, disque), et les variations de temps d'accès révèlent quels autres processus utilisent cette ressource. FROST appartient parfaitement à cette catégorie, utilisant la bande passante du SSD comme ressource en conflit.
Jusqu'à présent, les travaux sur l'architecture des canaux auxiliaires se sont principalement concentrés sur les processeurs, les caches et la mémoire , nécessitant souvent l'exécution de code local avec certains privilèges. La particularité de FROST réside dans l'application de ce concept au stockage SSD, réduisant ainsi les exigences à une opération aussi simple que l'ouverture d'une page web avec JavaScript activé.
Des études antérieures (par exemple, une recherche publiée en 2025) ont montré que les SSD pouvaient être utilisés comme canaux auxiliaires , mais elles impliquaient l'exécution de deux programmes locaux sur la même machine : l'un comme émetteur et l'autre comme récepteur. Cette méthode est utile en laboratoire, mais irréaliste pour un attaquant réel qui ne dispose pas déjà de la machine compromise.
Comment FROST fonctionne en interne : du SSD au navigateur
Pour comprendre FROST, imaginez que le SSD contienne un fichier volumineux rempli de données aléatoires . Un processus lit en continu des portions de ce fichier et mesure précisément le temps de réponse du SSD à chaque lecture. Si d'autres applications lisent ou écrivent simultanément sur le disque, le temps de réponse augmente légèrement.
Ces variations de latence, en apparence insignifiantes, révèlent un schéma d'activité très précis . Lorsqu'une page web complexe se charge, qu'une application de bureau s'ouvre ou qu'un jeu démarre, le système génère des accès disque spécifiques qui, répétés de nombreuses fois, constituent une sorte d'« empreinte numérique » de cette action.
Dans cette étude, les chercheurs ont généré des graphiques de latence associés à des sites et applications spécifiques , notamment des sites web populaires et des applications locales (par exemple, l'ouverture d'un autre navigateur, le lancement d'un éditeur, etc.). Ils ont constaté que ces modèles étaient suffisamment stables pour identifier les applications exécutées sur l'ordinateur et restaient même relativement similaires d'une machine à l'autre, comme un PC Linux et un Mac Mini.
Le schéma général de l'attaque est le suivant : un catalogue d'empreintes numériques de différentes applications et sites web est constitué ; ensuite, lorsqu'un utilisateur visite une page malveillante, les délais du SSD sont mesurés en temps réel ; enfin, les mesures sont comparées au catalogue pour déduire quels sites et programmes l'utilisateur utilise.
La question cruciale est la suivante : comment mettre en place cette fonctionnalité de surveillance depuis un simple navigateur sans compromettre l’isolation entre les sites web ? C’est là qu’intervient le système de fichiers privé d’origine (OPFS).
Quel est le rôle d'OPFS et pourquoi les SSD sont-ils essentiels ?
OPFS, abréviation d' Origin Private File System , est une API de navigateur moderne conçue pour les applications web avancées nécessitant des opérations de lecture et d'écriture performantes sur des fichiers locaux. Elle constitue la base des logiciels de montage vidéo en ligne, des outils de retouche photo et des jeux web, leur permettant de gérer d'importants volumes de données sans latence.
L'idée derrière OPFS est d'attribuer à chaque origine (chaque site web) un espace de stockage privé et isolé sur l'appareil de l'utilisateur. Logiquement, cet espace est distinct du système de fichiers traditionnel et des autres sites web ; un site web ne peut donc pas accéder aux données stockées par un autre. Physiquement, cependant, toutes ces données sont finalement écrites sur le même SSD.
FROST exploite précisément cette faille : un site web malveillant peut utiliser OPFS pour créer son propre système de fichiers au sein du SSD et le saturer d’opérations de lecture et d’écriture sur un fichier de test. En mesurant en continu le temps nécessaire au navigateur pour effectuer ces opérations, le site web obtient une séquence détaillée de latences qui reflète l’activité du disque à chaque instant.
Lors de leurs tests, les chercheurs ont observé que, pour que l'attaque soit efficace, le site web malveillant doit surveiller le SSD pendant une période prolongée afin de capter les brefs instants où d'autres sites se chargent ou des applications s'ouvrent. Chacune de ces fenêtres ne dure qu'une fraction de seconde, mais laisse une signature identifiable dans le signal de latence.
Pour exploiter pleinement la capacité de canal auxiliaire, l'étude a poussé le test plus loin en mettant en place un banc d'essai où un programme servait d'émetteur de données binaires via le SSD (par exemple, « 1 » signifiait une utilisation intensive du disque et « 0 » une période d'inactivité), tandis qu'un récepteur dans le navigateur mesurait la latence via OPFS . De cette manière, le SSD s'est transformé en un canal de communication caché.
Vitesse du canal et précision FROST
Avec cette configuration, sur un ordinateur de bureau Linux équipé d'un processeur AMD, le système a transmis des données à environ 661 bits par seconde avec une précision proche de 90 %. Sur un Mac Mini sous macOS, le débit est passé à environ 719 bits par seconde, tout en conservant une précision d'environ 90 %.
Ces chiffres sont légèrement inférieurs à ceux obtenus lors de l'étude précédente de 2025, où les deux extrémités du canal (émetteur et récepteur) étaient des programmes natifs. Cependant, la différence reste relativement faible étant donné que, dans FROST, le récepteur est limité aux fonctionnalités offertes par un navigateur web et non à un binaire local disposant d'un accès plus direct au système.
Néanmoins, la principale préoccupation des chercheurs n'est pas l'utilisation de FROST pour transmettre subrepticement des données binaires, mais plutôt son utilisation comme outil de suivi de l'activité des utilisateurs . Autrement dit, il s'agit d'utiliser le SSD pour surveiller les sites web visités et les applications ouvertes, et non comme un simple canal de données.
Sur Mac Mini, grâce à la combinaison de mesures de latence et de modèles d'IA, le système a correctement identifié le site web ouvert dans 89 % des cas et déterminé l'application locale en cours d'exécution avec une précision allant jusqu'à 96 %. Ce résultat a été obtenu même lorsque la page malveillante s'affichait dans un navigateur différent de celui utilisé par l'utilisateur pour consulter d'autres sites web.
Les résultats montrent que les sites très populaires comme Google ou YouTube génèrent des pics d'activité SSD beaucoup plus marqués et distincts que les sites web moins importants. Cela s'explique par le fait qu'ils chargent une grande quantité de ressources, de scripts et de données en un laps de temps très court, laissant une empreinte temporelle facilement identifiable par les modèles d'IA.
Le rôle de l'intelligence artificielle dans l'attaque
L'un des défis de toute attaque par canal auxiliaire est que le signal est généralement mêlé à beaucoup de « bruit ». Un ordinateur lit et écrit constamment sur le SSD en arrière-plan : mises à jour, journaux, caches, processus système, applications ouvertes… Séparer ce qui est pertinent du reste n'est pas chose triviale.
Pour résoudre ce problème, les chercheurs de Graz ont utilisé un réseau neuronal convolutif spécialement entraîné sur les empreintes numériques de différents sites web et applications stockées sur un SSD spécifique. Ce type de réseau est très efficace pour reconnaître des motifs dans les séquences temporelles, de la même manière qu'il est utilisé en vision par ordinateur ou en reconnaissance audio.
Une fois entraînée, l'IA est capable d'analyser une longue séquence de mesures de latence apparemment chaotiques et d'en extraire l'activité réelle de l'utilisateur . Le modèle apprend comment le SSD réagit lors du chargement de Google, de l'ouverture de YouTube ou du lancement d'une application spécifique, puis recherche ces schémas au sein du bruit système normal.
Les résultats indiquent que, notamment sur les Mac équipés de SSD, la combinaison d'OPFS et de réseaux neuronaux offre des niveaux de précision très élevés pour les tâches d'empreinte numérique : quel site web a été visité, quelle application a été ouverte et, dans certains cas, même l'heure approximative de certaines interactions.
Point important, cette approche ne repose ni sur l'historique de navigation ni sur les cookies ; le mode navigation privée, pourtant très répandu, est donc inefficace comme moyen de défense. L'IA exploite les données physiques stockées sur le disque, et non les données logiques enregistrées par le navigateur.
Limitations pratiques et bruit du système
Malgré des résultats impressionnants, les auteurs de l'étude soulignent eux-mêmes que FROST n'est ni rapide ni simple à mettre en œuvre en conditions réelles. Comme la plupart des attaques par canaux auxiliaires, il s'agit d'un processus lent et méthodique, fortement dépendant du contexte de la machine cible.
Un problème majeur réside dans la gestion de l'accès aux données par les ordinateurs modernes. Le système d'exploitation a tendance à mettre en cache les informations fréquemment consultées dans la RAM , ce qui signifie que de nombreuses opérations n'accèdent plus physiquement au SSD. Or, une attaque FROST ne peut observer que ce qui se passe sur le disque SSD, et non ce qui se passe dans le cache.
Pour forcer le navigateur à utiliser le SSD plutôt que la RAM, un site web malveillant devrait utiliser OPFS pour créer un fichier volumineux, de l'ordre de plus de 1 Go , et le manipuler en profondeur. Ce type de comportement déclencherait des alarmes dans toute solution EDR ou XDR suffisamment robuste, comme décrit dans notre liste de contrôle des actions à entreprendre suite à un incident de cybersécurité , et entraînerait également une baisse significative des performances, immédiatement perceptible par l'utilisateur lambda.
Un autre obstacle réside dans le fait que, la surveillance prolongée du SSD étant nécessaire pour détecter le chargement d'autres applications, le maintien d'une attaque active exige du temps et l'onglet malveillant doit rester ouvert. Il est illusoire d'attendre d'un utilisateur qu'il garde un site web suspect ouvert pendant des heures.
Par conséquent, FROST apparaît comme une technique particulièrement valable pour les opérations d'espionnage hautement ciblées , où l'attaquant a un meilleur contrôle du contexte, peut permettre à la victime de rester dans un endroit précis et est prêt à investir beaucoup d'efforts en échange d'une fuite relativement limitée : savoir ce qui est ouvert et ce qui est visité, et non le contenu de ces ressources.
Que peut filtrer FROST concrètement ?
Il est important de préciser que FROST ne lit pas vos documents personnels, vos photos ni le contenu de vos courriels. Dans sa version actuelle, il filtre les métadonnées d'activité , qui peuvent souvent être très révélatrices, même sans contenir de données brutes.
Parmi les informations qu'il est possible de déduire figure, par exemple, l' empreinte numérique des sites web visités . Chaque site web complexe génère une séquence d'accès disque lors du chargement des scripts, des polices, des images et autres ressources. Cette combinaison est suffisamment unique pour être associée à un domaine spécifique avec une forte probabilité.
Il est également possible de détecter certains types d' interactions utilisateur , telles que les transitions entre les pages ou les actions qui déclenchent le chargement de ressources (par exemple, la lecture d'une vidéo, le démarrage d'un appel vidéo ou l'ouverture d'un document volumineux dans une application Web).
De même, on retrouve des schémas caractéristiques dans les applications web et les programmes de bureau : clients de messagerie, outils de messagerie instantanée, suites bureautiques en ligne, plateformes de visioconférence, etc. Chacun interagit avec le disque d’une manière unique, laissant une signature reconnaissable par le modèle.
En entreprise, ce type de fuite peut permettre à un attaquant de découvrir les outils internes utilisés , de savoir si des applications contenant des informations sensibles sont ouvertes ou si un employé accède fréquemment à certains services. Même sans consulter le contenu, cette simple activité révèle beaucoup d'informations.
Impact réel sur la sécurité et la confidentialité
En pratique, l'utilité immédiate de FROST pour un cybercriminel lambda est assez limitée : savoir quels sites web vous consultez ou quelles applications vous ouvrez ne lui permet pas, en soi, de vider votre compte bancaire ou de prendre le contrôle de votre appareil. Cependant, en matière de protection de la vie privée et de suivi , cette attaque représente un scénario préoccupant.
Premièrement, parce que cela contournerait de nombreuses défenses classiques de la navigation privée : suppression des cookies, utilisation du mode incognito, blocage du stockage local, etc. Rien de tout cela n’affecte le fait que le SSD met un peu plus ou un peu moins de temps à répondre sous certaines charges.
Deuxièmement, parce que FROST s'inscrit dans une tendance croissante d' empreinte numérique de plus en plus sophistiquée , où la combinaison de petits signaux (taille de l'écran, polices installées, comportement du processeur, caractéristiques du navigateur et maintenant le SSD) permet la construction de profils d'utilisateurs très persistants.
Pour les États, des organisations très spécifiques ou des acteurs disposant de ressources importantes, une méthode comme FROST pourrait constituer un élément supplémentaire de l' arsenal des techniques de surveillance silencieuse , notamment contre des cibles spécifiques telles que des journalistes, des militants ou des cadres supérieurs d'entreprises sensibles.
Cela dit, les auteurs soulignent que, comparé aux efforts requis et au bruit qu'il peut engendrer, le « bénéfice » pratique de FROST est relativement modeste . Il ne s'agit pas d'une faille permettant la compromission immédiate et massive de millions d'appareils, mais plutôt d'un rappel que même lorsque les mécanismes de sécurité traditionnels fonctionnent, le matériel laisse toujours transparaître des indices.
Réponse des navigateurs et position de l'industrie
Avant de publier l'étude, les chercheurs ont partagé leurs conclusions avec Google ( Chromium ), Apple et Mozilla , les développeurs des principaux moteurs de navigateur. Leurs réactions permettent de comprendre comment l'industrie perçoit actuellement ce type de menaces.
D'après le document, l'équipe Chromium indique que les attaques par empreinte numérique comme FROST ne correspondent pas à leur définition traditionnelle d'une « vulnérabilité de sécurité ». Autrement dit, ils reconnaissent le problème, mais ne le traitent pas comme une faille permettant l'exécution de code arbitraire ou le contournement du bac à sable.
Apple a classé le problème comme dépassant son champ de compétences immédiat , tout en laissant la porte ouverte à un réexamen ultérieur. Mozilla, de son côté, a confirmé avoir reçu le signalement et pris connaissance de l'enquête en cours, sans toutefois avoir encore mis en œuvre de mesures d'atténuation spécifiques concernant OPFS et la synchronisation des SSD.
Cette réaction illustre un conflit de plus en plus évident : d’une part, de nouvelles API comme OPFS sont introduites pour améliorer les performances et les fonctionnalités des applications web ; d’autre part, chaque nouvelle passerelle matérielle présente un risque de création de canaux auxiliaires imprévus. Le navigateur moderne est passé d’un simple visualiseur de pages HTML à une plateforme d’exécution complexe offrant un accès à des graphismes accélérés, aux systèmes de fichiers, à l’audio, à la vidéo, à l’IA locale et bien plus encore.
À chaque nouvelle couche de fonctionnalités, la surface d'attaque augmente également . FROST démontre que même en respectant scrupuleusement l'isolation des sites et sans enfreindre aucun mécanisme de sécurité classique, une page peut exploiter le comportement physique du système pour apprendre des choses qu'elle ne devrait théoriquement pas savoir.
Comment détecter et atténuer une potentielle attaque FROST
À l'heure actuelle, rien n'indique publiquement que FROST soit utilisé dans des attaques réelles en dehors du cadre de la recherche. Néanmoins, les auteurs proposent plusieurs stratégies de défense , tant pour les utilisateurs que pour les navigateurs eux-mêmes.
Le premier signe d'alerte consiste à surveiller l'espace libre du SSD . Pour maintenir OPFS ouvert et forcer le système à utiliser le disque physique plutôt que la RAM, un site web malveillant pourrait créer un fichier volumineux (plusieurs centaines de gigaoctets dans le cas le plus extrême). Une perte d'espace soudaine et massive, comparable à l'installation d'un jeu très volumineux en une seule fois, serait un symptôme évident de dysfonctionnement.
Une autre mesure suggérée consiste à intégrer aux navigateurs une boîte de dialogue de demande d'autorisation avant la création de fichiers OPFS , à l'instar des demandes d'autorisation d'accès à la caméra, au microphone ou à la géolocalisation. Ainsi, un site web ne pourrait pas réserver d'importantes quantités d'espace de stockage privé sans l'autorisation explicite de l'utilisateur.
Actuellement, la plupart des navigateurs de référence (Chrome/Chromium, Safari, Edge, etc.) n'affichent pas d'avertissements spécifiques lorsqu'un site utilise OPFS, de sorte que l'utilisateur est rarement conscient qu'un site Web écrit intensivement des données sur son SSD.
Outre les propositions des chercheurs, d'autres stratégies d'atténuation génériques existent pour les attaques par canaux auxiliaires, comme la réduction de la précision des minuteurs JavaScript disponibles ou l'introduction de bruit artificiel dans les mesures de temps afin d'entraver l'analyse statistique. Cependant, ces solutions ont souvent un impact négatif sur les performances et l'expérience utilisateur, ce qui rend leur adoption complexe.
Dans les environnements hautement sensibles, certains experts proposent des mesures avancées telles que la redirection de certaines données de stockage vers des disques virtuels en mémoire vive ou la limitation de l'utilisation des API de stockage persistant à un nombre très restreint de sites de confiance. Ces stratégies exigent une expertise technique et sont actuellement réservées aux organisations ayant des exigences de sécurité très élevées.
Que signifie FROST pour l'avenir des SSD et la sécurité des navigateurs ?
FROST ne provoquera pas immédiatement de fuites de données de votre SSD, mais marque une étape importante dans notre compréhension de l'interaction entre le matériel, les navigateurs et la protection de la vie privée . Il fait du stockage SSD un acteur clé dans la détection des canaux auxiliaires, un domaine jusqu'ici bien moins exploré que celui des processeurs ou de la mémoire.
Cette étude nous rappelle qu'une sécurité totale est pratiquement impossible à atteindre lorsqu'on combine des dispositifs complexes, des couches logicielles, des API avancées et des exigences de performance toujours plus élevées. Même sans vulnérabilités classiques exploitables, les systèmes réels laissent des indices sur leur fonctionnement.
Pour les utilisateurs comme pour les entreprises, le message principal est que, même si FROST est actuellement avant tout une preuve de concept conçue pour des scénarios très spécifiques, il est essentiel de rester vigilant face à l'évolution des navigateurs et de leurs capacités d'accès à l'ordinateur. Maintenir ses logiciels à jour, limiter l'utilisation de sites web inconnus, vérifier quelles applications web nécessitent réellement un stockage local important et, dans la mesure du possible, utiliser des navigateurs ou des configurations axés sur la protection de la vie privée demeurent des bonnes pratiques.
L'apparition de FROST met en lumière le rôle que peuvent également jouer les SSD dans les fuites de données et lance un avertissement clair : chaque nouvelle fonctionnalité ajoutée au navigateur, des API de fichiers privés aux fonctionnalités avancées d'édition dans le cloud, a un coût en termes de surface d'attaque qui doit être gérée avec soin si nous ne voulons pas que notre propre matériel devienne un jour le meilleur allié de quiconque souhaite nous espionner.
