FROST: Wie eine normale Website deine SSD als Seitenkanal nutzen kann

Das einfachste Modell lautet: Die Angreifer-Website fragt nicht “Welche Website ist offen?”, sondern stellt der SSD immer wieder eine kleine Frage: “Wie schnell antwortest du gerade?”.

In Medienberichten wird aus 89 % schnell eine Angstmach-Schlagzeile. Für eine technische Bewertung sind jedoch die Metrik, das Szenario und die Grenzen des Experiments entscheidend.

Closed World bedeutet, dass das Modell aus einer bekannten Menge von Klassen auswählt. Wenn der Test aus den Top 50 Websites besteht, lautet die Vorhersage grob: “Welchem dieser 50 Profile ähnelt diese Trace am meisten?”. Im offenen Internet kommen die Zahl möglicher Kandidaten, Hintergrundaktivität, SSD-Modell, Betriebssystem, Browser, Erweiterungen, Energiemodus und Nutzerverhalten als Rauschen hinzu.

Das schwächt das Ergebnis nicht ab. Im Gegenteil: Die starke Aussage von FROST ist, dass ein SSD-Seitenkanal in den Browser gehoben werden kann, ohne native Malware zu installieren. Eine saubere Interpretation sollte aber das Threat Model erklären, statt nur eine Panik-Schlagzeile zu verkaufen.

Ein korrektes Verständnis der Bedrohung verhindert zwei Fehler: die Forschung zu unterschätzen oder sie als Science-Fiction-Spyware darzustellen.

Ein Cookie-Blocker hilft gegen storage-basiertes Tracking, bei dem eine Website direkt einen Identifier speichert oder ausliest. Der Inkognito-Modus reduziert Persistenz zwischen Sitzungen. FROST gehört zu einer anderen Klasse: Die Website misst das Verhalten einer Hardware-Ressource während der aktuellen Sitzung.

Das ist wie der Unterschied zwischen “jemand hat deine Nummer in ein Notizbuch geschrieben” und “jemand hört Geräusche durch eine Wand, um zu erraten, was passiert”. Im zweiten Fall entfernt das Löschen des Notizbuchs nicht den Sensor.

Deshalb muss Privacy Engineering für das moderne Web mehr umfassen als Consent- und Storage-Policies: Timer, geteilte Ressourcen, Storage Pressure, Cache-Verhalten, Rendering-Pipeline, GPU-/CPU-/SSD-Contention und Cross-Origin-Isolation gehören ebenfalls in die Betrachtung.

Für normale Nutzer ist FROST derzeit eher eine Forschungsbedrohung als ein massenhaft eingesetztes Exploit-Kit. Für Browser-Plattformen und Produkte mit Datenschutzversprechen ist es aber bereits ein praktisches Warnsignal.

Selbst wenn FROST in genau dieser Form nie zu einem Massenangriff wird, zeigt es sehr klar, wohin sich die Risikooberfläche des modernen Webs bewegt.

Bei Landingpages und content-lastigen Websites halten wir Code standardmäßig static-first: weniger Client Runtime, weniger Third-Party-Scripts, weniger unnötiger Local Storage. Das macht eine Website nicht “immun gegen Seitenkanäle”, entfernt aber viele unnötige bewegliche Teile, die oft ohne echten Business-Grund entstehen.

Bei SaaS und internen Dashboards ist der Ansatz anders: Storage APIs, Auth-Flows, Analytics, Session Handling, eingebettete Widgets und Permissions brauchen ein eigenes Security Review. Besonders wichtig ist das bei Produkten mit finanziellen, medizinischen, juristischen oder unternehmensinternen Daten.

Die wichtigsten Aussagen zu FROST in diesem Artikel stammen aus der Primärquelle, also dem Paper der Autoren. Die OPFS-Dokumentation wurde verwendet, um die API zu erklären, nicht um die Angriffsergebnisse zu bewerten.