웹사이트 추적이라고 하면 보통 쿠키, 광고 ID, 브라우저 지문을 떠올립니다. FROST는 다른 층위의 문제를 보여줍니다. 사용자의 파일 내용을 읽지 않고도, SSD 접근이 미세하게 느려지는 패턴을 관찰해 사용자의 활동을 추정할 수 있다는 점입니다.1
FROST는 무엇을 이용하나
FROST는 “Fingerprinting Remotely using OPFS-based SSD Timing”의 약자입니다.2 핵심에는 OPFS가 있습니다. OPFS는 웹사이트가 사용자 로컬 디스크에 자기 전용 샌드박스 저장 공간을 만들 수 있게 하는 브라우저 API입니다.2
OPFS 자체는 웹사이트별로 분리된 저장 공간을 제공하지만, 물리적으로는 같은 SSD를 사용합니다. 따라서 다른 앱이나 웹사이트가 SSD를 많이 쓰는 순간, 공격 페이지가 자기 OPFS 파일을 읽는 시간도 조금씩 달라질 수 있습니다. FROST는 이 지연을 측정하는 경합 기반 사이드채널 공격입니다.3
즉, 공격의 본질은 “침입”이 아니라 “관찰”에 가깝습니다. 브라우저 샌드박스를 우회하지 않고, 표준 보안 조치가 적용된 상태에서도 SSD 대역폭 경쟁에서 생기는 흔적을 읽는 방식입니다.3
공격은 어떻게 동작하나
공격 페이지는 사용자가 방문하기만 하면 동작할 수 있습니다. 악성코드 설치, 브라우저 확장 프로그램, 상승 권한이 필요하지 않습니다.4 페이지 안의 JavaScript가 OPFS를 통해 SSD 접근 시간을 반복 측정하는 식입니다.
PoC에서 설명된 read 채널은 RAM보다 큰 OPFS 파일을 만든 뒤, 그 안에서 무작위 4KB 읽기를 반복해 디스크 I/O를 감지합니다.1 이때 파일이 운영체제 페이지 캐시에만 머물면 실제 SSD 접근 지연을 보기 어렵습니다. 그래서 공격용 OPFS 파일은 사용 가능한 RAM보다 커야 합니다.2
이 조건은 FROST의 가능성과 한계를 동시에 보여줍니다. Chrome과 Safari는 OPFS를 통해 웹사이트가 전체 디스크 공간의 최대 60%까지 사용할 수 있게 허용한다고 설명됐습니다. 256GB SSD라면 150GB를 넘는 저장 공간입니다.2 큰 파일을 만들 여지가 있다는 뜻이지만, 동시에 비정상적인 저장 공간 사용이 사용자나 브라우저에 포착될 수 있는 단서가 되기도 합니다.
무엇이 위험하고, 어디까지 현실적인가
FROST가 주목받는 이유는 사용자의 파일을 직접 훔치지 않아도 행동 패턴을 추정할 수 있기 때문입니다. 예를 들어 다른 앱이나 웹사이트가 SSD를 사용할 때 생기는 지연 패턴이 공격 페이지의 측정값에 반영될 수 있습니다.
다만 모든 환경에서 곧바로 같은 수준의 공격이 가능하다고 보기는 어렵습니다. 공격에는 큰 OPFS 파일이 필요하고, 관찰하려는 활동이 같은 물리 SSD에서 일어나야 합니다. 연구진은 M2 Mac에서 전체 FROST 공격을 수행했고, Linux에서는 JavaScript로 SSD 접근 지연을 측정하는 기본 기법이 작동함을 보였습니다. Windows에서는 FROST를 테스트하지 않았다고 보고됐습니다.2
따라서 현재의 위험도는 무차별 대량 공격보다는 고도화된 표적 추적에 더 가깝게 이해하는 편이 현실적입니다. 하지만 의미는 작지 않습니다. 브라우저 권한 요청이 없더라도, 웹 API와 하드웨어 자원이 만나는 지점에서 새로운 관찰 채널이 생길 수 있음을 보여주기 때문입니다.
사용자와 브라우저가 얻어야 할 교훈
FROST의 결론은 단순합니다. 웹앱이 데스크톱 앱처럼 강력해질수록 브라우저는 더 많은 하드웨어 신호에 닿게 됩니다. “파일 접근 권한을 주지 않았으니 안전하다”는 판단만으로는 충분하지 않을 수 있습니다.
사용자 입장에서는 수상한 탭을 오래 열어 두지 않고, 브라우저 저장 공간이 갑자기 커지는지 확인하는 것이 현실적인 대응입니다. 브라우저와 플랫폼 측면에서는 OPFS 용량 제한, 고정밀 타이머 제한, 비정상적인 대용량 저장 알림 같은 방어가 더 중요해집니다.
FROST 연구는 7월 DIMVA conference에서 발표될 예정입니다.2 앞으로의 논의는 “이 공격이 얼마나 널리 악용될 수 있는가”뿐 아니라, 브라우저가 로컬 저장소와 하드웨어 신호를 어디까지 노출해야 하는가로 이어질 가능성이 큽니다.
참고
1GitHub - brammittendorff/opfs-ssd-timing
2Researchers say they can spy on your browsing by measuring SSD activity through a browser API
3The FROST attack: how SSD access delays expose users' activity
4Websites can spy on user activity by analyzing SSD behavior
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.