Websites kunnen zien welke apps en sites gebruikers openen via ssd-activiteit

Oostenrijkse onderzoekers zeggen dat ze het surfgedrag en geopende apps van gebruikers kunnen tracken via de activiteit van de ssd. Dit was al bekend, maar de Oostenrijkse onderzoekers zeggen dat dit ook kan via de browser. Zo kunnen websites gebruikers bespioneren.

De onderzoekers noemen hun bevinding Frost, kort voor Fingerprinting Remotely using OPFS-based SSD Timing. Eerder onderzoek liet al zien dat het mogelijk is om het gedrag van gebruikers af te leiden aan de hand van variaties in de ssd-accesstime.

Ssd-activiteit lezen via de browser

Het idee is dat Frost het geheugen van een pc vol laat lopen, waardoor de pc wordt gedwongen de ssd als geheugen te gebruiken. Wanneer dat gebeurt, laat de ssd bij het openen van bepaalde websites of apps specifiek gedrag zien, dat in de ssd beter te lezen is dan in het geheugen. Omdat elke app of sitebezoek specifiek gedrag laat zien, kan dat door een tool als Frost worden gedetecteerd, waardoor de tool de gebruiker kan bespioneren.

Het was al bekend dat dit mogelijk was, maar tot dusver hadden onderzoekers geen methode bedacht waardoor het eenvoudig op de pc van een gebruiker te installeren was. De Oostenrijkse onderzoekers gebruiken hiervoor het Origin Private File System, kortweg OPFS, een JavaScript-api.

Dat OPFS is een bestandssysteem dat gebruikt wordt om bestanden op te slaan en te lezen op een pc. OPFS is sandboxed per tabblad, wat wil zeggen dat het systeem geen bestanden kan lezen of aanpassen buiten dat tabblad. OPFS vereist echter geen expliciete toestemming van de gebruiker en kan wel het gedrag van de ssd zien, waardoor het voor de onderzoekers een geschikte methode was om de ssd-accesstimes te kunnen lezen.

Neuraal netwerk

De onderzoekers maakten een neuraal netwerk om de ssd-timings te kunnen herkennen en te koppelen aan bepaalde apps of sites. De onderzoekers zeggen dat ze zo met 88,95 procent nauwkeurigheid konden voorspellen welke website een gebruiker bezocht. Bij gebruikte apps was dit 95,83 procent.

Voor het misbruiken van Frost hoeven gebruikers alleen op malafide links te klikken. Frost kent ook beperkingen; de tool herkent alleen wat er gebeurt op de ssd waar de browser op draait. Apps die vanaf andere schijven worden gestart, worden dus niet herkend. Daarnaast is Frost ook weg als het tabblad wordt gesloten.

Fixes zijn mogelijk, maar komen niet snel

Frost is ook alleen getest op Mac, niet op Linux of Windows. In theorie zouden browsermakers Frost ook kunnen beperken, zeggen de onderzoekers. Google zei echter tegen de onderzoekers dat fingerprinting-aanvallen – wat Frost is – niet gezien wordt als een kwetsbaarheid. Apple zei dat de aanval nu out of scope was, maar sluit niet uit in de toekomst aan een fix te werken. Mozilla erkende de kwetsbaarheid maar heeft nog geen patch uitgebracht.

Reacties (59)

[Mars Warrior]

Het idee is dat Frost het geheugen van een pc vol laat lopen, waardoor de pc wordt gedwongen de ssd als geheugen te gebruiken. Wanneer dat gebeurt, laat de ssd bij het openen van bepaalde websites of apps specifiek gedrag zien, dat in de ssd beter te lezen is dan in het geheugen

Lekkere aanpak. Eerst het geheugen laten vollopen en dan gaan meten. Dat valt toch op lijkt me. En een swapfile zal bij de meeste systemen niet erg groot zijn.

Maar die websites. Zouden ze die ook nog kunnen herkennen als je een reclame blocker gebruikt? Of andere plug-ins die je gebruikt en de site feitelijk wijzigen?

[GertMenkel]

Je hoeft niet het hele geheugen vol te gooien voor je besturingssysteem swap activeert. Als er veel vraag is naar RAM en oude data een tijd niet is opgevraagd, kan je besturingssysteem ook preventief pages naar swap schrijven.

Ik vraag me af of dit gedrag moeilijker of makkelijker te bepalen is met gecomprimeerd geheugen.

In principe kan iedere website die wordt ingeladen dit proces uitvoeren, dus je adblocker gaat dit niet tegenhouden als het script of domein niet al op de blacklist staat. Als een website een first party proxy gebruikt (dat wil zeggen, het domein van de website zelf de scripts serveert), wordt het helemaal een uitdaging.

Het is wel een agressieve en invasieve vorm van tracking die voor 95% van de gebruikers niet nodig is. Fingerprint.js kan je al lang volgen zonder cookies en zonder gigantische hoeveelheden RAM op te eten.

[SterkeYerke]

Eerst het geheugen laten vollopen en dan gaan meten. Dat valt toch op lijkt me.

Vroeger met harde schijven viel dat natuurlijk meteen op, maar is dat met moderne, snelle ssd’s nog wel zo?

[Darkjacky]

Tuurlijk valt het dan nog steeds op. De computer word ineens veel langzamer. Zelfs met SSD snelheden is RAM echt 10-100 keer zo snel in lezen en schrijven en 1000 keer sneller in access time. Bij het spelen van een spel merk het het meteen. Bij browsen iets minder snel.

Bovendien moeten ze dan bij mij 64GB - huidig gebruik schijven en dat valt meteen op als je dit in één keer doet.

[mjl]

Hoe valt een normale gebruiker dat op… zowat niemand zit de hele tijd naar zijn resource monitor te koekeloeren…

Knapppe jongen die mijn 512 gb vol krijgt voor de pc gaat stappen….

[qless]

Is dat niet het default gedrag van chrome?

[lenwar]

Google zei echter tegen de onderzoekers dat fingerprinting-aanvallen – wat Frost is – niet gezien wordt als een kwetsbaarheid

Dit is ook logisch. Dit is waar heel hun businessmodel op leunt. Dat Apple en Mozilla laks reageren, vind ik ergens wat vreemd. Die claimen privacy hoog in het vaandel te hebben. 🤨

[Polderviking]

Laks lijkt me voor Mozilla wel ietwat kort door de bocht, er staat alleen maar dat er nog geen patch is.

[Rainboww]

Er is gewoon een easy fix: OPFS uitzetten via about:config
- dom.fs.enabled op false zetten
- dom.fs.writable_file_stream.enabled op false zetten
Noot: mogelijk dat enkele specifieke websites die perse met OPFS moeten werken kuren kunnen geven, maar goed, die kun je dan ook nog in een andere browser openen.

[desalniettemin]

Ik heb beide op false gedubbelklikt.

[moimeme]

Ik ook, dank Rainboww .

Maar was misschien niet nodig. Als mijn pc swap, sluit ik meteen wat en herstart.

[Reactie gewijzigd door moimeme op 31 mei 2026 13:36]

[ardsur]

beide op false gezet. en nu maar afwachten of er sites zijn die niet goed meer werken.

[willemb2]

Dan kan je lokaal opslaan vanuit een online editor in b.v. Nextcloud All-in-one of OneDrive waarschijnlijk wel vergeten. Ik heb de CanvasBlocker add-on, maar als ik het goed begrijp gaat die hier vooralsnog ook niet tegen helpen.

[kdemetter]

Waarvoor word OPFS typisch gebruikt ?

Zou handig zijn om dit te kunnen uitschakelen maar een soort whitelist te hebben voor bepaalde websites die het echt nodig hebben, dat je dan zelf kan toevoegen.

[Houtenklaas]

Apple privacy hoog houden? Alleen om hun eigen inkomsten veilig te stellen ja ...

Uit de Volkskrant 14-11-2023:

Getuige: Google betaalt Apple 36 procent van de advertentie-inkomsten om standaardzoekmachine in Safari te blijven

Google draagt ruim eenderde van de advertentie-inkomsten af die het bedrijf met zoekopdrachten in Safari-browsers verdient, de standaardbrowser van iPhones en MacBooks. In ruil hiervoor biedt Apple Google als de standaardzoekmachine aan in Safari.

In 2021 was dat een bedrag van 26,3 miljard dollar. Apple heeft eenzelfde business model.

[Reactie gewijzigd door Houtenklaas op 29 mei 2026 19:21]

[iAR]

Dat is toch wel kort door de bocht. Ja, Apple geld. Maar welk alternatief is er? Moet Apple uit principe DuckDuckGo aanbieden terwijl Google de defacto standaard is?

[Houtenklaas]

Hoezo kort door de bocht? Wat ik oplepel is feitelijk aantoonbaar en 100% juist. En nee, Apple gaat niet van Google af, dat kost ze een kleine 30 miljard dollar op jaarbasis wat ook voor Apple nog steeds een hoop geld is.

En het zal me jeuken wat ze kiezen als zoekmachine, het gaat me er meer om dat ze geen haar beter zijn dan Google of welke andere big-tech. Jij als consument bent simpelweg een lopende geldmachine voor dit soort bedrijven, de één is hooguit iets minder slecht dan de andere. Zoals mijn vader vroeger zei ... Een 3 is beter dan een 1, maar beide zijn ruim onvoldoende.

[iAR]

Iemand voor veel geld de standaard zoek machine zijn is echt heel iets anders dan een bedrijf dat advertenties verkoopt en alles van je wil weten om dat beter te doen.

[Houtenklaas]

Het is denk ik wat naïef om te veronderstellen dat Google niets met jouw Apple data doet. Het staat notabene in dat VK artikel. Omdat Apple jou als gebruiker naar Google duwt krijgen zij 30% van de inkomsten die dat oplevert, bijna 30 miljard dollar. De gezamelijke Apple gebruikers leveren dus elk jaar zo'n 100 Miljard dollar op aan inkomsten voor Apple/Google.

Als Apple echt om privacy gaf, zouden ze inderdaad DuckDuckGo als standaard meegeven en daar geen stuiver aan verdienen. Maar ja, ook Apple harkt die 30 miljard toch graag binnen elk jaar, dan maar ten koste van hun klanten.

[rgom]

Je hebt kort door de bocht en je hebt kort door de bocht. Ja, jouw artikel is vast feitelijk juist, maar het is één artikel.

Apple heeft, anders dan Google, de mogelijkheid voor end-to-end encryptie voor vrijwel alles wat je in iCloud opslaat. Zelfs Apple kan dan niet zien wat je erin zet. Dat is zelfs zo goed voor je privacy, dat ze het van de overheid van het VK uit hebben moeten zetten (in het VK).

Browse je via Safari, dan kun je met Private Relay anoniem surfen, zonder dat Apple of een derde partij bij kunnen houden wie er welke sites bezoekt.

En zo is er nog wel meer. Dat is óók allemaal feitelijk juist.

En natuurlijk, ik ben ook niet naïef. Apple is een van de grootste bedrijven wereldwijd. Ze zijn natuurlijk hartstikke commercieel. Maar om te zeggen "ze zijn commercieel" + "ik heb 1 voorbeeld van hoe ze geld verdienen aan een niet-privacyvriendelijk bedrijf" = "Apple geeft niet om privacy", dat kan ik niet helemaal volgen..

[Houtenklaas]

Goede nuance, er is inderdaad echt veel wat Apple ook aantoonbaar goed doet, of beter doet. Maar waar het me hierom ging is dat bij velen het beeld veel te zwart/wit is. Apple is niet wit, Google is niet zwart, beiden hebben nuances in het midden en hun sterke/zwakke punten. Maar goed, dat is de eeuwige strijd blijkbaar.

[lenwar]

Wat voor ‘goede dingen’ heeft Google dan, wanneer het om privacy gaat? (Niet flauw bedoelt, maar ik zou het niet weten?)

En ik bedoel dus niet dat anderen 100% oké zijn, maar bij Google zou ik in m’n achterhoofd niet boven de 0% komen, wanneer het om privacy gaat.

[bilgy_no1]

Apple levert tegen betaling zijn klanten uit aan Google die de tracking doet. Ze zijn er dus gewoon medeplichtig aan en profiteren ervan. In een drugsorganisatie heb je ook verschillende rollen, maar die zijn allemaal medeplichtig.

[Mellow Jack]

Hoe moeten ze hier anders op reageren? Voor mijn gevoel is dit wel een heel specifieke situatie waar vrijwel niemand mee in aanraking zal komen

[Menesis]

Tja Safari is allang vastgelopen voordat je dat geheugen vol hebt en de swap wordt aangesproken

[petervc]

Al eens getest? want de meeste browsers zijn tegenwoordig allemaal dezelfde engine. Namelijk webkit of een fork ervan. Met uitzondering van Firefox…

[beeldbuijs]

Bijna alle pagina’s / webapps die bezocht worden hebben sowieso al een Google tag en of iets van Meta of Amazon, dus dat type privacy is sowieso altijd al ver te zoeken. Daarnaast lijkt me dat het vaak wel op gaat vallen als browsers ineens veel trager worden.

[Cybje]

Is je swap uitschakelen dan een goede mitigatie?

Ik zet swap meestal uit. Als m'n geheugen volloopt is er in de praktijk gewoon iets mis (bijv. een memory leak). Dan heb ik liever dat die applicatie wordt afgesloten. Anders is het alleen maar onnodige slijtage van de SSD.

[R4gnax]

Is je swap uitschakelen dan een goede mitigatie?

Dan crasht je hele OS gewoon met een out-of-memory error als Frost ingezet wordt om je geheugen vol te laten lopen - en als je op dat moment iets met je filesystem a/h doen was, heb je kans op data corruptie.

[Reactie gewijzigd door R4gnax op 30 mei 2026 12:27]

[Cybje]

Waar baseer je dat op? Elk regulier OS zal gewoon proberen de boosdoener te termineren. Volgens mij gaat dat bij Frost niet anders zijn. Ik heb in elk geval al heel lang geen crashes meer door OOM situaties gezien.

[R4gnax]

Elk regulier OS zal gewoon proberen de boosdoener te termineren.

Windows toont wanneer je commit charge (totale hoeveelheid geheugen in gebruik) de commit limit (totale hoeveelheid beschikbaar incl. pagefile) benadert een interactieve prompt waarin je kunt kiezen om bepaalde processen die hoge commit charges hebben, te termineren.

Dit gebeurt op, ik geloof, 10% resterend. Indien je een pagefile actief hebt wat tot aan zekere grootte mag groeien heb je daarmee, er vanuit gaande dat het een onbewust geheugenlek is en niet een doelbewust lek, meer als voldoende tijd om het proces in kwestie geforceerd af te sluiten.

In het geval je geen pagefile actief hebt ben je echter gelimiteerd tot je fysieke RAM - wat voor veel machines maar 16 GB zal zijn. En als je dan daarbij opgeteld te maken hebt met een proces wat wel doelbewust malverserend bezig is - bijv. dus om te pogen je fysieke geheugen dicht te stoppen en paging te forceren, ga je nat. Je krijgt de tijd niet om het proces te kiezen wat je af wilt sluiten. En Windows gaat dat ook niet voor je kiezen.

In dat geval geldt: geheugen op, kernel crash.

[Reactie gewijzigd door R4gnax op 31 mei 2026 14:14]

[VOODOO_WILLIE]

Ik ben geen MS kernel developer maar ik vind het wel een tikkie raar dat een OS z'n eigen vitale organen blind opoffert voor een e.o.a. user space programma.

Volgens mij was het hele idee van het scheiden van kernel en user space nou juist om te voorkomen dat het hele OS op z'n bek gaat als een programma dingen uitvreet die niet deugen.

[Soldaatje]

Lijkt me niet goed voor een SSD inderdaad, beter gebruik maken van ram-compressie in plaats van swap, dat kost wat cpu maar is uiteindelijk wel sneller.

[AnonymousGerbil]

Het idee is dat Frost het geheugen van een pc vol laat lopen, waardoor de pc wordt gedwongen de ssd als geheugen te gebruiken.

Los van de fingerprinting aanval komt het deze anonieme woestijnrat voor dat het sowieso ongewenst is dat een website dit zomaar teweeg kan brengen.

[LOTG]

Dat komt omdat OPFS volgens de onderzoekers in Chrome en Safari bestanden met een maximum grote van 60% van de totale disk size mag hebben. Er word dus een bestand aangemaakt wat groter is dan het geheugen en dat is genoeg.

En daar hoef je geen toestemming voor te geven...

[R4gnax]

dus de huidige workaround is gewoon: gebruik Firefox ?

[LOTG]

Nee, ondanks dat Firefox een limit van 10% met een max van 10GB heeft was daar om heen te werken door meerdere origins te gebruiken die dan elk een eigen sandbox krijgen.

[MrMonkE]

Zucht. Waarom kan een browser dit uberhaupt.

[R4gnax]

Het korte antwoord daarop is: omdat Google.

Het langere antwoord daarop is dat Google deze APIs verzonnen heeft omwille van o.a. ChromeOS, en er door geforceerd heeft door ze in Chrome in te bouwen, software developers in te fluisteren ze te gebruiken, en daarna tegen de commissies die over de webstandaarden gaan, en waarbij o.a. Mozilla grote bezwaren had tegen APIs die filesystem toegang gaven, te beargumenteren dat: "ja, nu is het er al in het wild. We kunnen er niets meer aan doen."

Of zoals Mat Marquis recent nog beargumenteerde in een blog post over een andere set APIs waar Google dit trucje ook weer flikt:

Google neemt deel aan het standardisatieproces voor het web, zoals een beer deelneemt aan het proces genaamd 'kamperen.'

[Darkjacky]

Hoe zit het met mijn setup waar ik de browser cache naar een Intel Optane cache drive laat schijven? Dat word waarschijnlijk niet gedetecteerd door dit soort exploits. Mijn intentie was om te voorkomen dat Twitch bijvoorbeeld mijn SSD kapot schrijft met caching die Brave doet. In broncontrole kan je zien dat alle requests naar appdata worden geschreven. Intel Optane zou een vrijwel oneindige write cycles kunnen doen dus leek mij ideaal om het dus daar op te cachen.

[jumbos7]

Als je javascript standaard uit hebt staan en per site toe moet staan dan heb je in ieder geval iets minder kans dat je met het klikken op een link naar een onbekende site kwetsbaar bent. Ik vind Google's reactie wel erg laconiek. Er moet toch een zinnige limiet op wat OPFS mag doen en gebruiken zodat dit niet meer kan.

[FrostyPeet]

Ik vind het wat vergezocht. Ook al kan het, dan wil dit nog niet zeggen dat het een betrouwbare methode is. Valt wat mij betreft in dezelfde categorie als een passwoord vinden door variaties in het geluid van de toetsen op een toetsenbord. Of zien of een persoon in huis is door het meten van afwijkingen van wifi signalen van de wifi router.

[NostraDavid]

Hier is de verplichte https://amiunique.org/

Is niet hetzelfde als in het bericht, maar wel gerelateerd.

[Kalief]

Een link dumpen zonder omschrijving wat en waarom is niet erg gebruikersvriendelijk.

[Accretion]

AmIUnique.org is a browser fingerprinting tool. It studies the diversity of browsers to understand how identifiable they are. This mission aims at studying the diversity of browser fingerprints and providing developers with data. Developers use this data to design better privacy defenses.

[Haribo112]

Wat ik niet begrijp: hoe kan mijn user-agent zo uniek zijn? Het is "Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:151.0) Gecko/20100101 Firefox/151.0", oftewel generiek Firefox-op-Mac... Dat is toch hetzelfde voor alle Firefox-op-Mac gebruikers? Maar volgens die site is de similarity 0,01%...

[GertMenkel]

Je zit op een Intel Mac met de nieuwste Firefox volgens je user agent. Er zijn maar weinig bezoekers op de website geweest met die combinatie.

De uniekheid van je user agent is gebaseerd op bezoekers van de site, niet op het internet algeheel. Een unieke identifier voor een sessie genereren is ook vooral gebaseerd op een combinatie van factoren, met 0,01% kun je mensen niet over het internet volgen.

Ik ben zelf de eerste die de site bezoekt op Firefox Beta voor Android, dus ik heb een similarity van 0%

[Haribo112]

ja behalve dan dat ik een Mac met M1 processor heb, dus dat klopt al niet...

[PaulHelper]

Ja dat is een leuke. Het komt erop neer dat ze best veel user agents OS hebben bevroren. Eigenlijk gaat het alleen om het globale systeem niet welke versie. Dus het belangrijkste uit die user agent is macos, en bij windows heb je soms ook verouderde versies etc.

Als ik het goed heb is dit : https://learn.microsoft.com/en-us/xandr/seller-tag/ast-client-hints-for-adserver waar het naartoe moet om te verbeteren

[GertMenkel]

Ik zeg "volgens je user agent", als je user agent liegt kan ik daar niets aan veranderen.

Het hoeft ook niet de kloppen, je kunt er letterlijke onzin in zetten en overal op internet opvallen omdat jij besluit anders te zijn dan de rest. Als jij de enige Macgebruiker op Firefox bent met die Firefox-versie, ben je bijna uniek. Er zijn vaker bezochte websites (zoals https://coveryourtracks.eff.org/) met wat meer bezoekers, daar val je wellicht minder op.

[Reactie gewijzigd door GertMenkel op 30 mei 2026 13:25]

[cobaco]

Je User-Agent daar begint het pas mee dat is gegeven 1

Vervolgens gaat men allerlei javascript API's gebruiken om van alles en nog wat van data te verzamelen.

Denk aan: schermresolutie, schermgrootte, os, tijdzone, geïnstalleerde fonts, geïnstalleerde plugins, hoe webGL en canvas dingen renderen op jouw machine,...
All die kleine onbenullige datapunten samen vormen een profiel dat vrij uniek is.
Hoe meer data ze kunnen verzamelen hoe unieker dat profiel wordt

... en daar is geld mee te verdienen, waardoor er een hele industrie is die niks anders doet dan nieuwe en betere manieren verzinnen om die profilering nauwkeuriger te maken

[Haribo112]

nee dat snap ik; er zijn zoveel javascript attributes dat elke combi zo ongeveer uniek is. Maar bij mijn User-agent staat al 0,01%. Alsof ik de enige Mac gebruiker met Firefox 151.0 ben. Dat kan natuurlijk niet.

[cobaco]

0,01% maakt je 1/10k ... uit de 5.1miljoen+ fingerprints die de amiunique.org site heeft
dan zijn er dus 510 andere gebruikers met die mac+firefox combinatie... die die site bezocht hebben

[chrome moral]

De fix is makkelijk dus; als een tab meer dan een GB nodig heeft gewoon killen en legitieme websites whitelisten misschien.

[Raymond Deen]

Het zal je misschien verbazen hoe snel een tab daarop zit met veel websites. Die grens zou ik dus wel wat hoger zetten.

[chrome moral]

In Google Chrome of algemeen? Ben erg benieuwd naar de site dan, teams of zo iets waarbij je Quake3 in je browser speelt?