FROST saldırısı: SSD erişim gecikmeleri kullanıcı aktivitelerini nasıl açığa çıkarıyor?

Avusturya’daki Graz Teknik Üniversitesi’ndeki bilim insanları, kısa süre önce kullanıcıların web tarayıcıları aracılığıyla faaliyetlerini izlemeye yönelik yeni bir yöntemi ayrıntılı olarak anlatan bir makale yayınladılar. FROST adını verdikleri bu yeni tekniğin en ilginç yanı, casusluk faaliyetlerini gerçekleştirmek için bir bilgisayarın katı hal sürücüsüne (SSD) başvurmasıydı. Teknik ayrıntılara fazla girmeden, saldırının işleyişini şöyle açıklayabiliriz: Bir siber suçlu, kurbanı özel olarak hazırlanmış bir web sitesine çeker; site açık kaldığı sürece saldırgan, kullanıcının hangi uygulamaları çalıştırdığını ve hangi diğer web sayfalarını ziyaret ettiğini tam olarak takip edebilir.

Peki, bunu nasıl başardılar? İlk tepki doğal olarak tarayıcıyı suçlamaktır. Ancak modern web tarayıcılarında, her web sitesi izole bir sanal ortamda çalışır ve genellikle diğer sekmelere erişimi engellenir; bilgisayarın gerçek donanımına erişim ise söz konusu bile değildir. Her ne kadar bilgisayar korsanları zaman zaman bu savunma sistemlerinde açıklar bulsalar da, burada durum böyle değil. FROST saldırısı, tarayıcının güvenliğini aşmaya gerek duymaz; tüm standart güvenlik önlemleri devredeyken bile kusursuz bir şekilde işler. Bunun yerine, web sitelerine verileri depolamaları için kendi sanal depolama alanlarını sağlayan ve “kaynak özel dosya sistemi” (origin private file system, OPFS) olarak adlandırılan tamamen yasal bir tarayıcı özelliğini ele geçirir. Ancak, bu depolama alanı dijital olarak izole edilmiş olsa da, veriler yine de bilgisayarda açılan diğer tüm uygulamaların ve web sitelerinin kullandığı tam olarak aynı SSD’ye fiziksel olarak yazılmaktadır. Araştırmacılar, kötü niyetli bir sayfanın SSD’ye sürekli olarak veri talepleri yağdırması durumunda, veri erişimindeki mikroskobik gecikmelerin bilgisayarda başka hangi işlemlerin çalıştığını belirlemeye yardımcı olabileceğini keşfettiler. Bunu nasıl başardıklarının ayrıntılarına girmeden önce, saldırının ardındaki teoriye kısaca bir göz atalım.

Yan kanal saldırılarına kısa bir giriş

“Yan kanal” terimi, bir bilgisayarı veya hatta tek bir mikroçipi dolaylı yoldan gözetlemeyi ifade eder. Saldırgan, verilerin kendisini ele geçirmek yerine, diğer yöntemlerin yanı sıra güç tüketimindeki dalgalanmaları analiz edebilir, belirli bileşenlerin sıcaklığını izleyebilir veya elektromanyetik radyasyonu dinleyebilir. Teorik olarak bu, optik sensörün ses titreşimlerini algılayabildiği için, bir kişinin sadece bir bilgisayar faresi kullanarak bir odadaki konuşmayı dinleyebileceği anlamına gelir. Benzer şekilde, bir işlemcinin saat hızındaki dalgalanmaları izlemek, bir bilgisayar korsanının şifreleme anahtarını çalmasına olanak sağlayabilir. Bir kart okuyucudaki basit bir LED ışığı bile, bir saldırganın akıllı kartı kopyalayabilmesi için cihazın iç işleyişi hakkında yeterince veri sızdırabilir.

Bir bilgisayar korsanının bakış açısına göre bu dolaylı veri sızıntılarının güzelliği, kolayca fark edilememeleridir. Cihaz üreticileri, güvenlik sistemleri kurarken bu unsurları nadiren dikkate alırlar. Ancak bunun dezavantajı da bir o kadar açıktır: Asla veri iletimi için tasarlanmamış bir mekanizma aracılığıyla bilgi elde etmek, genellikle karmaşık, yavaş ve zahmetli bir işlemdir. Avusturyalı araştırmacılar, çekişme tabanlı yan kanal saldırısı olarak bilinen belirli bir alt türe odaklandılar. Birden fazla işlem aynı kaynak için rekabet ettiği için burada bir sızıntı meydana gelir. Bu durumda, üzerinde mücadele edilen kaynak, depolama sürücüsünün bant genişliğidir.

FROST saldırısının iç yüzü

Bu özel yan kanal, 2025 tarihli bir araştırmada da yer aldığı üzere, aslında daha önce incelenmiştir. Ancak o zamanlar deney düzeneği oldukça basitti: Araştırmacılar, veri kaynağı görevi görecek bir programı bilgisayarda çalıştırırken, aynı makinede çalışan ikinci bir program ise bu verileri ele geçirmeye çalışıyordu. Bu, teorik bir akademik çalışma için uygun olsa da, saldırı modeli tam anlamıyla çığır açıcı değildi. Sonuçta, bir bilgisayar korsanı zaten istediği herhangi bir programı çalıştırabiliyorsa, karmaşık yan kanallara başvurmasına gerek kalmaz, verileri çalmak için pek çok başka yola başvurabilir.

Yine de, geçen yıl yapılan araştırma tamamıyla zaman kaybı sayılmaz. Bu araştırmada, bir SSD’nin izlenmesi yoluyla elde edilen çözünürlüğün oldukça yüksek olduğu, veri sızıntısının gerçek olduğu ve yakalanan bilgilerin gerçekten de faydalı olabileceği kanıtlandı. FROST saldırısı, esasen aynı fikrin mantıksal bir devamıdır.

İşte pratikte nasıl işliyor. Diyelim ki, rastgele verilerle dolu bir SSD’de oldukça büyük bir dosya var. Belirli bir işlem, bu verileri düzenli aralıklarla okur ve yanıtın ne kadar sürede geldiğini ölçer. Bu hız, sürücünün diğer görevlerle ne kadar meşgul olduğuna bağlı olarak değişir. Bu erişim gecikmeleri, sürücünün aktif olduğunun en belirgin işaretleridir. Avusturyalı araştırmacılar, bu gecikmeleri zaman ekseninde grafiğe dökmenin, o anda bilgisayarda hangi başka görevin çalıştığını makul bir doğrulukla belirlemeye yardımcı olabileceğini ortaya koydu.

Belirli web sitelerinin açılması sırasında ortaya çıkan farklı gecikme örüntüleri Kaynak

Araştırmacılar, yukarıda gösterilenlere benzer gecikme grafiklerini, çok çeşitli web siteleri ve yerel olarak çalışan uygulamalar için hazırladılar. Ortaya çıkardıkları şey, belirli bir web sitesi her yüklendiğinde ya da bir uygulama her başlatıldığında ortaya çıkan belirgin kalıplar, yani dijital parmak izleriydi. Bu saniyenin kesirleri kadar kısa süren başlatma veya yükleme aralıklarını yakalamak için SSD’yi uzun bir süre boyunca kesintisiz olarak izlemek gerekir. Bununla birlikte, bu kalıpların farklı sistemler arasında oldukça tutarlı olduğu ortaya çıktı; yazarlar, yöntemlerini hem bir Linux masaüstü bilgisayarda hem de bir Apple Mac Mini’de başarıyla test ettiler. Buradan sonra, bir sonraki adım oldukça basit görünür: Bilinen parmak izlerinin bir listesini alın, gerçek ortamdaki SSD gecikmelerini ölçün, ikisini eşleştirin; böylece kullanıcının hangi uygulamaları açtığını ve hangi siteleri ziyaret ettiğini tam olarak öğrenebilirsiniz. Peki, kurbanın bilgisayarına zararlı yazılım yerleştirmeden, bu tür bir gözetlemeyi nasıl gizlice gerçekleştirebiliriz?

İşte tam da bu noktada, “kaynak özel dosya sistemi” (origin private file system, OPFS) adı verilen nispeten yeni bir tarayıcı özelliği devreye girer. Varsayımsal bir saldırganın, kullanıcıyı kandırarak şüpheli bir Truva atını indirmesini sağlaması gerekmez. Tek yapmaları gereken, kurbanı özel olarak hazırlanmış bir web sayfasına yönlendirmektir; bu sayfa da OPFS’yi kullanarak SSD’nin faaliyetlerini gizlice izleyecektir. “Fingerprinting Remotely using OPFS-based SSD Timing” teriminin baş harfleriyle zekice oluşturulmuş FROST kısaltması aslında tüm bu bileşenleri bir araya getirir ve OPFS tabanlı SSD zamanlamasını kullanarak uzaktan parmak izi alma anlamına gelir. İşte saldırının tamamının nasıl gerçekleştiğine dair adım adım açıklama:

FROST yöntemi bir bilgisayarın etkinliklerini izlemek için nasıl kullanılabilir? Kaynak

Yöntemi sınırlamaları

Diğer tüm yan kanal saldırıları gibi, FROST da tam olarak hız için tasarlanmamıştır. Yavaş ve sistemli bir süreçtir. Bu yavaşlığın tam olarak ne kadar olduğunu belirlemek için araştırmacılar, ölçüm yapmak üzere özel bir test ortamı kurdular.

OPFS aracılığıyla veri çıkarma hızını ölçmeye yönelik test ortamı kurulumu Kaynak

Ekip, verileri dolaylı olarak iletmek için bir bilgisayarda bir program çalıştırdı. Bunu, sabit sürücüyle etkileşim biçimini değiştirerek gizli bir mesaj yayınlayan dijital bir casus olarak düşünün. Örneğin, ikili mesaj kodundaki bir “1”, programın SSD’yi aktif olarak kullandığı anlamına gelebilirken, bir “0” ise programın boşta olduğu anlamına gelir. Aynı zamanda, web tarayıcısının içine, OPFS aracılığıyla depolama sürücüsüne erişen bir alıcı kurdular. Hem tarayıcı alıcısı hem de verici programı SSD’nin bant genişliği için rekabet halinde olduğundan, verici aktif olarak veri gönderdiği her seferinde tarayıcıda çok küçük hız gecikmeleri yaşanıyordu.

Bu tuhaf düzenek, AMD işlemcili bir Linux masaüstü bilgisayarda saniyede 661 bit hızında veri aktarmayı başardı ve doğruluk oranı neredeyse %90 oldu. macOS işletim sistemini çalıştıran bir Apple Mac Mini’de aktarım hızı saniyede 719 bit’e ulaştı ve doğruluk oranı da %90 civarında seyretti. Bu rakamlar, doğrudan bilgisayara yüklenen uygulamalara dayanan geçen yılki araştırmadakilerden biraz daha düşük olsa da, aradaki fark aslında o kadar da büyük değil.

Bununla birlikte, FROST saldırısının asıl tehdidi ham veri iletimi değil; kullanıcının yaptıklarını izlemektir. Bir bilgisayar korsanı, belirli uygulamalar ve web siteleri için dijital parmak izlerinden oluşan bir veri tabanına sahip olsa bile, OPFS kullanılarak kötü amaçlı bir site üzerinden sızan bilgiler çok fazla gürültülüdür. Ne de olsa bilgisayar, arka planda sürekli olarak SSD’ye veri okur ve SSD’ye veri yazar. Bu dijital gürültüyü ortadan kaldırmak için araştırmacılar, modern siber saldırılarda giderek standart bir uygulama haline gelen bir araca başvurdular: Sinir Ağı. Bilinen SSD parmak izleriyle eğitilmiş yapay zeka, arka plandaki verilerin oluşturduğu kaotik bir karmaşadan bile kullanıcı faaliyetlerini güvenilir bir şekilde ayırt edebilir. Nihai sonuçlar gerçekten şaşırtıcıdır. Apple Mac Mini’de yapay zeka, kullanıcının hangi web sitesini açtığını %89 oranında doğru bir şekilde belirledi ve yerel uygulamaların başlatılmasını %96 doğrulukla tespit etti. En önemlisi, kötü amaçlı sekmede çalışan tarayıcıdan tamamen farklı bir tarayıcıda hangi web sitelerinin açıldığını bile tespit edebiliyordu. Kulağa bilgisayar korsanları için tam bir başarı gibi geliyor, ancak gerçek hayatta yakalananların oluşturduğu devasa liste bunun aksini gösteriyor.

FROST saldırısı gerçek hayatta bir tehdit mi?

Hangi uygulamaların açık olduğunu veya hangi web sitelerinin ziyaret edildiğini bilmek tek başına bir saldırgana pek bir avantaj sağlamaz. Bu tür veriler, genellikle kullanıcıların izni olmadan dijital profillerini oluşturmak isteyen reklamverenler için yararlıdır; ancak bu izleme yöntemini büyük ölçekte uygulamaya koymak pek gerçekçi değildir. Bu engel, bilgisayarların verileri işleme biçimindeki temel bir özelliğe dayanmaktadır: Sistem, sık erişilen verileri düzenli olarak RAM’e aktarır. FROST saldırısının tamamı, fiziksel SSD’nin nispeten düşük bant genişliğini ölçmeye dayandığından, RAM’deki veriler bu yöntem açısından fiilen görünmez durumdadır. Bu engeli aşmak için, kötü amaçlı web sayfasının OPFS’yi 1 gigabaytın çok üzerinde büyüklükte devasa bir dosya oluşturmaya zorlaması gerekir. Tabii ki, sabit disk kaynaklarını bu kadar aşırı bir şekilde tüketen bir web sitesi, hemen şüphe uyandırır. EDR veya XDR çözümleri, bunu büyük olasılıkla anormal bir etkinlik olarak işaretleyecektir.

Sonuç olarak bu, FROST saldırısının, çoğu yan kanal casusluk yöntemi gibi, yalnızca son derece hedef odaklı operasyonlar için uygulanabilir olduğu anlamına gelir. Ancak bu bizi en başa döndürüyor: Bir kişinin hangi uygulamaları açtığını veya hangi web sayfalarına göz attığını bilmek, böylesine karmaşık bir numarayı gerçekleştirmek için gereken büyük çaba için oldukça önemsiz bir ödül.

Yine de FROST, gerçek dünyadaki pratiklik söz konusu olduğunda çoğu akademik yan kanal saldırısından ışık yılı ileridedir. Zararlı yazılımın önceden yüklenmesini gerektirmez ve kurbanın kötü amaçlı bir sayfayı açmaktan başka bir şey yapması gerekmez. Hiç değilse bu araştırma, modern bilgisayarların ne kadar karmaşık olduğunu ve ne kadar çok beklenmedik kör noktanın veri sızıntılarına yol açabileceğini keskin bir şekilde hatırlatmaktadır. Çok gizli veriler için ultra güvenli sistemler oluştururken, donanım özelliklerini mutlaka göz önünde bulundurmak gerekir. Ödül yeterince büyükse, kararlı bir saldırgan hiper-spesifik karmaşık bir saldırı oluşturmak için memnuniyetle zaman ayıracaktır. Bu gibi araştırmalar, siber güvenlik dünyasında bu senaryonun imkansız olmadığının kanıtıdır.