O que é o ataque FROST e como ele funciona?
A privacidade na web acaba de ganhar um novo inimigo silencioso. Pesquisadores identificaram uma técnica denominada FROST (Fingerprinting Remotely using OPFS-based SSD Timing), que permite que sites monitorem suas atividades digitais medindo a latência de entrada e saída (I/O) do seu drive de estado sólido (SSD). Diferente de métodos tradicionais de rastreamento, como cookies ou pixels de rastreamento, o FROST explora um side-channel (canal lateral) de contenção, analisando a disputa por recursos de hardware que ocorre quando vários processos rodam simultaneamente no seu computador.
O funcionamento é assustadoramente simples para quem está do lado de quem ataca: ao acessar uma página maliciosa, um script em JavaScript utiliza o OPFS (Origin Private File System) — uma API do navegador voltada para armazenamento local — para realizar operações de escrita e leitura no disco. Ao medir o tempo que essas operações levam para serem concluídas, o script consegue inferir o que mais está sendo executado na sua máquina. Se o seu SSD está ocupado processando dados de outro site aberto em uma aba oculta ou de um aplicativo pesado rodando em segundo plano, o FROST detecta essa 'contenção' e mapeia seus hábitos de uso.
Por que o navegador virou um risco?
A evolução dos navegadores modernos transformou ferramentas de visualização de documentos em plataformas de computação robustas. Gigantes como Google, Microsoft e Adobe investiram pesado em tornar possível rodar suítes de escritório, editores de vídeo e até ambientes de desenvolvimento (IDEs) inteiros dentro da janela do navegador. Embora essa funcionalidade traga conveniência, ela expande drasticamente a superfície de ataque.
O problema central é que o navegador agora tem acesso a APIs que, anteriormente, eram restritas a softwares nativos. O OPFS, por exemplo, foi criado para otimizar o desempenho de aplicações web complexas, mas o FROST prova que qualquer recurso que interaja com o hardware físico pode ser transformado em uma ferramenta de espionagem. O ponto mais crítico aqui é que o usuário não precisa clicar em nada, nem conceder permissões especiais; basta visitar o site que hospeda o script para que o rastreamento comece.
Comparativo: Rastreamento Tradicional vs. FROST
| Característica | Rastreamento Comum (Cookies/Fingerprint) | FROST (Ataque via SSD) |
|---|---|---|
| Mecanismo | Identificadores de sessão e metadados | Latência de I/O de hardware |
| Interação | Requer carregamento de scripts/cookies | Apenas acesso à página web |
| Visibilidade | Bloqueável via extensões/navegadores | Difícil detecção e bloqueio |
| Alvo | Histórico e preferências | Apps abertos e abas paralelas |
O que isso significa para o usuário brasileiro?
Para o fã de tecnologia ou o usuário comum, o cenário é preocupante. O rastreamento via FROST não se limita apenas a saber qual site você visitou, mas pode identificar se você está usando um software específico que pode revelar sua profissão, seus hobbies ou até mesmo seu estado financeiro. Em um país onde a proteção de dados ainda engatinha perante a LGPD, a capacidade de empresas de publicidade ou agentes maliciosos de criar um perfil comportamental baseado no uso do seu hardware é um salto perigoso na invasão de privacidade.
A grande questão é que, como o ataque utiliza o tempo de resposta do hardware, ele é agnóstico ao navegador. Não importa se você usa Chrome, Firefox ou Edge; se a API de sistema de arquivos estiver ativa, a brecha existe. A mitigação desse problema exigirá que os desenvolvedores de navegadores limitem a precisão dos timers de I/O ou restrinjam o acesso ao OPFS de forma que o ruído gerado por outros processos seja mascarado, o que, ironicamente, pode prejudicar o desempenho das aplicações web que essas APIs deveriam otimizar.
Pra cada perfil, um vencedor
Se você se preocupa com a sua pegada digital, a solução ainda não é definitiva, mas o comportamento deve mudar:
- Usuários comuns: Mantenha o navegador sempre atualizado. As empresas responsáveis pelos motores de busca (como o Chromium) tendem a implementar correções de segurança assim que vulnerabilidades de canal lateral são expostas.
- Entusiastas de privacidade: Considere o uso de navegadores focados em segurança, como o Tor Browser, que isolam processos de forma muito mais agressiva do que os navegadores convencionais.
- Desenvolvedores e Profissionais de TI: Fique atento às atualizações da API de File System. Monitorar o tráfego de rede e o uso de recursos de sistema pode ser um bom começo para identificar comportamentos anômalos em sites desconhecidos.
