FROST: wanneer je SSD ineens een privacy-risico wordt
Onderzoekers hebben een kwetsbaarheid beschreven waarbij websites via JavaScript en SSD-timing kunnen afleiden welke andere websites of apps actief zijn.
Niet door je bestanden te lezen, maar door subtiele vertragingen in opslagactiviteit te meten.
Een nieuw soort schaduwmeting
Browsers zijn allang geen simpele vensters meer waarin je alleen websites bekijkt. Ze draaien tegenwoordig complete applicaties: editors, dashboards, AI-tools, webshops, mailomgevingen, designsoftware en soms zelfs ontwikkelomgevingen.
Die kracht heeft een keerzijde. Onderzoekers hebben een aanval beschreven met de naam FROST: Fingerprinting Remotely using OPFS-based SSD Timing. Kort gezegd: een kwaadwillende website kan via JavaScript subtiele vertragingen in je SSD meten en daaruit afleiden welke andere websites of apps actief zijn op je computer.
Belangrijk: FROST leest niet letterlijk je bestanden. De aanval kijkt naar timing, vertraging en schijfactiviteit. Alsof iemand niet ziet wat je doet, maar wel aan de bewegingen op de gang probeert te raden waar je bent geweest.
Het gevaar zit dus niet in directe bestandstoegang, maar in een zogenoemd side-channel: een indirect signaal dat toch iets kan verraden over je gedrag.
Hoe werkt FROST?
FROST gebruikt browseropslag via OPFS, het Origin Private File System. Dat is een browserfunctie waarmee websites lokaal data kunnen opslaan binnen hun eigen afgeschermde omgeving.
Een kwaadwillende website kan via JavaScript een groot lokaal bestand aanmaken en vervolgens meten hoe snel kleine stukjes data worden gelezen of geschreven. Wanneer andere websites of apps tegelijk de SSD gebruiken, ontstaan kleine vertragingen.
Die vertragingen vormen patronen. Met AI of machine learning kunnen die patronen vervolgens worden gekoppeld aan specifieke websites of applicaties.
Wat kan FROST zien?
Niet je documenten. Niet je foto’s. Niet je wachtwoorden. Maar mogelijk wel patronen die verraden dat er andere activiteit op je systeem plaatsvindt.
Kwaadwillende website ↓ JavaScript schrijft naar OPFS ↓ SSD-latency wordt gemeten ↓ Timingpatronen ontstaan ↓ AI herkent websites of apps
Het gaat dus om gedragsherkenning via indirecte signalen, niet om klassieke toegang tot je bestanden.
Wat is OPFS precies?
OPFS staat voor Origin Private File System. Het is een opslagruimte binnen de browser, bedoeld voor moderne webapps die lokaal data willen bewaren. Denk aan offline editors, browserdatabases, productiviteitstools of webapps die tijdelijk grote hoeveelheden informatie moeten verwerken.
Het idee is op zichzelf logisch: websites krijgen geen vrije toegang tot je normale mappen, maar mogen wel data opslaan binnen hun eigen afgeschermde browseromgeving.
De kwetsbaarheid ontstaat niet doordat OPFS “slecht” is, maar doordat snelle lokale opslag gebruikt kan worden als meetinstrument. FROST laat zien dat performance-data ook privacy-data kan worden.
FROST en browser fingerprinting
FROST staat niet op zichzelf. Het past binnen een bredere categorie van technieken die bekendstaan als browser fingerprinting.
Bij browser fingerprinting probeert een website je browser of apparaat te herkennen aan een combinatie van signalen. Denk aan schermresolutie, browserinstellingen, geïnstalleerde fonts, taal, tijdzone, canvas rendering, audio-eigenschappen en andere technische details. Samen vormen die signalen een soort digitale vingerafdruk.
Een bekende open-source bibliotheek op dit gebied is FingerprintJS. Deze library verzamelt browserkenmerken en berekent daaruit een visitor identifier. Daarmee laat FingerprintJS goed zien hoe krachtig fingerprinting kan zijn, zelfs zonder klassieke cookies.
Bekijk de GitHub-pagina hier: FingerprintJS op GitHub
Het verschil met FROST is dat FROST niet alleen kijkt naar klassieke browserkenmerken, maar naar timinggedrag van lokale SSD-opslag. Daarmee verschuift fingerprinting van “welke browserkenmerken heb je?” naar “welke activiteit veroorzaakt je systeem op de achtergrond?”
Dat maakt FROST interessant én zorgwekkend. Het laat zien dat tracking niet alleen meer via cookies, pixels of klassieke fingerprinting hoeft te lopen, maar ook via subtiele hardwarepatronen.
Waarom dit vooral voor macOS-gebruikers interessant is
De FROST-aanval is vooral interessant omdat hij in onderzoeksopstellingen is aangetoond op moderne Apple-hardware. Dat betekent niet dat iedere Mac-gebruiker direct gevaar loopt, maar wel dat macOS-gebruikers dit serieus mogen nemen.
Apple Silicon Macs zijn snel, stil en extreem efficiënt. Juist die voorspelbare performance kan timingmetingen aantrekkelijk maken. Wanneer een browser genoeg toegang krijgt tot lokale opslag en JavaScript nauwkeurig genoeg kan meten, ontstaat er ruimte voor dit soort privacy-aanvallen.
Dit is dus geen klassiek virusverhaal. Je hoeft niets te downloaden. Een website hoeft alleen maar lang genoeg open te staan en slim genoeg te meten.
Hoe groot is het risico?
Voor normale gebruikers is het risico op dit moment waarschijnlijk beperkt, maar niet nul. De aanval heeft praktische beperkingen.
Er moet genoeg lokale opslagactiviteit zijn, de timing moet bruikbaar zijn en de kwaadwillende website moet actief blijven terwijl jij andere dingen doet.
Toch is het principe belangrijk. Niet omdat iedereen morgen via FROST wordt gevolgd, maar omdat het laat zien hoe dun de grens wordt tussen browser, apparaat en hardware.
Privacy ging vroeger vooral over cookies, trackingpixels en browsergeschiedenis.
FROST laat zien dat ook opslagvertraging, hardwaregedrag en timingpatronen onderdeel kunnen worden van online tracking.
FROST beperken of uitschakelen op macOS
Er is op dit moment geen perfecte knop in elke browser met: “Schakel FROST uit.” De beste aanpak verschilt per browser. Vooral Firefox geeft je relatief veel controle.
In Safari en Chrome kun je het risico vooral beperken door websitegegevens te wissen, JavaScript strenger te beheren en gevoelige sessies beter te scheiden.
Firefox: OPFS uitschakelen
Firefox is de browser waarin je OPFS het duidelijkst handmatig kunt uitschakelen.
- Open Firefox.
- Typ in de adresbalk: about:config
- Accepteer de waarschuwing.
- Zoek naar: dom.fs.enabled
- Zet de waarde op: false
- Herstart Firefox.
Dit kan sommige moderne webapps beperken die lokale browseropslag nodig hebben.
Safari: websitegegevens beperken
Safari heeft geen simpele OPFS-uitknop, maar je kunt opslag per website beheren.
- Open Safari.
- Ga naar Safari → Instellingen.
- Open het tabblad Privacy.
- Klik op Beheer websitegegevens…
- Verwijder onbekende of verdachte websites.
- Zet Voorkom cross-site tracking aan.
Gebruik voor gevoelige sessies eventueel een privévenster en sluit onbekende tabbladen.
Chrome: JavaScript en opslag beheren
Chrome biedt geen eenvoudige OPFS-uitknop voor normale gebruikers.
- Open Chrome → Instellingen.
- Ga naar Privacy en beveiliging.
- Klik op Browsegegevens wissen.
- Wis Cookies en andere sitegegevens.
- Ga naar Site-instellingen → JavaScript.
- Beperk JavaScript voor onbekende websites.
Streng JavaScript blokkeren kan websites breken. Gebruik dit vooral voor onbekende of risicovolle sites.
Praktische bescherming voor dagelijks gebruik
De beste bescherming is niet één instelling, maar betere browserhygiëne. Vooral wanneer je werkt met bankzaken, klantomgevingen, medische gegevens, bedrijfsdashboards of gevoelige accounts.
Doe dit wel
- Gebruik aparte browserprofielen voor werk, privé en gevoelige accounts.
- Sluit onbekende tabbladen voordat je bankiert of inlogt op klantomgevingen.
- Wis regelmatig websitegegevens.
- Gebruik Firefox met dom.fs.enabled = false wanneer privacy belangrijker is dan webapp-functionaliteit.
- Gebruik een content blocker om scripts van onbekende partijen te beperken.
Vermijd dit
- Twintig willekeurige tabbladen open laten staan tijdens gevoelige sessies.
- Onbekende websites langdurig op de achtergrond open houden.
- Werk, privé, social media, advertenties en klantdata allemaal in één browserprofiel mengen.
- Blind vertrouwen op privémodus als volledige bescherming.
- Denken dat alleen cookies privacy-risico’s veroorzaken.
Waarom bedrijven dit serieus moeten nemen
Voor ondernemers en bedrijven is FROST vooral een waarschuwing. Niet omdat elke medewerker morgen slachtoffer wordt van deze specifieke aanval, maar omdat browsers steeds meer systeemachtige functies krijgen.
Een moderne werkdag bestaat vaak uit CRM-systemen, advertentieplatformen, webmail, klantportalen, analytics, AI-tools en interne dashboards. Als al die omgevingen in dezelfde browsercontext draaien, wordt de browser een enorme verzamelplek van gedragspatronen.
De nieuwe basisregel: behandel je browser niet meer als één neutraal venster, maar als een werkruimte die je moet segmenteren.
Aparte profielen, duidelijke browserregels, minder extensies, sterke content blocking en periodiek wissen van websitegegevens zijn geen overdreven maatregelen meer. Het is digitale hygiëne.
Conclusie
FROST is geen reden voor paniek, maar wel een duidelijke waarschuwing. We zijn gewend om privacy te zien als iets dat gaat over cookies, trackers, IP-adressen en browsergeschiedenis.
FROST laat zien dat privacy ook kan lekken via hardwaregedrag: kleine vertragingen, SSD-activiteit en timingpatronen.
De browser is volwassen geworden. Misschien té volwassen. Wat ooit een venster naar het web was, is nu een halve applicatieomgeving met lokale opslag, databases, workers, GPU-toegang en steeds meer systeemachtige functies.
Voor gebruikers betekent dat: bewuster omgaan met tabbladen, browserprofielen en website-opslag.
Voor browsermakers betekent het iets groters: krachtige webfuncties moeten niet alleen handig zijn voor ontwikkelaars, maar ook veilig begrensd worden voor mensen die gewoon rustig willen browsen.
Geef een reactie