FROST — 新型网页窃密技术曝光：打开页面就可能被盯上

一打开网页，就可能被“看穿”？研究人员最近披露了一种叫 FROST 的新型追踪技术，全称是“基于 OPFS 的 SSD 时序远程指纹识别”。它能借着浏览器里的文件系统接口，去推断你正在看什么网页、机器上又跑着什么应用。你看，听起来就挺离谱的，对吧。

FROST 是什么

FROST 不是那种传统弹窗钓鱼，它更像一套“侧信道”监测办法。说白了，网页本身不直接去读你的隐私，可它能通过硬盘 I/O 延迟的变化，反过来猜设备现在是什么状态。

核心点很扎眼：访客只要打开一次页面，攻击脚本就能开始采集数据，而且不需要你点任何东西。

它怎么干活

这套技术用的是浏览器内置的 OPFS（源私有文件系统），去跑 JavaScript 脚本，持续记录 SSD 读写延迟。攻击网页会先搞出一个 1GB 甚至更大的 OPFS 文件，然后反复随机读取，盯着延迟波动不放。

当你在别的标签页里浏览，或者本地应用正在读写 SSD 的时候，硬件资源就会被抢占，时序也就乱了。FROST 抓的就是这种“乱劲儿”。我倒是认为，这种思路比直接偷数据更难防一点。

它能推断出什么

研究团队把采集到的时序轨迹喂给预训练卷积神经网络，做分类识别。不是玄学，真的能判断设备上正在运行的网页和应用程序。

论文里已经在搭载 M2 芯片的 Mac 上完成了完整演示，也在 Linux 平台验证了底层原语有效。不过，Windows 还没做公开测试，至少就现在披露出来的信息看，还不能直接下结论。为什么这么说呢？因为公开结果还不够完整。

风险有多大

说实话，这技术听着挺吓人，真要落地却没那么顺。它需要超大 OPFS 文件，用户很容易就察觉到；而且目标程序还得和攻击页共用同一块 SSD。要是应用跑在独立硬盘上，这招就直接失效了。

目前没有证据表明 FROST 已经被真实攻击者用到实战里。但它至少提醒了一件事：浏览器的本地存储能力越强，隐私边界就越容易被绕开。

业内给的建议也挺直接。浏览器厂商可以限制 OPFS 单文件容量，用户这边就尽量关掉闲置标签页，别让陌生网站在后台悄悄占用一堆存储空间。话说回来，这种基础操作其实就挺管用。

相关论文计划在 7 月的 DIMVA 会议正式发布。到那时，细节大概率还会再补一轮。

普通用户该怎么防

• 少开没必要的网页标签，真没必要就别挂着
• 看到网页突然申请大容量存储，先警惕一下
• 保持浏览器更新到最新版本
• 对来源不明的网站，别乱给权限

FROST 会直接偷文件吗？

不会。它更像是通过硬盘时序变化来做推断，不是直接读取你的文档内容。老实讲，这两者差别还挺大的。

Windows 用户需要马上恐慌吗？

不用。公开信息里还没有 Windows 平台的完整测试结果，不过这类思路一旦成熟，后面扩展过去也不奇怪。

普通人能防住吗？

能防一部分。少开可疑网页、及时清理闲置标签页、保持浏览器更新，这几招就已经很实用了。感觉对大多数人来说，先把这些习惯养好就够了。