Une faille dans les SSD exploitable via le Web pour un pistage invisible ? Des chercheurs mettent en garde

Une équipe de chercheurs vient de révéler une faille inédite dans le fonctionnement des disques SSD, susceptible d’être exploitée par un simple site web pour tracer les utilisateurs à leur insu. Selon Frandroid, ces spécialistes ont démontré comment une page web malveillante pourrait exploiter des mécanismes internes des SSD afin de collecter des données personnelles sans laisser de trace apparente.

Cette découverte s’appuie sur une fonctionnalité des disques SSD appelée FROST (Flash Read-Only Status Tracking), initialement conçue pour optimiser les performances. Pourtant, les chercheurs ont réussi à détourner ce mécanisme à des fins de pistage, soulevant des questions majeures sur la sécurité des données personnelles en ligne. L’exploitation de cette faille ne nécessite ni installation de logiciel malveillant ni autorisation particulière de la part de l’utilisateur, ce qui la rend d’autant plus préoccupante.

Comment fonctionne cette faille de pistage via les SSD ?

Selon les explications fournies par les chercheurs à Frandroid, la faille repose sur l’exploitation des métadonnées générées par les SSD lors des opérations de lecture et d’écriture. Chaque accès au disque laisse une empreinte spécifique, liée aux blocs physiques utilisés. En analysant ces motifs, un site web peut reconstituer un identifiant unique pour chaque utilisateur, similaire à un cookie, mais bien plus difficile à supprimer.

Pour y parvenir, l’attaque exploite la fonction FROST, qui permet de surveiller l’état des blocs de mémoire flash. En créant des requêtes spécifiques via JavaScript, un attaquant peut déclencher des lectures répétées sur certains secteurs du SSD. Ces opérations, enregistrées dans les métadonnées du disque, sont ensuite analysées pour générer un profil de l’utilisateur. « Ce mécanisme contourne les protections traditionnelles comme les bloqueurs de publicités ou les VPN, car il agit au niveau matériel », a expliqué l’un des chercheurs à Frandroid.

Quels sont les risques pour les utilisateurs ?

Les risques associés à cette faille sont multiples et touchent directement la vie privée des internautes. Contrairement aux cookies ou aux empreintes de navigateur classiques, ce pistage via SSD est persistant et quasi indétectable. Il ne peut être effacé par une simple suppression des données du navigateur ou l’utilisation d’un outil de nettoyage.

Parmi les scénarios les plus préoccupants, les chercheurs évoquent la possibilité de suivre un utilisateur à travers différents appareils ou réseaux, en associant ce profil SSD à d’autres identifiants numériques. « Si un attaquant parvient à corréler ces données avec d’autres informations, comme des adresses IP ou des comptes en ligne, il peut reconstituer un portrait très précis de la personne », a précisé l’un des auteurs de l’étude. De plus, cette technique pourrait être exploitée pour contourner les mesures de sécurité comme l’authentification à deux facteurs, en servant de complément aux méthodes de pistage existantes.

Les constructeurs de SSD et les navigateurs concernés

Cette faille concerne l’ensemble des SSD grand public, quelle que soit leur marque ou leur capacité, tant qu’ils utilisent la technologie NAND flash. Les chercheurs n’ont pas encore identifié de solution universelle pour bloquer cette exploitation, bien que des pistes soient à l’étude, comme la modification des pilotes du système d’exploitation ou l’ajout de couches de protection logicielles.

Côté navigateurs, les principaux concernés sont ceux qui permettent l’exécution de scripts avancés, comme Chrome, Firefox ou Edge. « Les bloqueurs de scripts, comme NoScript ou uBlock Origin, pourraient limiter l’exploitation de cette faille en restreignant l’exécution de JavaScript », a suggéré un expert en cybersécurité interrogé par Frandroid. Cependant, cette solution reste partielle, car elle affecte aussi le fonctionnement normal des sites web légitimes.

Cette découverte rappelle une fois de plus l’importance de la vigilance en matière de cybersécurité, même face à des technologies aussi répandues que les SSD. Les utilisateurs sont invités à rester informés des évolutions sur ce sujet et à appliquer les correctifs dès qu’ils seront disponibles.