עידן הפרטיות ברשת סופג מכה נוספת, והפעם מכיוון לא צפוי לחלוטין.
כונן האחסון שלכם. דיווח מדאיג חושף כי חוקרי אבטחה גילו שיטה חדשה ומתוחכמת המאפשרת לאתרי אינטרנט לעקוב אחר פעילות הגולשים ולזהות אותם, באמצעות ניתוח דפוסי העבודה והביצועים של כונני ה-SSD (כוננים במצב מוצק) המותקנים במחשביהם.
הטכניקה החדשה, המכונה "טביעת אצבע של חומרה" (Hardware Fingerprinting), עוקפת את מנגנוני ההגנה המסורתיים של הדפדפנים ואינה תלויה בקובצי עוגיות (Cookies) או כתובות IP.
כיצד פועל מנגנון הריגול דרך כונן האחסון?
כאשר אתם גולשים באתר אינטרנט, הדפדפן שלכם מבצע ברקע פעולות קריאה וכתיבה קבועות של קבצים זמניים (Cache) אל כונן ה-SSD של המחשב. המחקר החדש מדגים כיצד קוד JavaScript פשוט, הרץ בתוך עמוד האינטרנט, יכול למדוד בדיוק של מיקרו-שניות את הזמן שלוקח לכונן לבצע את הפעולות הללו.
מאחר שלכל כונן SSD יש מאפיינים פיזיים ייחודיים, הנובעים מיצרן הרכיב, סוג בקר הזיכרון, מידת השחיקה של תאי ה-NAND, ומנגנוני ניהול הקבצים הפנימיים שלו, זמני התגובה הללו מייצרים דפוס פעולה ייחודי (Hardware Signature).
האתר המרגל יכול להשתמש בדפוס זה כדי:
- לעקוב אחריכם במצב אנונימי (Incognito): גם אם תמחקו עוגיות או תגלשו במצב פרטי, חתימת ה-SSD שלכם תישאר זהה ותאפשר לאתר לזהות שזהו אותו משתמש.
- לעקוב במעבר בין דפדפנים: החתימה נקבעת ברמת החומרה, ולכן אתר שיריץ את הקוד בדפדפן כרום (Chrome) יקבל את אותו דפוס זיהוי גם אם תגלשו אליו מאוחר יותר דרך פיירפוקס (Firefox).
מדוע חסימות הפרטיות הקיימות אינן יעילות?
חברות הטכנולוגיה הגדולות, ובראשן אפל (עם דפדפן Safari) ומוזילה, משקיעות מאמצים רבים בשנים האחרונות בחסימת "טביעות אצבע" מבוססות דפדפן, כמו זיהוי סוג הפונטים המותקנים או רזולוציית המסך.
הבעיה המרכזית בשיטה החדשה היא שהיא מנצלת פונקציות תזמון בסיסיות (כמו performance.now()) הנחוצות לפעילותן התקינה של אפליקציות רשת מודרניות, משחקים בדפדפן ונגני וידאו. חסימה מוחלטת של הגישה למדדי הזמן הללו עלולה "לשבור" את האינטרנט ולמנוע מאתרים רבים לפעול כראוי, מה שמציב את מפתחי הדפדפנים בפני דילמה ארכיטקטונית מורכבת.
איך בכל זאת ניתן להתגונן?
למרות שמדובר באיום מורכב, מומחי אבטחה מציינים כי ישנן מספר דרכים לצמצם את יעילות המעקב:
- שימוש בדפדפנים ממוקדי פרטיות: דפדפנים כמו Tor Browser או Brave כוללים מנגנוני "הערמת רעש" (Fuzzing) המזריקים שגיאות זמן מכוונות וקטנות לתוך פונקציות התזמון של JavaScript, מה שמשבש את היכולת של האתר לבנות פרופיל מדויק של ה-SSD.
- השבתת JavaScript באתרים חשודים: שימוש בתוספים כמו NoScript מאפשר לחסום הרצת קוד אוטומטי לחלוטין, אם כי הדבר יפגע בחוויית הגלישה באתרים דינמיים.
מפתחי דפדפני הכרום והספארי כבר עודכנו בממצאי המחקר, וצפויים לבחון דרכים להגבלת הרזולוציה של שעוני התזמון הפנימיים בעדכוני התוכנה הבאים במהלך שנת 2026, כדי להפוך את טכניקת הריגול הזו לבלתי ישימה.
