FROST: Pelacakan Aktivitas Tanpa Cookie Lewat Latensi SSD
ORBITINDONESIA.COM – FROST, teknik pelacakan aktivitas tanpa cookie, membuka bab baru ancaman privasi di browser modern. Tim peneliti Austria menunjukkan situs web bisa menebak aplikasi dan tab yang aktif hanya dengan membaca perubahan latensi SSD secara diam-diam.
Selama satu dekade, perang privasi di internet berkutat pada cookie pihak ketiga, skrip pelacak, dan fingerprinting berbasis perangkat. Namun riset terbaru ini menyingkirkan semua itu dan memilih jalur yang lebih sunyi: perilaku perangkat keras yang sulit dilihat pengguna.
Metode yang dinamai FROST (fingerprinting remotely using OPFS-based SSD timing) memanfaatkan fakta sederhana. Banyak proses berebut akses ke SSD, dan perebutan itu meninggalkan jejak waktu yang kecil tetapi bisa diukur.
Yang membuatnya mengkhawatirkan adalah tempat serangan ini hidup. Ia berjalan dari dalam browser, memanfaatkan Origin Private File System (OPFS) yang awalnya dirancang sebagai ruang penyimpanan terisolasi untuk situs.
Isu ini bukan hanya soal celah teknis. Ini soal bagaimana browser modern, yang makin kaya fitur, kini menjadi perantara antara dunia web dan sumber daya sistem yang paling sensitif.
FROST bekerja dengan memerintah JavaScript membuat file besar di OPFS, lalu membacanya berulang-ulang sambil mencatat durasi operasi. Ketika aplikasi lain mengakses SSD, waktu baca bergeser, dan pergeseran itu menjadi sinyal.
Sinyal itu kemudian diolah dengan convolutional neural network untuk menemukan pola. Setelah dilatih, model dapat mengasosiasikan pola latensi tertentu dengan aktivitas spesifik, seperti membuka aplikasi chat atau mengunjungi situs tertentu.
Dalam artikel yang dikutip dari Techspot, peneliti menekankan bahwa ini adalah side-channel attack. Informasi tidak diambil dari data langsung pengguna, melainkan disimpulkan dari perilaku sistem yang “bocor” lewat timing.
Keunggulan yang sekaligus menjadi ancaman adalah sifatnya yang lintas browser. Karena yang diukur adalah kompetisi akses ke SSD fisik, sinyal lebih terkait pada perilaku perangkat secara keseluruhan daripada identitas browser tertentu.
Ada batas operasional yang membuatnya belum otomatis menjadi senjata massal. Riset menyebut serangan membutuhkan file minimal 1 GB, berisiko memicu peringatan penyimpanan atau kecurigaan pengguna.
FROST juga hanya efektif jika target berada pada SSD fisik yang sama. Dalam uji awal, metode baru dicoba pada Apple M2 (macOS) dan Linux, sehingga kompatibilitas pada Windows masih menjadi pertanyaan.
Meski begitu, kita tidak boleh menganggapnya sekadar eksperimen akademik. Pola sejarah keamanan siber berulang: teknik yang “sulit dipakai” hari ini sering menjadi “mudah diproduksi” ketika alat otomatis dan insentif ekonomi bertemu.
Di ekosistem iklan digital, nilai prediksi perilaku pengguna sangat tinggi. Ketika cookie dibatasi dan fingerprinting klasik diburu, industri cenderung mencari sinyal baru yang lebih licin dan sulit diaudit.
OPFS sendiri hadir untuk kebutuhan sah, seperti aplikasi web yang butuh penyimpanan lokal. Namun ruang “terisolasi” pada level perangkat lunak tetap berbagi perangkat keras yang sama, dan di situlah paradoks keamanan muncul.
Usulan mitigasi dari akademisi terdengar realistis tetapi tidak murah. Vendor browser seperti Google dan Microsoft disarankan membatasi kapasitas OPFS atau memantau pola akses penyimpanan yang mencurigakan.
Masalahnya, pembatasan sering berhadapan dengan tuntutan performa dan pengalaman pengguna. Browser berlomba menjadi “sistem operasi mini”, dan setiap pembatasan berpotensi memukul aplikasi web yang sah.
FROST memperlihatkan bahwa privasi bukan lagi semata urusan kebijakan cookie. Privasi kini bertarung di lapisan yang lebih dalam, yaitu perilaku perangkat keras yang tidak pernah dirancang untuk menjadi “saluran informasi”.
Di titik ini, narasi “pilihan pengguna” terasa timpang. Pengguna bisa menolak cookie, memasang pemblokir iklan, bahkan menghapus riwayat, tetapi tetap dapat dipetakan lewat timing SSD yang tak terlihat.
Ini juga memperluas pertanyaan etika tentang AI dalam keamanan dan pelacakan. Neural network yang sama bisa dipakai untuk deteksi ancaman, tetapi juga bisa menjadi mesin inferensi untuk memprofilkan aktivitas harian.
Kita perlu jujur bahwa keamanan browser adalah kompromi permanen. Ketika browser diberi akses lebih luas ke penyimpanan dan komputasi lokal, permukaan serangan ikut mengembang, dan audit publik tertinggal di belakang.
Karena itu, respons paling penting bukan kepanikan, melainkan tata kelola. Transparansi fitur seperti OPFS, batasan default yang konservatif, dan indikator aktivitas penyimpanan yang lebih jelas harus menjadi standar, bukan opsi.
Riset FROST yang akan dipresentasikan di konferensi DIMVA pada Juli mendatang memberi peringatan yang tenang tetapi tajam. Pelacakan aktivitas tanpa cookie kini bisa datang dari tempat yang tak kita duga: detak waktu SSD.
Jika privasi adalah hak, maka ia tidak boleh bergantung pada kemampuan teknis pengguna untuk memahami side-channel. Pertanyaannya kini sederhana dan mendesak: apakah browser masa depan akan melindungi pengguna secara default, atau justru menormalisasi kebocoran kecil yang dikapitalisasi diam-diam. (Orbit dari berbagai sumber, 6 Juni 2026)
