JavaScriptでSSDを読む、新たな追跡手法

⏱ 読了約7分2,790 字

📑 目次

SSDのアクセスパターンが「指紋」になる仕組み
JavaScriptだけで実行できる理由
従来の追跡技術との決定的な違い
広告・監視・セキュリティへのビジネス的影響
ブラウザ・OS側の対策はどこまで可能か
まとめ
参考・出典

あなたがウェブサイトを閲覧するだけで、そのサイトはあなたのパソコン内部のSSD（ソリッドステートドライブ）の動きを読み取り、個人を特定できる——そんな新たな追跡手法が報告された。CookieもIPアドレスも使わない。使うのはJavaScriptと、SSDが刻む固有の「癖」だけだ。プライバシーの常識を塗り替えかねないこの発見は、ブラウザとOSの設計者に新たな課題を突きつけている。

SSDのアクセスパターンが「指紋」になる仕組み

SSDはデータを読み書きするたびに、固有のタイミングパターンを生成する。フラッシュメモリのセル配置、使用済みブロックの分布、ウェアレベリング（書き込み均等化）の状態——これらはSSDごとに異なり、同じ機種でも個体差がある。研究者らは、JavaScriptからストレージへの負荷をかける処理を実行し、その応答時間を精密に計測することで、この固有パターンを「指紋」として抽出できることを示したとArs Technicaは報じている。

技術的には「サイドチャネル攻撃」の一種だ。サイドチャネル攻撃とは、システムの主要な入出力ではなく、処理時間・電力消費・音といった副次的な情報を利用して秘密情報を推測する手法を指す。今回はストレージの応答時間という「時間の漏れ」を利用している。

JavaScriptだけで実行できる理由

この手法の危険性を高めているのは、特別なソフトウェアやブラウザ拡張機能が不要な点だ。通常のウェブページに埋め込まれたJavaScriptコードだけで計測が完結する。ユーザーはリンクをクリックしてページを開くだけで、知らないうちにSSDの指紋を採取される可能性がある。

ブラウザはセキュリティのためにJavaScriptからのハードウェア直接アクセスを制限しているが、ストレージのパフォーマンス計測はその制限をすり抜ける形で動作するとされる。ファイルシステムAPIや、ブラウザが内部的に使うキャッシュ操作を通じて間接的にSSDの負荷を操作し、その応答を測定する手法が用いられていると報告されている。

従来の追跡技術との決定的な違い

ウェブサイトがユーザーを追跡する手法はこれまでも多数存在した。Cookieはブラウザに保存した識別子を再利用する。IPアドレスは接続元ネットワークを示す。ブラウザフィンガープリントは画面解像度・フォント・プラグイン構成などの組み合わせで個人を識別する。

しかしこれらはいずれも、ブラウザの設定変更・VPN・プライベートモードである程度対策できる。SSDアクセスパターンによる識別は根本的に異なる。これはハードウェア自体の物理的特性に基づくため、ブラウザを変えても、VPNを使っても、プライベートモードに切り替えても、SSDそのものを交換しない限り同じ指紋が残り続ける。

AIの仕組みになぞらえるなら、AIが質問を「地図」の近さで解釈するように、この手法もデータの表層ではなく構造的な近さ——SSDの応答時間パターン——を手がかりに個人を特定する。表面上の情報を隠しても、深層の構造は変わらないのだ。

広告・監視・セキュリティへのビジネス的影響

この手法が実用化された場合、最も直接的な影響を受けるのは広告業界とプライバシー規制の世界だ。EUの一般データ保護規則（GDPR）や日本の個人情報保護法は、識別子による追跡に同意取得を義務付けている。しかしSSDフィンガープリントは「ユーザーの同意なく採取できるハードウェア識別子」という解釈も成り立ち、規制上の扱いは未整備のままだ。

企業のセキュリティ担当者にとっても無視できない問題がある。社内ネットワークから業務用PCでウェブを閲覧した場合、そのPCのSSD指紋が外部サービスに収集されるリスクがある。VPNで通信内容を守っていても、ハードウェア固有の識別情報は漏れ得る。これはゼロトラストセキュリティの観点からも新たな脅威要因となる。

また、この手法は善用も考えられる。金融機関が不正ログインを検知する際、正規ユーザーのデバイスをSSD指紋で確認する二要素認証への応用などだ。ただし、同じ技術が監視目的に転用されるリスクと表裏一体である。

ブラウザ・OS側の対策はどこまで可能か

研究者コミュニティが注目しているのは、ブラウザベンダーがこの手法をどこまで無効化できるかだ。時間計測APIの精度を意図的に下げる「タイマー精度低下」は、一部のサイドチャネル攻撃への既存対策として実施されている。しかしSSDの応答時間の差異が十分大きければ、精度を下げても識別は可能とされる。

OS側でストレージI/Oの応答時間に意図的なランダムノイズを加える対策も理論上は有効だが、パフォーマンスへの影響が懸念される。現時点でブラウザ各社が公式な対策を発表したという情報は確認できていない。

ユーザー個人が今すぐ取れる完全な防御策は存在しない。Chromium系ブラウザの更新動向、Mozillaのセキュリティアドバイザリを継続的に確認することが、現実的な対応策として挙げられる。

なお、コードの脆弱性を自動発見するAI技術も進歩しており、Anthropicの「Mythos」がコード脆弱性を自動発見するように、こうした新たなハードウェア攻撃手法の検出にもAIが活用される日は近いかもしれない。

まとめ

SSDのアクセスパターンをJavaScriptで読み取るこの新手法は、「ブラウザの設定を変えれば守れる」という従来のプライバシー常識を根底から揺さぶる。ハードウェアレベルの指紋は、ソフトウェアの工夫だけでは消えない。ブラウザベンダー・OS開発者・規制当局が連携して対応策を打ち出すまでの間、この脅威は現実に存在し続ける。