In het kort
Onderzoek (FROST) toont dat timing via browser-opslag in labsettings systeemactiviteit kan verraden. Het is geen mainstream marketingtruc en hoort niet bij ethische websitebouw. Wel een wake-up call: kies betrouwbare sites en professionals die security meenemen.
Begrippensnelle schijf(SSD)browser-opslag(OPFS)
Kernpunten
- Side-channel via SSD-timing in de browser: wetenschappelijk aangetoond, geen standaard feature.
- Betrouwbare bureaus zetten dit niet in; het botst met ethiek en privacy.
- Het dreigingsbeeld verschuift: niet alleen apps en mail, ook open webpagina’s.
- Mitigaties: browser-updates, schone scripts, nette hosting.
We waarschuwen vaak voor de telefoon: phishing, malware, rare apps. Minder bekend is dat een gewone website in theorie iets kan opvangen van wat er verder op je computer gebeurt. Er wordt niets geïnstalleerd en er worden geen bestanden gelezen. Het gaat via JavaScript in de browser, terwijl jij denkt dat je “alleen een pagina bekijkt”.
In 2026 toonden onderzoekers van de TU Graz aan dat een pagina kan afleiden welke andere websites en lokale apps actief zijn. Geen plugin, geen download, geen “toestaan”. Dat is geen productfeature en geen marketingtool. Dat is een wetenschappelijke side-channel, en daarom verdient het aandacht.
Dit is geen mainstream techniek
Je komt dit niet tegen in een standaard webshop-checklist. Betrouwbare webdesigners, hosters en ontwikkelaars zetten dit soort trucs niet in. Integendeel: de branche is erop gericht om bezoekers te beschermen met veilige hosting, nette scripts, updates, beperkte rechten, en zonder duistere meetexperimenten op jouw apparaat.
Wie zoiets heimelijk inzet om mensen te bespioneren, beweegt zich buiten wat ethisch én juridisch deugt. Verborgen observatie zonder legitieme grondslag botst met privacywetgeving. Dit hoort bij kwaadwillig onderzoek of misbruik, niet bij normale websitebouw.
Wat er technisch mogelijk bleek
De pagina breekt de browser-sandbox niet open. Ze meet microscopische vertragingen in SSD-toegang via een browser-API (Origin Private File System, OPFS). Andere tabs en apps delen dezelfde schijfcontroller; die concurrentie laat een meetbaar spoor achter. Timingpatronen worden een soort vingerafdruk van systeemactiviteit.
De verrassing zit hier: de “aanvaller” is niet malware op je PC, maar een website die openstaat. Daarom voelt het zo dichtbij, en zo anders dan het beeld van “alleen mijn telefoon is riskant”.
Hoe heet dit onderzoek?
De methode heet FROST: Fingerprinting Remotely using OPFS-based SSD Timing. Onderzoekers publiceerden het om browsers en de industrie te waarschuwen, niet om iedereen een spionagetool te geven. Wij publiceren hier geen stappenplan om dit na te doen.
Hoe het conceptueel werkt
- De pagina initialiseert opslag via OPFS.
- Er wordt een groot meetbestand aangelegd zodat reads de schijf raken, niet alleen de cache.
- In een lus meet de pagina de duur van random reads met high-resolution timers.
- Wanneer elders SSD-verkeer ontstaat (andere site, app start), verandert de latency. Dat levert een trace op.
- Een model classificeert die trace: “waarschijnlijk site X” of “app Y”.
In labsettings zijn hoge scores gerapporteerd. Dat betekent niet dat elke bezoeker even kwetsbaar is: hardware, besturingssysteem, achtergrondruis en browserinstellingen maken veel verschil. Maar het principe staat: het kan.
Waarom dit toch telt
- Het verschuift het dreigingsbeeld: niet alleen apps en mail, ook websites die je bezoekt.
- Het laat zien dat “een tab openzetten” geen onschuldige, hermetische ruimte is.
- Het onderstreept waarom updates, strenge browsers en nette sites ertoe doen.
Geen paniek: dit is geen bewijs dat elke site je nu bespioneert. Wel een reden om bewuster te kiezen wie je vertrouwt online, en om te eisen dat professionals veiligheid meenemen.
Wie beschermt je?
Browserfabrikanten werken aan mitigaties (timers, quota, API-beleid). En dichterbij: webdesigners, hosters en ontwikkelaars die hun vak serieus nemen, houden je site schoon. Geen wilde third-party scripts, actuele software, een harde scheiding van wat een pagina mag, en monitoring op rare patronen. Dat is geen luxe; dat is het verschil tussen een open web en een open deur.
Wat je hiermee kunt
Als bezoeker: realiseer je dat risico niet alleen in de telefoon zit. Als organisatie: laat je site bouwen en hosten door mensen die security vanaf het begin meenemen. Wij herhalen geen exploits; we helpen je inschatten wat reëel is en wat eerst moet, zodat bezoekers veilig blijven.
Veelgestelde vragen
Doet elke website dit?
Nee. Dit is onderzoeksmatig aangetoond; normale webshops en bureaus gebruiken dit niet als productfeature.
Publiceert Exedo een stappenplan om dit na te doen?
Nee. We leggen het risico uit zodat organisaties bewuster kiezen, zonder exploit-recept.
Wat kan ik als organisatie doen?
Houd third-party scripts strak, update software, host veilig, en laat security meelopen in bouw en beheer.
