Em 2010, navegadores mitigaram ataques mascarando estilos de links visitados e limitando propriedades CSS aplicáveis. Entre 2013 e 2018 surgiram ataques mais sofisticados de timing e pixel/bleeding, observando reflows, cores renderizadas ou tempos de layout para inferir dados cross-origin. Alguns exploravam que múltiplos sites compartilhavam o mesmo processo do navegador, abrindo espaço para Spectre-like attacks, combinando microarquitetura da CPU e medições de tempo para exfiltrar informação.
Hoje, mitigadores modernos dificultam muito esses ataques: performance.now() tem baixa resolução, SharedArrayBuffer é restrito, e Site Isolation separa processos por origem. Ainda assim, muitos sites não aplicam COOP/COEP corretamente, deixando pequenas superfícies de ataque. Outros ataques modernos combinam eventos como onload ou focus com medições de layout e cores para inferir dados sem acesso direto ao DOM.
Essa é uma luta constante entre usabilidade, acessibilidade e cibersegurança: cada mitigação pode impactar performance ou experiência do usuário, e cada site sem proteção oferece terreno fértil para ataques de side-channel. Estudar esses cenários é essencial para entender como canais colaterais podem vazar informação sem quebrar o SOP.
Hoje, mitigadores modernos dificultam muito esses ataques: performance.now() tem baixa resolução, SharedArrayBuffer é restrito, e Site Isolation separa processos por origem. Ainda assim, muitos sites não aplicam COOP/COEP corretamente, deixando pequenas superfícies de ataque. Outros ataques modernos combinam eventos como onload ou focus com medições de layout e cores para inferir dados sem acesso direto ao DOM.
Essa é uma luta constante entre usabilidade, acessibilidade e cibersegurança: cada mitigação pode impactar performance ou experiência do usuário, e cada site sem proteção oferece terreno fértil para ataques de side-channel. Estudar esses cenários é essencial para entender como canais colaterais podem vazar informação sem quebrar o SOP.
