此JAVASCRIPT代码可以监视浏览器选项卡，以找出用户访问的网站

甚至可以使用此恶意代码监视Tor浏览器

据他们说，数字取证和信息安全方面的专家已经发布了一种新的侧通道攻击技术，可以绕过任何浏览器的隐私防御。 甚至Tor浏览器都容易受到攻击媒介的攻击。 因此，Web浏览器选项卡中的恶意JavaScript可能会监视其他打开的选项卡，以确定用户访问哪些网站。

根据数字取证专家的说法，除了收集用户的相关信息以划定简档，存储信息并将其用于将来的参考之外，该数据还可用于向用户执行特定目标的广告活动。

研究人员Yossi Oren和Yuval Yarom描述了一种基于处理器缓存的网站指纹识别攻击，该攻击使用JavaScript收集数据并识别任何访问过的网站。

“我们已经演示了一种可能危及'用户秘密'的攻击方法，攻击能够发现用户访问的网站; 这可能会泄露高度机密的信息，例如用户的性取向，宗教信仰，政治偏好，健康状况等，“提到数字取证专家Yossi Oren（来自以色列Ben-Gurion大学）和Yuval Yarom（阿德莱德大学，澳大利亚）在最近公布的安全通知中。

这种攻击媒介可能不像远程攻击技术那样严重，例如任意代码执行，但研究人员认为，可能有一些方法可以使这种技术适应危害计算机机密作为加密密钥或易受攻击的软件。 例如，Tor浏览器用户如果成为这次攻击的受害者，可能会面临严重后果，认为他们的搜索是保密的。

侧通道（或瞬时执行）攻击涉及监视计算机系统的一部分以收集可用于猜测高度机密信息的指示符。 Spectre ，Meltdown和Foreshadow漏洞（今年透露）可以通过这种技术加以利用。

专家评论说，这次袭击是在最基本的层面上进行的。 “它适用于Spectre无法运行的地方（例如，通过过程限制），而针对幽灵制作的补丁无法阻止它，”他们说。

用于缓解这些攻击的方法之一是限制对高精度定时器的访问，通过该定时器可以收集来自侧信道的数据。 例如，当发现Spectre和Meltdown缺陷时，Mozilla报告说它会禁用或降低公司浏览器Firefox中时间源的准确性。

但这种新的浏览器指纹识别技术不需要高精度计时器，因为它专注于处理器的缓存占用，正如数字取证专家所报告的那样。

研究人员解释说：“缓存占用率测量了特定时间段内总缓存的占用百分比。” “浏览器使用大量内存，因为它在屏幕上显示多个输出时接收大量数据。 这意味着在加载页面时使用大部分缓存“。

此外，这种方法不依赖于缓存设计，这使得随机缓存分布（风险缓解技术）对此攻击无效。 攻击也不受基于网络的指纹识别防御的影响，例如当浏览器从其响应缓存而不是网络获取数据时，或者使用网络流量配置时。

此攻击涉及使用JavaScript来测量网站加载时处理器缓存访问的延迟。 然后使用深度学习技术比较这些记录，以便自动识别相似性以建立对某个网站的访问。 换句话说，可以通过浏览器在屏幕上搜索和显示网站时访问CPU缓存的方式来确定某人正在访问哪个网站。 选项卡中的恶意JavaScript可以监视缓存访问以识别模式并记录其他选项卡访问的网站的记录。

通过测试对传统浏览器的攻击，研究人员能够准确地对70％到90％的访问页面进行分类，而在Tor中，攻击的准确率仅为47％，但是当考虑其他数据时，准确度增加到72 ％，研究人员说。