{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Angreb via sidekanaler gennem \u00e6ndringssporingsmekanismen i FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forskere fra Grazer Teknologiske Universitet (\u00d8strig) har identificeret en r\u00e6kke angreb via eksterne kanaler (PDF), der udf\u00f8res gennem mekanismer til overv\u00e5gning af \u00e6ndringer i filsystemet. Angrebene g\u00f8r det muligt at overv\u00e5ge aktiviteten fra andre brugere baseret p\u00e5 analyse af begivenheder relateret til adgang til filer og mapper gennem API'er som inotify i Linux, FileObserver i Android, ReadDirectoryChangesW i Windows og File System Events i macOS. De indsamlede oplysninger kan bruges til at genskabe data, som brugeren indtaster via tastaturet, til at bestemme, hvilke websteder der \u00e5bnes, eller til at udf\u00f8re clickjacking-angreb, der overlays indhold p\u00e5 det aktive vindue i det \u00f8jeblik, man klikker. Koden, der implementerer angrebsmetoderne, er offentliggjort under MIT-licensen. <\/p>\n
Den f\u00f8rste angrebsmetode er demonstreret i Linux og skyldes muligheden for at bestemme adgangen til filer inden for en mappe, som ikke er direkte tilg\u00e6ngelige for l\u00e6sning og overv\u00e5gning. Ved hj\u00e6lp af funktionen inotifywatch kan man indirekte overv\u00e5ge \u00e6ndringer i filer inden for en mappe ved at overv\u00e5ge selve mappen. <\/p>\n
Direkte har en ikke-privilegeret bruger ikke adgang til at l\u00e6se indholdet og overv\u00e5ge aktiviteten p\u00e5 enheden \/dev\/input\/event4, som reflekterer begivenheder ved tastaturindput. Men begivenheder, der finder sted ved filen \/dev\/input\/event4, p\u00e5virker tilstanden for den overordnede mappe og kan overv\u00e5ges ved at overv\u00e5ge \u00e6ndringer i metadataene for mappen \/dev\/input. \u00c6ndringen i tilstanden for \/dev\/input\/event4 sker ved datainput og forsinkelserne mellem de registrerede begivenheder via inotify korrelerer med forsinkelserne mellem tastetryk p\u00e5 tastaturet. <\/p>\n
Ved at anvende metoder til statistisk analyse og tage h\u00f8jde for, at der er forsinkelser mellem tastetryk, som afh\u00e6nger af tastaturens layout, kan man med en vis sandsynlighed genskabe den indtastede information. For eksempel er reaktionen ved indtastning af bogstavet \u201eF\u201c hurtigere end ved indtastning af \u201eQ\u201c eller \u201eX\u201c, da det kr\u00e6ver f\u00e6rre fingerbev\u00e6gelser at trykke p\u00e5. Det er ogs\u00e5 hurtigere at trykke p\u00e5 samme tast igen og p\u00e5 n\u00e6rliggende taster (tasten \u201es\u201c efter \u201ea\u201c trykkes v\u00e6sentligt hurtigere end \u201eg\u201c efter \u201es\u201c).