{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Angriffe \u00fcber externe Kan\u00e4le mittels des Mechanismus zur Verfolgung von \u00c4nderungen im FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher der Technischen Universit\u00e4t Graz (\u00d6sterreich) haben eine Reihe von Angriffen \u00fcber sekund\u00e4re Kan\u00e4le (PDF) identifiziert, die durch Mechanismen zur \u00dcberwachung von \u00c4nderungen im Dateisystem durchgef\u00fchrt werden. Diese Angriffe erm\u00f6glichen das Tracking der Aktivit\u00e4ten anderer Benutzer basierend auf der Analyse von Ereignissen im Zusammenhang mit dem Zugriff auf Dateien und Verzeichnisse \u00fcber APIs wie inotify in Linux, FileObserver in Android, ReadDirectoryChangesW in Windows und File System Events in macOS. Die gesammelten Informationen k\u00f6nnen verwendet werden, um Tastatureingaben zu rekonstruieren, besuchte Webseiten zu identifizieren oder Clickjacking-Angriffe durchzuf\u00fchren, die Inhalte \u00fcber ein aktives Fenster legen, kurz bevor ein Klick erfolgt. Der Code zur Implementierung dieser Angriffsmethoden wurde unter der MIT-Lizenz ver\u00f6ffentlicht. <\/p>\n
Die erste Angriffsmethode wird in Linux demonstriert und ergibt sich aus der M\u00f6glichkeit, den Zugriff auf Dateien innerhalb eines Verzeichnisses zu bestimmen, die direkt nicht lesbar oder verfolgbar sind. Mit der Funktion inotifywatch kann man indirekt die \u00c4nderungen von Dateien innerhalb eines Verzeichnisses durch die \u00dcberwachung des Verzeichnisses selbst feststellen. <\/p>\n
Ein nicht privilegierter Benutzer hat keinen direkten Lesezugriff auf die Inhalte und kann die Aktivit\u00e4ten des Ger\u00e4ts \/dev\/input\/event4, das Eingabeveranstaltungen einer Tastatur darstellt, nicht \u00fcberwachen. Doch die Ereignisse, die mit der Datei \/dev\/input\/event4 verbunden sind, beeinflussen den Zustand des \u00fcbergeordneten Verzeichnisses und k\u00f6nnen durch die \u00dcberwachung von \u00c4nderungen an den Metadaten des Verzeichnisses \/dev\/input verfolgt werden. Der Zustand von \/dev\/input\/event4 \u00e4ndert sich bei der Eingabe von Daten, und die Verz\u00f6gerungen zwischen den \u00fcber inotify erfassten Ereignissen korrelieren mit den Verz\u00f6gerungen zwischen den Tasteneingaben. <\/p>\n
Durch statistische Analysemethoden und unter Ber\u00fccksichtigung, dass die Verz\u00f6gerungen zwischen den Tastenanschl\u00e4gen von der Position der Tasten auf der Tastatur abh\u00e4ngen, kann mit einer bestimmten Wahrscheinlichkeit die eingegebene Information rekonstruiert werden. Zum Beispiel erfolgt die Reaktion beim Eingeben des Buchstabens \u201eF\u201c schneller als beim Eingeben von \u201eQ\u201c oder \u201eX\u201c, da f\u00fcr das Dr\u00fccken weniger Fingerbewegungen erforderlich sind. Auch das wiederholte Dr\u00fccken einer Taste und das Dr\u00fccken benachbarter Tasten (\u201as\u2018 nach \u201aa\u2018 wird deutlich schneller gedr\u00fcckt als \u201ag\u2018 nach \u201as\u2018) geschieht schneller.