{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Ataques a trav\u00e9s de canales externos mediante el mecanismo de seguimiento de cambios en el sistema de archivos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Investigadores de la Universidad T\u00e9cnica de Graz (Austria) han identificado una serie de ataques a trav\u00e9s de canales externos (PDF), realizados mediante mecanismos de seguimiento de cambios en el sistema de archivos. Estos ataques permiten rastrear la actividad de otros usuarios bas\u00e1ndose en el an\u00e1lisis de eventos relacionados con el acceso a archivos y directorios a trav\u00e9s de APIs como inotify en Linux, FileObserver en Android, ReadDirectoryChangesW en Windows y File System Events en macOS. La informaci\u00f3n obtenida puede utilizarse para reconstruir los datos introducidos por el usuario desde el teclado, identificar los sitios web abiertos o ejecutar ataques de clickjacking que superponen contenido en la ventana activa en el momento previo al clic. El c\u00f3digo que implementa los m\u00e9todos de ataque ha sido publicado bajo la licencia MIT. <\/p>\n
El primer m\u00e9todo de ataque ha sido demostrado en Linux y se debe a la posibilidad de determinar el acceso a archivos dentro de un directorio que no son directamente accesibles para lectura y seguimiento. Utilizando la funci\u00f3n inotifywatch se pueden rastrear indirectamente los cambios en los archivos dentro de un directorio mediante la supervisi\u00f3n del propio directorio. <\/p>\n
Un usuario no privilegiado no tiene derechos de acceso para leer el contenido y rastrear la actividad del dispositivo \/dev\/input\/event4, que refleja los eventos de entrada del teclado. Sin embargo, los eventos que ocurren con el archivo \/dev\/input\/event4 afectan el estado del directorio padre y pueden ser rastreados mediante la supervisi\u00f3n de cambios en los metadatos del directorio \/dev\/input. El cambio en el estado de \/dev\/input\/event4 ocurre al ingresar datos y los retrasos entre los eventos detectados por inotify correlacionan con los retrasos entre las pulsaciones de teclas en el teclado. <\/p>\n
Utilizando m\u00e9todos de an\u00e1lisis estad\u00edstico y teniendo en cuenta que los retrasos entre pulsaciones dependen de la disposici\u00f3n de las teclas en el teclado, es posible recrear la informaci\u00f3n ingresada con una probabilidad considerable. Por ejemplo, la reacci\u00f3n al escribir la letra \u00abF\u00bb es m\u00e1s r\u00e1pida que al escribir \u00abQ\u00bb o \u00abX\u00bb, ya que para presionar \u00abF\u00bb se requieren menos movimientos de los dedos. Adem\u00e1s, la reactivaci\u00f3n de una tecla se realiza m\u00e1s r\u00e1pidamente y tambi\u00e9n se presionan las teclas adyacentes m\u00e1s r\u00e1pidamente (se presiona \u00abs\u00bb despu\u00e9s de \u00aba\u00bb significativamente m\u00e1s r\u00e1pido que \u00abg\u00bb despu\u00e9s de \u00abs\u00bb).