{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Attaques via des canaux lat\u00e9raux \u00e0 travers le m\u00e9canisme de suivi des changements dans le FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des chercheurs de l'Universit\u00e9 technique de Graz (Autriche) ont identifi\u00e9 une s\u00e9rie d'attaques par des canaux auxiliaires (PDF), mises en \u0153uvre via des m\u00e9canismes de suivi des modifications du syst\u00e8me de fichiers. Ces attaques permettent de suivre l'activit\u00e9 d'autres utilisateurs sur la base de l'analyse des \u00e9v\u00e9nements relatifs \u00e0 l'acc\u00e8s aux fichiers et aux r\u00e9pertoires \u00e0 travers des API telles qu'inotify sous Linux, FileObserver sous Android, ReadDirectoryChangesW sous Windows et File System Events sous macOS. Les informations obtenues peuvent \u00eatre utilis\u00e9es pour reconstituer les donn\u00e9es saisies par l'utilisateur au clavier, pour identifier les sites web visit\u00e9s ou pour organiser des attaques de clickjacking, superposant du contenu sur la fen\u00eatre active au moment du clic. Le code impl\u00e9mentant ces m\u00e9thodes d'attaque a \u00e9t\u00e9 publi\u00e9 sous licence MIT. <\/p>\n
La premi\u00e8re m\u00e9thode d'attaque a \u00e9t\u00e9 d\u00e9montr\u00e9e sous Linux et est due \u00e0 la possibilit\u00e9 de d\u00e9terminer l'acc\u00e8s aux fichiers \u00e0 l'int\u00e9rieur d'un r\u00e9pertoire qui ne sont pas directement accessibles en lecture et suivi. Gr\u00e2ce \u00e0 la fonction inotifywatch, il est possible de suivre indirectement les modifications de fichiers \u00e0 l'int\u00e9rieur d'un r\u00e9pertoire en surveillant le r\u00e9pertoire lui-m\u00eame. <\/p>\n
Un utilisateur non privil\u00e9gi\u00e9 n'a pas directement les droits d'acc\u00e8s pour lire le contenu et suivre l'activit\u00e9 de l'appareil \/dev\/input\/event4, qui refl\u00e8te les \u00e9v\u00e9nements de saisie au clavier. Cependant, les \u00e9v\u00e9nements li\u00e9s au fichier \/dev\/input\/event4 impactent l'\u00e9tat du r\u00e9pertoire parent et peuvent \u00eatre suivis en surveillant les modifications des m\u00e9tadonn\u00e9es du r\u00e9pertoire \/dev\/input. L'\u00e9tat de \/dev\/input\/event4 change lors de la saisie de donn\u00e9es, et les d\u00e9lais entre les \u00e9v\u00e9nements enregistr\u00e9s via inotify corr\u00e8lent avec les d\u00e9lais entre les frappes sur le clavier. <\/p>\n
En utilisant des m\u00e9thodes d'analyse statistique et en tenant compte du fait que les d\u00e9lais entre les frappes d\u00e9pendent de la disposition des touches sur le clavier, il est possible de recr\u00e9er les informations saisies avec une certaine probabilit\u00e9. Par exemple, la r\u00e9action lors de la saisie de la lettre \u00ab F \u00bb est plus rapide que lors de la saisie de \u00ab Q \u00bb ou \u00ab X \u00bb, car moins de mouvements de doigts sont n\u00e9cessaires. De plus, la r\u00e9p\u00e9tition d'une touche et la pression sur des touches adjacentes (\u00ab s \u00bb apr\u00e8s \u00ab a \u00bb sont frapp\u00e9es beaucoup plus rapidement que \u00ab g \u00bb apr\u00e8s \u00ab s \u00bb) se font \u00e9galement plus rapidement.