Istraživači s Tehnološkog sveučilišta u Grazu (Austrija) identificirali su niz napada bočnim kanalima (PDF) provedenih putem mehanizama za praćenje promjena u datotečnom sustavu. Napadi omogućuju praćenje aktivnosti drugih korisnika analizom događaja pristupa datotekama i direktorijima putem API-ja kao što je inotify. Linux, FileObserver u Android, ReadDirectoryChangesW u Windows i događaji datotečnog sustava u macOSDobivene informacije mogu se koristiti za rekonstrukciju korisničkog unosa s tipkovnice, određivanje koje su web stranice otvorene ili pokretanje clickjacking napada koji prekrivaju sadržaj preko aktivnog prozora neposredno prije klika. Kod koji implementira metode napada objavljen je pod MIT licencom.
Prva metoda napada je demonstrirana u Linux To je zbog mogućnosti određivanja pristupa datotekama unutar direktorija koje nisu izravno čitljive ili nadzirane. Pomoću funkcije inotifywatch možete neizravno pratiti promjene datoteka unutar direktorija nadziranjem samog direktorija.
Neprivilegirani korisnik nema izravan pristup čitanju sadržaja ili praćenju aktivnosti uređaja /dev/input/event4, koji bilježi događaje unosa s tipkovnice. Međutim, događaji koji se događaju s datotekom /dev/input/event4 utječu na stanje nadređenog direktorija i mogu se pratiti praćenjem promjena metapodataka za direktorij /dev/input. Promjene stanja /dev/input/event4 događaju se prilikom unosa podataka, a kašnjenja između događaja zabilježenih putem inotifyja koreliraju s kašnjenjima između pritisaka tipki na tipkovnici.
Korištenjem metoda statističke analize i uzimajući u obzir da kašnjenja između pritisaka tipki tijekom tipkanja ovise o rasporedu tipki na tipkovnici, moguće je s određenim stupnjem sigurnosti ponovno stvoriti unesene informacije. Na primjer, vrijeme reakcije pri unosu slova "F" je brže nego pri unosu "Q" ili "X" jer zahtijeva manje pokreta prsta. Ponovljeni pritisci tipki i susjedni pritisci tipki također su brži ("s" nakon "a" pritišće se znatno brže od "g" nakon "s").
Ova se metoda također može koristiti za rekonstrukciju unosa u SSH sesijama kada se dva različita korisnika spoje na isti SSH poslužitelj. U tom slučaju, jedan korisnik može pratiti događaje generirane unosom drugog korisnika praćenjem datoteke uređaja /dev/pts. Ovaj je problem riješen u siječanjskim ažuriranjima kernela 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 i 6.18.3 onemogućavanjem generiranja događaja ACCESS i MODIFY za nadređeni direktorij prilikom pristupanja ili izmjene posebnih datoteka unutar njega.
Druga metoda napada omogućuje određivanje trenutka kada Polkit podsustav prikazuje dijalog za autentifikaciju praćenjem izvršne datoteke /usr/bin/pkexec. U ovom trenutku napadač može stvoriti lažni prozor, stiliziran da nalikuje dijalogu za unos lozinke, i prikazati ga preko pravog upita za lozinku. Korisnik koji nije svjestan zamjene tada može unijeti lozinku kako bi potvrdio operaciju u prozoru napadača. Ovaj napad je demonstriran na distribucijama koje pokreću KDE Plasma desktop okruženje.
Pruža platforma Android FileObserver API može se koristiti za praćenje aktivnosti datoteka u privatnim direktorijima drugih aplikacija. Na primjer, analizom aktivnosti u direktoriju /sdcard/.Android/media/com.whatsapp/WhatsApp možete pratiti brisanje, slanje i primanje datoteka, videozapisa ili slika u WhatsAppu, kao i saznati imena poslanih ili primljenih datoteka.
В Windows Pokazalo se da omogućavanje praćenja događaja za korijenski direktorij (C:\) prenosi informacije, uključujući punu putanju datoteke, o svim događajima sa svim datotekama u datotečnom sustavu, bez obzira na dozvole za datoteke. Istraživači su pokazali mogućnost korištenja ove značajke za praćenje u stvarnom vremenu koje web stranice korisnici otvaraju u Firefoxu (za bazu podataka i predmemoriju IndexedDB u Firefoxu, za svaku web stranicu stvara se zaseban direktorij s nazivom web stranice, a pristup tom direktoriju može se pratiti). Microsoftov odgovor na ovaj sigurnosni problem nominiran je za nagradu Pwnies 2026 za najnoviji odgovor dobavljača, budući da su predstavnici tvrtke isprva tvrdili da se ne radi o ranjivosti, već o nedokumentiranoj značajki.
Izvor: opennet.ru
