{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Attacchi da canali esterni attraverso il meccanismo di monitoraggio delle modifiche nel FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I ricercatori dell'Universit\u00e0 Tecnica di Graz (Austria) hanno identificato una serie di attacchi attraverso canali esterni (PDF), attuati tramite meccanismi di tracciamento delle modifiche nel file system. Questi attacchi consentono di monitorare l'attivit\u00e0 di altri utenti analizzando gli eventi di accesso a file e directory tramite API come inotify in Linux, FileObserver in Android, ReadDirectoryChangesW in Windows e File System Events in macOS. Le informazioni ottenute possono essere utilizzate per ricreare ci\u00f2 che l'utente digita sulla tastiera, per identificare i siti web aperti o per organizzare attacchi di clickjacking, sovrapponendo contenuti alla finestra attiva al momento del clic. Il codice che implementa i metodi di attacco \u00e8 stato pubblicato sotto licenza MIT. <\/p>\n
Il primo metodo di attacco \u00e8 stato dimostrato in Linux ed \u00e8 causato dalla possibilit\u00e0 di determinare l'accesso ai file all'interno di una directory che non sono direttamente accessibili per la lettura e il monitoraggio. Utilizzando la funzione inotifywatch, \u00e8 possibile monitorare indirettamente le modifiche ai file all'interno di una directory attraverso il monitoraggio della directory stessa. <\/p>\n
Un utente non privilegiato non ha diritti di accesso alla lettura del contenuto e al monitoraggio dell'attivit\u00e0 del dispositivo \/dev\/input\/event4, che riflette gli eventi di input da tastiera. Tuttavia, gli eventi associati al file \/dev\/input\/event4 influenzano lo stato della directory padre e possono essere monitorati attraverso il cambiamento delle metadata della directory \/dev\/input. Le modifiche allo stato di \/dev\/input\/event4 avvengono durante l'inserimento dei dati, e i ritardi tra gli eventi registrati tramite inotify corrispondono ai ritardi tra le pressioni dei tasti sulla tastiera. <\/p>\n
Utilizzando metodi di analisi statistica e considerando che, durante la digitazione, i tempi di attesa tra i tasti premuti dipendono dalla posizione dei tasti sulla tastiera, \u00e8 possibile ricostruire con una certa probabilit\u00e0 le informazioni immesse. Ad esempio, la reazione nella digitazione della lettera \u00abF\u00bb \u00e8 pi\u00f9 veloce rispetto a quella della lettera \u00abQ\u00bb o \u00abX\u00bb, poich\u00e9 per premere il tasto sono necessari meno movimenti delle dita. Inoltre, \u00e8 pi\u00f9 veloce il riutilizzo di un tasto e la pressione di tasti adiacenti (il tasto \u00abs\u00bb dopo il tasto \u00aba\u00bb viene premuto significativamente pi\u00f9 velocemente rispetto al tasto \u00abg\u00bb dopo il tasto \u00abs\u00bb).