파일 시스템 변경 추적 메커니즘을 통한 사이드 채널 공격

오스트리아 그라츠 공과대학교 연구진은 파일 시스템 변경 모니터링 메커니즘을 통해 수행되는 일련의 사이드 채널 공격(PDF)을 확인했습니다. 이 공격은 inotify와 같은 API를 통해 파일 및 디렉터리 접근 이벤트를 분석하여 다른 사용자의 활동을 모니터링할 수 있도록 합니다. LinuxFileObserver에서 Android, ReadDirectoryChangesW에서 Windows 파일 시스템 이벤트 및 macOS획득한 정보는 사용자의 키보드 입력을 재구성하거나, 어떤 웹사이트가 열렸는지 파악하거나, 클릭 직전에 활성 창에 콘텐츠를 덧씌우는 클릭재킹 공격을 실행하는 데 사용될 수 있습니다. 공격 방법을 구현한 코드는 MIT 라이선스에 따라 공개됩니다.

첫 번째 공격 방법은 다음과 같습니다. Linux 이는 직접 읽거나 모니터링할 수 없는 디렉터리 내 파일에 대한 접근 권한을 확인할 수 있기 때문입니다. inotifywatch 함수를 사용하면 디렉터리 자체를 모니터링하여 디렉터리 내 파일 변경 사항을 간접적으로 추적할 수 있습니다.

권한이 없는 사용자는 키보드 입력 이벤트를 기록하는 /dev/input/event4 장치의 내용을 직접 읽거나 활동을 모니터링할 수 없습니다. 그러나 /dev/input/event4 파일에서 발생하는 이벤트는 상위 디렉터리의 상태에 영향을 미치며, /dev/input 디렉터리의 메타데이터 변경 사항을 모니터링하여 확인할 수 있습니다. /dev/input/event4의 상태 변경은 데이터가 입력될 때 발생하며, inotify를 통해 기록된 이벤트 간의 지연 시간은 키보드 키 입력 간의 지연 시간과 상관관계가 있습니다.

통계 분석 방법을 사용하고 키보드 키 배열에 따라 키 입력 사이의 지연 시간이 달라진다는 점을 고려하면 입력된 정보를 어느 정도 정확하게 재현할 수 있습니다. 예를 들어, "F"를 입력할 때의 반응 속도는 "Q"나 "X"를 입력할 때보다 빠릅니다. 이는 "F"를 입력할 때 손가락 움직임이 덜 필요하기 때문입니다. 또한, 반복 입력이나 인접한 키 입력도 반응 속도가 다릅니다("a" 다음에 오는 "s"를 누르는 속도는 "s" 다음에 오는 "g"를 누르는 속도보다 훨씬 빠릅니다).

이 방법은 두 명의 사용자가 동일한 SSH 서버에 연결할 때 SSH 세션의 입력 내용을 재구성하는 데에도 사용할 수 있습니다. 이 경우 한 사용자는 /dev/pts 장치 파일을 모니터링하여 다른 사용자의 입력으로 생성된 이벤트를 확인할 수 있습니다. 이 문제는 1월 커널 업데이트 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 및 6.18.3에서 상위 디렉터리 내의 특수 파일에 접근하거나 수정할 때 상위 디렉터리에 대한 ACCESS 및 MODIFY 이벤트 생성을 비활성화함으로써 해결되었습니다.

두 번째 공격 방법은 /usr/bin/pkexec 실행 파일을 모니터링하여 Polkit 하위 시스템이 인증 대화 상자를 표시하는 시점을 파악하는 것입니다. 이 시점에 공격자는 암호 입력 대화 상자처럼 보이는 가짜 창을 만들어 실제 암호 입력창 위에 표시할 수 있습니다. 이러한 사실을 모르는 사용자는 공격자의 창에서 암호를 입력하여 작업을 확인할 수 있습니다. 이 공격은 KDE Plasma 데스크톱 환경을 실행하는 배포판에서 시연되었습니다.

플랫폼에서 제공 Android FileObserver API는 다른 애플리케이션의 개인 디렉터리에 있는 파일 활동을 모니터링하는 데 사용할 수 있습니다. 예를 들어, /sdcard/ 디렉터리의 활동을 분석할 수 있습니다.Android/media/com.whatsapp/WhatsApp에서 WhatsApp의 파일, 동영상 또는 이미지의 삭제, 전송 및 수신 내역을 추적할 수 있으며, 전송 또는 수신된 파일의 이름도 확인할 수 있습니다.

В Windows 루트 디렉터리(C:\)에 대한 이벤트 추적을 활성화하면 파일 권한과 관계없이 파일 시스템 내 모든 파일의 이벤트에 대한 정보(전체 파일 경로 포함)가 전송되는 것으로 밝혀졌습니다. 연구원들은 이 기능을 이용하여 사용자가 Firefox에서 어떤 웹사이트를 여는지 실시간으로 추적할 수 있음을 시연했습니다. (Firefox의 IndexedDB 데이터베이스와 캐시의 경우, 각 웹사이트마다 웹사이트 이름으로 된 별도의 디렉터리가 생성되며, 이 디렉터리에 대한 접근을 추적할 수 있습니다.) 마이크로소프트는 이 보안 문제에 대한 대응으로 2026년 Pwnies Award의 최신 벤더 대응 부문 후보에 올랐습니다. 회사 담당자들은 처음에는 이것이 취약점이 아니라 문서화되지 않은 기능이라고 주장했기 때문입니다.

출처 : opennet.ru