{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Angrep via eksterne kanaler gjennom mekanismen for endringssporing i FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forskere fra Graz tekniske universitet (\u00d8sterrike) har avdekket en serie angrep via tredjeparts kanaler (PDF), som utf\u00f8res gjennom mekanismer for overv\u00e5king av endringer i filsystemet. Angrepene gj\u00f8r det mulig \u00e5 overv\u00e5ke aktiviteten til andre brukere basert p\u00e5 analyse av hendelser knyttet til tilgang til filer og kataloger via API-er som inotify i Linux, FileObserver i Android, ReadDirectoryChangesW i Windows og File System Events i macOS. Informasjonen som samles inn kan brukes til \u00e5 gjenskape data som skrives inn av brukeren via tastaturet, for \u00e5 identifisere \u00e5pnete nettsteder, eller for \u00e5 organisere clickjacking-angrep som overlager innhold p\u00e5 det aktive vinduet i \u00f8yeblikket f\u00f8r klikk. <\/p>\n
Den f\u00f8rste angrepsmetoden er demonstrert i Linux og skyldes muligheten til \u00e5 bestemme tilgang til filer inne i en katalog som ikke er tilgjengelig for direkte lesing og overv\u00e5king. Ved \u00e5 bruke funksjonen inotifywatch kan man indirekte spore endringer i filer inne i katalogen ved \u00e5 overv\u00e5ke selve katalogen. <\/p>\n
En ikke-privilegert bruker har ikke rett til \u00e5 lese innholdet og overv\u00e5ke aktiviteten til enheten \/dev\/input\/event4, som reflekterer hendelser fra tastaturinngang. Men hendelser som skjer med filen \/dev\/input\/event4 p\u00e5virker tilstanden til foreldrekatalogen og kan overv\u00e5kes ved \u00e5 overv\u00e5ke endringer i metadatene til katalogen \/dev\/input. Endringen av tilstanden til \/dev\/input\/event4 skjer ved datainntasting, og forsinkelsene mellom hendelsene registrert via inotify korrelerer med forsinkelsene mellom tastetrykkene p\u00e5 tastaturet. <\/p>\n
Ved \u00e5 bruke statistiske analysemetoder og med tanke p\u00e5 at det er tidsforsinkelser mellom tastetrykkene avhengig av plasseringen av tastene p\u00e5 tastaturet, kan man med en viss sannsynlighet gjenskape den informasjonen som tastes inn. For eksempel er reaksjonen ved innf\u00f8ring av bokstaven \u00abF\u00bb raskere enn ved innf\u00f8ring av \u00abQ\u00bb eller \u00abX\u00bb, siden det kreves f\u00e6rre fingerbevegelser for \u00e5 trykke p\u00e5 den, og det er ogs\u00e5 raskere \u00e5 trykke p\u00e5 samme tast flere ganger eller trykke p\u00e5 n\u00e6rliggende taster (\u00abs\u00bb etter \u00aba\u00bb trykkes betydelig raskere enn \u00abg\u00bb etter \u00abs\u00bb).