{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Ataki z zewn\u0119trznych kana\u0142\u00f3w przez mechanizm \u015bledzenia zmian w FS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Badacze z Uniwersytetu Technicznego w Grazu (Austria) zidentyfikowali seri\u0119 atak\u00f3w z u\u017cyciem zewn\u0119trznych kana\u0142\u00f3w (PDF), realizowanych poprzez mechanizmy \u015bledzenia zmian w systemie plik\u00f3w. Ataki te umo\u017cliwiaj\u0105 monitorowanie aktywno\u015bci innych u\u017cytkownik\u00f3w na podstawie analizy zdarze\u0144 dotycz\u0105cych dost\u0119pu do plik\u00f3w i katalog\u00f3w za pomoc\u0105 takich interfejs\u00f3w API jak inotify w systemie Linux, FileObserver w Androidzie, ReadDirectoryChangesW w systemie Windows oraz File System Events w macOS. Uzyskane informacje mog\u0105 by\u0107 wykorzystywane do rekonstrukcji danych wprowadzanych przez u\u017cytkownika za pomoc\u0105 klawiatury, do identyfikacji otwieranych stron internetowych lub do organizacji atak\u00f3w typu clickjacking, kt\u00f3re nak\u0142adaj\u0105 tre\u015bci na aktywne okno w momencie klikni\u0119cia. Kod implementacji metod atak\u00f3w opublikowano na licencji MIT. <\/p>\n
Pierwsza metoda ataku zosta\u0142a demonstrowana w systemie Linux i wynika z mo\u017cliwo\u015bci okre\u015blenia dost\u0119pu do plik\u00f3w w katalogu, kt\u00f3re s\u0105 bezpo\u015brednio niedost\u0119pne do odczytu i monitorowania. Przy pomocy funkcji inotifywatch mo\u017cna po\u015brednio \u015bledzi\u0107 zmiany w plikach w katalogu, monitoruj\u0105c sam katalog. <\/p>\n
Bezpo\u015brednio u\u017cytkownik bez uprawnie\u0144 nie ma prawa dost\u0119pu do zawarto\u015bci i monitorowania aktywno\u015bci urz\u0105dzenia \/dev\/input\/event4, kt\u00f3re odzwierciedla zdarzenia wprowadzania z klawiatury. Jednak zdarzenia zwi\u0105zane z plikiem \/dev\/input\/event4 wp\u0142ywaj\u0105 na stan katalogu nadrz\u0119dnego i mog\u0105 by\u0107 \u015bledzone przez monitorowanie zmian metadanych katalogu \/dev\/input. Zmiana stanu \/dev\/input\/event4 wyst\u0119puje przy wprowadzaniu danych, a op\u00f3\u017anienia mi\u0119dzy zdarzeniami rejestrowanymi przez inotify koreluj\u0105 z op\u00f3\u017anieniami mi\u0119dzy naci\u015bni\u0119ciami klawiszy na klawiaturze. <\/p>\n
U\u017cywaj\u0105c metod analizy statystycznej i bior\u0105c pod uwag\u0119, \u017ce podczas pisania op\u00f3\u017anienia mi\u0119dzy naci\u015bni\u0119ciami klawiszy zale\u017c\u0105 od ich rozmieszczenia na klawiaturze, mo\u017cna z pewnym prawdopodobie\u0144stwem rekreowa\u0107 wprowadzane informacje. Na przyk\u0142ad, reakcja przy wpisywaniu litery \u201eF\u201d jest szybsza ni\u017c przy wpisywaniu \u201eQ\u201d czy \u201eX\u201d, poniewa\u017c wymaga to mniej ruch\u00f3w palc\u00f3w, a powt\u00f3rne naci\u015bni\u0119cie tego samego klawisza oraz naci\u015bni\u0119cie klawiszy znajduj\u0105cych si\u0119 blisko siebie (np. \u201es\u201d po \u201ea\u201d jest znacznie szybsze ni\u017c \u201eg\u201d po \u201es\u201d).