{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Ataques por canais laterais atrav\u00e9s do mecanismo de rastreamento de mudan\u00e7as no sistema de arquivos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Pesquisadores da Universidade T\u00e9cnica de Graz (\u00c1ustria) identificaram uma s\u00e9rie de ataques por canais laterais (PDF), realizados atrav\u00e9s de mecanismos de rastreamento de mudan\u00e7as no sistema de arquivos. Esses ataques permitem monitorar a atividade de outros usu\u00e1rios com base na an\u00e1lise de eventos de acesso a arquivos e diret\u00f3rios por meio de APIs como inotify no Linux, FileObserver no Android, ReadDirectoryChangesW no Windows e File System Events no macOS. As informa\u00e7\u00f5es obtidas podem ser usadas para reconstruir dados digitados pelo usu\u00e1rio no teclado, para identificar sites abertos ou para organizar ataques de clickjacking, que sobrep\u00f5em conte\u00fado na janela ativa no momento do clique. O c\u00f3digo que implementa os m\u00e9todos de ataque foi publicado sob a licen\u00e7a MIT. <\/p>\n
O primeiro m\u00e9todo de ataque foi demonstrado no Linux e \u00e9 causado pela possibilidade de determinar o acesso a arquivos dentro de um diret\u00f3rio que n\u00e3o est\u00e3o diretamente dispon\u00edveis para leitura e rastreamento. Usando a fun\u00e7\u00e3o inotifywatch, \u00e9 poss\u00edvel rastrear indiretamente as mudan\u00e7as de arquivos dentro de um diret\u00f3rio por meio do monitoramento do pr\u00f3prio diret\u00f3rio. <\/p>\n
Um usu\u00e1rio n\u00e3o privilegiado n\u00e3o tem permiss\u00e3o para ler o conte\u00fado e rastrear a atividade do dispositivo \/dev\/input\/event4, que reflete eventos de entrada do teclado. No entanto, os eventos que ocorrem com o arquivo \/dev\/input\/event4 afetam o estado do diret\u00f3rio pai e podem ser rastreados atrav\u00e9s do monitoramento da mudan\u00e7a de metadados do diret\u00f3rio \/dev\/input. A mudan\u00e7a de estado em \/dev\/input\/event4 ocorre durante a entrada de dados, e os atrasos entre os eventos registrados pelo inotify correlacionam-se com os atrasos entre as teclas pressionadas no teclado. <\/p>\n
Utilizando m\u00e9todos de an\u00e1lise estat\u00edstica e considerando que, ao digitar, os intervalos entre as teclas dependem da disposi\u00e7\u00e3o das teclas no teclado, \u00e9 poss\u00edvel recriar a informa\u00e7\u00e3o digitada com uma certa probabilidade. Por exemplo, a rea\u00e7\u00e3o ao digitar a letra \"F\" \u00e9 mais r\u00e1pida do que ao digitar \"Q\" ou \"X\", uma vez que para pressionar \"F\" s\u00e3o necess\u00e1rios menores movimentos dos dedos. Al\u00e9m disso, a repeti\u00e7\u00e3o da mesma tecla e a press\u00e3o de teclas adjacentes (\"s\" ap\u00f3s \"a\" s\u00e3o pressionadas significativamente mais r\u00e1pido do que \"g\" ap\u00f3s \"s\") tamb\u00e9m ocorrem mais rapidamente.