Výskumníci z Technickej univerzity v Grazi (Rakúsko) identifikovali sériu útokov cez bočné kanály (PDF) vykonávaných prostredníctvom mechanizmov monitorovania zmien súborového systému. Útoky umožňujú monitorovanie aktivity iných používateľov analýzou udalostí prístupu k súborom a adresárom prostredníctvom rozhraní API, ako je napríklad inotify. Linux, FileObserver v Android, ReadDirectoryChangesW v Windows a udalosti súborového systému v macOSZískané informácie sa dajú použiť na rekonštrukciu vstupov z klávesnice používateľa, určenie otvorených webových stránok alebo spustenie clickjackingových útokov, ktoré prekrývajú obsah aktívneho okna tesne pred kliknutím. Kód implementujúci metódy útoku je publikovaný pod licenciou MIT.
Prvá metóda útoku je demonštrovaná v Linux Je to kvôli schopnosti určiť prístup k súborom v adresári, ktoré nie sú priamo čitateľné alebo monitorované. Pomocou funkcie inotifywatch môžete nepriamo sledovať zmeny súborov v adresári monitorovaním samotného adresára.
Neprivilegovaný používateľ nemá priamy prístup na čítanie obsahu ani na monitorovanie aktivity zariadenia /dev/input/event4, ktoré zaznamenáva udalosti vstupu z klávesnice. Udalosti, ku ktorým dochádza v súbore /dev/input/event4, však ovplyvňujú stav nadradeného adresára a možno ich monitorovať monitorovaním zmien metadát pre adresár /dev/input. Zmeny stavu /dev/input/event4 nastávajú pri zadávaní údajov a oneskorenia medzi udalosťami zaznamenanými prostredníctvom inotify korelujú s oneskoreniami medzi stlačeniami klávesov na klávesnici.
Pomocou štatistických analýz a berúc do úvahy, že oneskorenia medzi stlačeniami klávesov počas písania závisia od rozloženia klávesov na klávesnici, je možné s určitou mierou istoty znovu vytvoriť zadané informácie. Napríklad reakčný čas pri zadávaní písmena „F“ je rýchlejší ako pri zadávaní „Q“ alebo „X“, pretože vyžaduje menší pohyb prstov. Opakované stlačenia klávesov a susediace stlačenia klávesov sú tiež rýchlejšie („s“ po „a“ sa stlačí výrazne rýchlejšie ako „g“ po „s“).
Túto metódu je možné použiť aj na rekonštrukciu vstupu v SSH reláciách, keď sa dvaja rôzni používatelia pripájajú k rovnakému SSH serveru. V tomto prípade môže jeden používateľ monitorovať udalosti generované vstupom druhého používateľa monitorovaním súboru zariadenia /dev/pts. Tento problém bol vyriešený v januárových aktualizáciách jadra 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 a 6.18.3 vypnutím generovania udalostí ACCESS a MODIFY pre nadradený adresár pri prístupe k špeciálnym súborom v ňom alebo ich úprave.
Druhá metóda útoku umožňuje určiť okamih, kedy subsystém Polkit zobrazí dialógové okno pre autentifikáciu, monitorovaním spustiteľného súboru /usr/bin/pkexec. V tomto bode môže útočník vytvoriť falošné okno, ktoré pripomína dialógové okno na zadanie hesla, a zobraziť ho cez skutočné okno s heslom. Používateľ, ktorý si nie je vedomý zámeny, môže potom zadať heslo na potvrdenie operácie v okne útočníka. Tento útok bol demonštrovaný na distribúciách s desktopovým prostredím KDE Plasma.
Poskytované platformou Android Rozhranie FileObserver API je možné použiť na monitorovanie aktivity súborov v súkromných adresároch iných aplikácií. Napríklad analýzou aktivity v adresári /sdcard/.Android/media/com.whatsapp/WhatsApp môžete sledovať mazanie, odosielanie a prijímanie súborov, videí alebo obrázkov v aplikácii WhatsApp, ako aj zistiť názvy odoslaných alebo prijatých súborov.
В Windows Ukázalo sa, že povolenie sledovania udalostí pre koreňový adresár (C:\) prenáša informácie vrátane celej cesty k súboru o všetkých udalostiach so všetkými súbormi v súborovom systéme bez ohľadu na povolenia k súborom. Výskumníci preukázali možnosť použitia tejto funkcie na sledovanie v reálnom čase, ktoré webové stránky používatelia otvárajú vo Firefoxe (pre databázu a vyrovnávaciu pamäť IndexedDB vo Firefoxe sa pre každú webovú stránku vytvorí samostatný adresár s názvom webovej stránky a je možné sledovať prístup k tomuto adresáru). Reakcia spoločnosti Microsoft na tento bezpečnostný problém bola nominovaná na cenu Pwnies Award 2026 za najnovšiu odpoveď dodávateľa, keďže zástupcovia spoločnosti pôvodne tvrdili, že nejde o zraniteľnosť, ale o nezdokumentovanú funkciu.
Zdroj: opennet.ru
