Forskare från Graz tekniska universitet (Österrike) har identifierat en serie sidokanalattacker (PDF) som utförs genom övervakningsmekanismer för filsystemändringar. Attackerna möjliggör övervakning av andra användares aktivitet genom att analysera fil- och katalogåtkomsthändelser via API:er som inotify. Linux, FileObserver i Android, LäskatalogändringarW i Windows och filsystemhändelser i macOSDen erhållna informationen kan användas för att rekonstruera användarnas tangentbordsinmatning, avgöra vilka webbplatser som öppnas eller utföra klickkapningsattacker som överlagrar innehåll på det aktiva fönstret precis före ett klick. Koden som implementerar attackmetoderna publiceras under MIT-licensen.
Den första attackmetoden demonstreras i Linux Detta beror på möjligheten att avgöra åtkomst till filer i en katalog som inte är direkt läsbara eller övervakade. Med hjälp av funktionen inotifywatch kan du indirekt spåra filändringar i en katalog genom att övervaka själva katalogen.
En oprivilegierad användare har inte direkt åtkomst att läsa innehållet eller övervaka aktiviteten på /dev/input/event4-enheten, som registrerar tangentbordsinmatningshändelser. Händelser som inträffar med /dev/input/event4-filen påverkar dock tillståndet för den överordnade katalogen och kan övervakas genom att övervaka metadataändringar för /dev/input-katalogen. Ändringar i tillståndet för /dev/input/event4 inträffar när data matas in, och fördröjningarna mellan händelser som registreras via inotify korrelerar med fördröjningarna mellan tangenttryckningar på tangentbordet.
Med hjälp av statistiska analysmetoder och med hänsyn till att fördröjningarna mellan tangenttryckningar under skrivning beror på tangenternas layout på tangentbordet, är det möjligt att återskapa den inmatade informationen med en viss grad av säkerhet. Till exempel är reaktionstiden vid inmatning av bokstaven "F" snabbare än vid inmatning av "Q" eller "X" eftersom det kräver mindre fingerrörelser. Upprepade tangenttryckningar och angränsande tangenttryckningar är också snabbare ("s" efter "a" trycks ned betydligt snabbare än "g" efter "s").
Den här metoden kan också användas för att rekonstruera indata i SSH-sessioner när två olika användare ansluter till samma SSH-server. I det här fallet kan en användare övervaka händelser som genereras av den andra användarens indata genom att övervaka enhetsfilen /dev/pts. Problemet åtgärdades i januari-kärnuppdateringarna 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 och 6.18.3 genom att inaktivera genereringen av ACCESS- och MODIFY-händelser för överordnad katalog vid åtkomst till eller ändring av specialfiler i den.
Den andra attackmetoden låter en bestämma tidpunkten då Polkit-undersystemet visar autentiseringsdialogrutan genom att övervaka den körbara filen /usr/bin/pkexec. Vid denna tidpunkt kan angriparen skapa ett falskt fönster, utformat för att likna en lösenordsinmatningsdialogruta, och visa det över den riktiga lösenordsfrågan. En användare som inte är medveten om ersättningen kan sedan ange lösenordet för att bekräfta åtgärden i angriparens fönster. Denna attack har demonstrerats på distributioner som kör skrivbordsmiljön KDE Plasma.
Tillhandahålls av plattformen Android FileObserver API kan användas för att övervaka filaktivitet i andra programs privata kataloger. Till exempel genom att analysera aktivitet i /sdcard/-katalogen.Android/media/com.whatsapp/WhatsApp kan du spåra borttagning, sändning och mottagning av filer, videor eller bilder i WhatsApp, samt ta reda på namnen på filer som skickats eller mottagits.
В Windows Det visade sig att aktivering av händelsespårning för rotkatalogen (C:\) överför information, inklusive den fullständiga sökvägen, om alla händelser med alla filer i filsystemet, oavsett filbehörigheter. Forskare demonstrerade möjligheten att använda den här funktionen för att spåra i realtid vilka webbplatser användare öppnar i Firefox (för IndexedDB-databasen och cachen i Firefox skapas en separat katalog med webbplatsens namn för varje webbplats, och åtkomst till denna katalog kan spåras). Microsofts svar på detta säkerhetsproblem har nominerats till en Pwnies Award 2026 för senaste leverantörssvar, eftersom företagets representanter initialt hävdade att detta inte var en sårbarhet, utan en odokumenterad funktion.
Källa: opennet.ru
