{"id":183466,"date":"2026-09-25T16:54:15","date_gmt":"2026-09-25T14:54:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataki-po-storonnim-kanalam-cherez-mehanizm-otslezhivaniya-izmenenij-v-fs"},"modified":"2026-09-25T16:54:21","modified_gmt":"2026-09-25T14:54:21","slug":"side-channel-attacks-via-the-file-system-change-tracking-mechanism","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/side-channel-attacks-via-the-file-system-change-tracking-mechanism","title":{"rendered":"Attacker via sekund\u00e4ra kanaler genom filsystemets \u00e4ndringssp\u00e5rningsmekanism","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forskare fr\u00e5n Graz tekniska universitet (\u00d6sterrike) har avsl\u00f6jat en serie attacker via sidokanaler (PDF), genom mekanismer f\u00f6r sp\u00e5rning av f\u00f6r\u00e4ndringar i filsystemet. Attackerna m\u00f6jligg\u00f6r sp\u00e5rning av andra anv\u00e4ndares aktivitet baserat p\u00e5 analysen av h\u00e4ndelser relaterade till fil- och katalog\u00e5tkomst genom API:er som inotify i Linux, FileObserver i Android, ReadDirectoryChangesW i Windows och File System Events i macOS. Den insamlade informationen kan anv\u00e4ndas f\u00f6r att \u00e5terskapa information som skrivs in av anv\u00e4ndaren med tangentbordet, f\u00f6r att identifiera \u00f6ppnade webbplatser eller f\u00f6r att organisera clickjacking-attacker som \u00f6verlagrar inneh\u00e5ll p\u00e5 det aktiva f\u00f6nstret vid klicktillf\u00e4llet. Koden f\u00f6r genomf\u00f6randet av attackmetoderna har publicerats under MIT-licensen. <\/p>\n
Den f\u00f6rsta attackmetoden demonstrerades i Linux och beror p\u00e5 m\u00f6jligheten att identifiera \u00e5tkomst till filer inom en katalog som inte \u00e4r direkt l\u00e4sbara eller sp\u00e5rbara. Genom att anv\u00e4nda funktionen inotifywatch kan man indirekt sp\u00e5ra f\u00f6r\u00e4ndringar av filer i katalogen via \u00f6vervakning av sj\u00e4lva katalogen. <\/p>\n
En icke-privilegierad anv\u00e4ndare har direkt inga r\u00e4ttigheter att l\u00e4sa inneh\u00e5llet eller sp\u00e5ra aktiviteten hos enhet \/dev\/input\/event4, som \u00e5terspeglar h\u00e4ndelser av tangentbordsinmatning. Men h\u00e4ndelser som intr\u00e4ffar med filen \/dev\/input\/event4 p\u00e5verkar tillst\u00e5ndet f\u00f6r f\u00f6r\u00e4ldrakatalogen och kan sp\u00e5ras genom \u00f6vervakning av f\u00f6r\u00e4ndringar i metadatan f\u00f6r katalogen \/dev\/input. \u00c4ndringen av tillst\u00e5ndet f\u00f6r \/dev\/input\/event4 intr\u00e4ffar vid datainmatning och f\u00f6rdr\u00f6jningarna mellan h\u00e4ndelserna som registreras med inotify korrelerar med f\u00f6rdr\u00f6jningarna mellan tangenttryckningar p\u00e5 tangentbordet. <\/p>\n
Genom att anv\u00e4nda statistiska analysmetoder och med h\u00e4nsyn till att f\u00f6rdr\u00f6jningarna mellan tangenttryckningar vid skrivning beror p\u00e5 tangenterna p\u00e5 tangentbordet, kan man med en viss sannolikhet \u00e5terskapa den information som skrivs in. Till exempel, reaktionen vid inmatning av bokstaven «F» \u00e4r snabbare \u00e4n vid inmatning av «Q» eller «X», eftersom det kr\u00e4vs f\u00e4rre fingerf\u00f6rflyttningar f\u00f6r att trycka ner den, och \u00e4ven upprepade tryckningar p\u00e5 en och samma knapp samt tryck p\u00e5 intilliggande tangenter («s» efter «a» trycks betydligt snabbare \u00e4n «g» efter «s»).