Naukowcy z Graz University of Technology wykryli problemy w systemach zarządzania plikami stosowanych w popularnych systemach operacyjnych. Ich badanie pokazuje, że mechanizmy powiadamiania o operacjach na plikach mogą zostać wykorzystane do zbierania informacji o aktywności użytkowników. Wyniki zostaną przedstawione w listopadzie podczas konferencji ACM Conference on Computer and Communications Security w Hadze.
Mechanizmy te informują aplikacje m.in. o utworzeniu, usunięciu, otwarciu, zamknięciu lub zmodyfikowaniu pliku. Dzięki temu programy mogą reagować na zmiany bez ciągłego przeszukiwania dysku. Badacze wykazali jednak, że rozwiązanie może być wykorzystywane do ataków bocznego kanału, czyli side-channel.
Luki w Windowsie, Linuksie i Androidzie
W określonych sytuacjach dostęp do takich powiadomień może uzyskać inna aplikacja lub użytkownik bez uprawnień administratora. Nie pozwala to na bezpośrednie odczytanie zawartości chronionych plików. Możliwe jest jednak poznanie ich nazw oraz informacji o tym, kiedy zostały utworzone, otwarte lub zmodyfikowane. Zdaniem naukowców może to wystarczyć do wyciągania wniosków o zachowaniu użytkownika.
W Windowsie badacze pokazali, że ograniczenia dostępu do konkretnych folderów można częściowo obejść poprzez obserwowanie powiadomień z katalogu położonego wyżej. Monitorując katalog C:, mogli śledzić zdarzenia również w jego podfolderach. W przypadku Firefoxa pozwalało to ustalać, jakie strony odwiedzał użytkownik.
Badacze mogli śledzić rytm pisania
Na Linuksie naukowcy wykorzystali mechanizm inotify. Nie mogli monitorować bezpośrednio chronionego pliku, ale mieli dostęp do katalogu, w którym się znajdował. W ten sposób byli w stanie wykrywać każde naciśnięcie klawisza.
Badacze nie wiedzieli, które konkretnie klawisze naciskał użytkownik, mogli jednak mierzyć odstępy między kolejnymi uderzeniami. Jak wskazali, istnieją techniki pozwalające na podstawie rytmu pisania wyciągać wnioski dotyczące tworzonej treści.
Fałszywe okno mogło przechwycić hasło
Jeszcze poważniejszy problem odkryto w KDE Plasma, jednym ze środowisk graficznych Linuksa. Badacze obserwowali aktywność programu polkit odpowiedzialnego za sprawdzanie uprawnień. Kiedy system wyświetlał prawdziwe okno z prośbą o hasło, byli w stanie niemal natychmiast nałożyć na nie własne, podobnie wyglądające okno. Wpisane tam hasło trafiało do atakującego. Podobny atak był możliwy przy wykorzystaniu Waylanda.
Problem dotyczył również Androida. Badacze wykazali, że aplikacja bez specjalnych uprawnień może poprzez powiadomienia o plikach obserwować zmiany w zasobach należących do innej aplikacji. W przypadku WhatsAppa pozwalało to ustalić, kiedy pojawiały się, były wysyłane lub usuwane zdjęcia, filmy i inne pliki.
macOS ujawniał najmniej informacji
Spośród analizowanych systemów najmniej informacji ujawniał macOS. Badacze nie stwierdzili w nim wycieku prywatnych danych, choć za pomocą interfejsu FSEvents można było w ograniczonym stopniu śledzić część aktywności użytkownika.
Autorzy badania jeszcze przed publikacją poinformowali o swoich ustaleniach twórców Linuksa, KDE, Androida, Windowsa i macOS. We współpracy z zespołem bezpieczeństwa Linuksa przygotowano już poprawki usuwające część wykrytych problemów.