Luka w systemach Windows, Linux, Android i macOS umożliwia śledzenie użytkowników bez uprawnień

Mechanizmy powiadomień o zmianach w plikach w systemach Windows, Linux, Android i macOS mogą służyć do śledzenia aktywności użytkowników. Badacze z Graz University of Technology w Austrii przeanalizowali te systemy i wykazali, że informacje o tworzeniu, usuwaniu, otwieraniu, zamykaniu lub modyfikacji plików mogą być wykorzystywane do ataków typu side-channel, czyli ataków bocznego kanału. W określonych sytuacjach dostęp do takich powiadomień może uzyskać inna aplikacja lub użytkownik bez uprawnień administratora.

Badanie wykazało, że mimo braku możliwości odczytania zawartości chronionych plików, możliwe jest poznanie ich nazw oraz szczegółów dotyczących czasu ich modyfikacji. Takie dane pozwalają na wyciąganie informacji o zachowaniu użytkownika, na przykład o odwiedzanych stronach internetowych czy rytmie pisania na klawiaturze.

Wykorzystanie mechanizmów powiadomień w systemach operacyjnych

Mechanizmy powiadomień o zmianach w plikach umożliwiają aplikacjom i elementom systemu szybkie reagowanie na zmiany bez konieczności ciągłego przeszukiwania dysku. W systemie Windows badacze pokazali, że ograniczenia dostępu do konkretnych folderów można częściowo obejść, monitorując powiadomienia z katalogu nadrzędnego, na przykład głównego katalogu C:. Dzięki temu mogli śledzić zdarzenia zachodzące w podfolderach, w tym nazwy plików.

W przypadku przeglądarki Firefox, która tworzy osobne foldery dla odwiedzanych stron oznaczone nazwą witryny, badacze byli w stanie na bieżąco monitorować odwiedzane strony internetowe użytkownika.

Na Linuksie wykorzystano system powiadomień o plikach inotify. Próba monitorowania chronionego pliku była niemożliwa, jednak plik znajdował się w katalogu dostępny dla badaczy, co pozwoliło im obserwować każde naciśnięcie klawisza. Nie widzieli konkretnych klawiszy, ale mogli mierzyć odstępy czasowe między uderzeniami, co jest istotne ze względu na istniejące techniki analizy rytmu pisania.

W środowisku graficznym KDE Plasma badacze monitorowali aktywność programu polkit, odpowiedzialnego za sprawdzanie uprawnień. Badacze wykazali, że fałszywe okno z prośbą o hasło mogło zostać nałożone na prawdziwe okno systemowe, a wprowadzone hasło było automatycznie przekazywane napastnikowi. Podobny atak był możliwy przy użyciu Waylanda, nowoczesnego systemu obsługującego wyświetlanie okien w Linuksie.

W systemie Android, który korzysta z mechanizmu FUSE mającego izolować aplikacje, badacze wykazali, że program bez specjalnych uprawnień może śledzić zmiany w zasobach innych aplikacji. Przykładowo, w przypadku WhatsAppa mogli stwierdzić, kiedy pojawiały się, były wysyłane lub usuwane zdjęcia, filmy i inne pliki.

Bezpieczeństwo macOS i reakcje producentów

Wśród analizowanych systemów najmniej informacji ujawniał macOS. Nie stwierdzono w nim wycieku prywatnych danych, jednak badacze wykazali, że za pomocą interfejsu FSEvents, który informuje o zmianach w systemie plików, można w ograniczonym zakresie śledzić część aktywności użytkownika.

Przed publikacją badania jego autorzy poinformowali o swoich ustaleniach twórców systemów Linux, KDE, Android, Windows i macOS. Współpraca z zespołem bezpieczeństwa Linuksa zaowocowała przygotowaniem poprawek usuwających część wykrytych problemów.

Badanie zostanie zaprezentowane na konferencji ACM Conference on Computer and Communications Security w Hadze w listopadzie. Jego autorami są naukowcy z Graz University of Technology w Austrii.

Mechanizmy powiadomień o zmianach w plikach, choć służą do usprawnienia działania systemów operacyjnych, mogą być wykorzystywane do monitorowania użytkowników bez ich wiedzy i bez konieczności posiadania uprawnień administratora. Wykryte luki dotyczą popularnych systemów, co podkreśla znaczenie dalszych działań w zakresie bezpieczeństwa oprogramowania.