Атака через уведомления файловой системы: утечки на Linux, Android, Windows и macOS

Механизмы уведомлений о файлах существуют, чтобы приложения узнавали об изменениях: открытии, записи, удалении. Команда из Института информационной безопасности Грацкого технического университета показала, что этого достаточно для серьёзной утечки. Имея лишь право на чтение каталога, атакующий может следить за событиями и реконструировать действия пользователя. Работа принята на конференцию ACM CCS в ноябре 2026 года.

Общие проблемы схожи на всех четырёх системах, но на трёх из них исследователи нашли особенно тяжёлые изъяны.

Linux: тайминг нажатий клавиш

Подписка через inotify на нечитаемый файл возвращает ошибку, но если читаем родительский каталог, наблюдатель получает события обо всех файлах внутри. Наблюдая за /dev/input, атакующий узнаёт о каждом нажатии клавиши. Какая именно клавиша нажата — не раскрывается, но интервалы между нажатиями сами по себе несут информацию: этому направлению атак более двадцати лет. Тот же приём работает и между разными пользователями на одном SSH-сервере через /dev/pts.

Linux: подмена окна аутентификации

Следя за обращениями к /usr/bin/pkexec, процесс узнаёт момент появления диалога ввода пароля и успевает нарисовать поверх него поддельное окно. В KDE Plasma на Wayland защита от перехвата фокуса, как признаёт сама команда безопасности KDE, не задумывалась как средство защиты.

Android: чужая переписка

Класс FileObserver обходит слой FUSE, изолирующий приватные папки приложений. Приложение без единого разрешения не может перечислить файлы в папке WhatsApp, но может подписаться на события в ней и получать имена файлов. По имени видно тип медиа и то, отправлено оно или получено; из событий складывается точная хронология переписки, включая удаления.

Windows: слежка за посещаемыми сайтами

Подписка на корневой каталог C:\ заставляет систему сообщать о событиях по всему диску вместе с полными путями — независимо от прав, даже между пользователями. Microsoft назвала это «недокументированной функцией». Firefox создаёт для каждого сайта каталог с его именем, что позволяет отслеживать посещения из топ-1000 сайтов с точностью около 98%.

Что с исправлениями

В декабре 2025 года изъян в Linux частично закрыли (CVE-2025-68788): события больше не генерируются для символьных устройств из /dev/. Windows получила необязательную политику реестра, отключённую по умолчанию, — то есть атаки работают «из коробки». Для Android и macOS исправлений нет; macOS при этом раскрывает меньше всего. Атаки требуют локального межпользовательского доступа или скомпрометированного пакета; случаев эксплуатации в дикой природе авторы не знают.

Источник: Lobsters