Атаки по сторонним каналам через механизм отслеживания изменений в файловой системе

Механизмы отслеживания изменений в файловой системе изначально создавались как удобный инструмент для разработчиков и системных служб: они позволяют приложениям оперативно узнавать о появлении, изменении или удалении файлов и каталогов. Однако, как показало новое исследование специалистов из Грацского технического университета (Австрия), эти же механизмы могут выступать в роли полноценного стороннего канала утечки информации. Атака не требует elevated-привилегий или эксплуатации уязвимостей — достаточно доступа к штатным API мониторинга ФС, которые присутствуют практически в каждой современной операционной системе. Проблема важна потому, что подобные API повсеместно используются легитимными приложениями, и их вызовы редко воспринимаются как потенциально опасные. В результате активность одного пользователя системы может быть незаметно проанализирована другим — вредоносным или недоверенным — приложением, работающим в той же среде.

Подробности

Исследователи описали серию атак по сторонним каналам, построенных на анализе событий об обращении к файлам и каталогам. В качестве векторов рассматриваются четыре распространённых механизма: - inotify — подсистема ядра Linux для уведомления об изменениях в файловой системе; - FileObserver — API Android для отслеживания изменений файлов и каталогов; - ReadDirectoryChangesW — функция Windows для мониторинга изменений в каталоге; - File System Events — механизм macOS, предоставляющий приложениям события об изменениях ФС. Согласно исследованию, наблюдая за событиями через эти API, атакующий может реконструировать действия другого пользователя. В частности, продемонстрированы три класса атак: 1. **Восстановление вводимой информации.** Анализ последовательности и таймингов событий файловой системы позволяет делать выводы о набираемом с клавиатуры тексте. 2. **Определение открываемых сайтов.** По косвенным признакам активности ФС (кэш браузера, временные файлы и т.п.) можно устанавливать, какие веб-ресурсы посещает пользователь. 3. **Clickjacking-атаки.** Злоумышленник может накладывать собственное содержимое поверх активного окна в момент, непосредственно предшествующий клику пользователя, повышая эффективность подмены интерфейса. Код с реализацией описанных методов атак опубликован под лицензией MIT — то есть доступен для изучения и воспроизведения. Авторы исследования не упоминают о присвоении отдельного идентификатора CVE, поскольку речь идёт не об уязвимости конкретного продукта, а о фундаментальном свойстве архитектуры механизмов мониторинга ФС в разных ОС. Это существенно усложняет задачу: формально системы работают «как задумано», а источник риска — сама возможность наблюдать за событиями чужих процессов.

Что делать

Учитывая, что исправление потребует изменений на уровне операционных систем, пользователям и администраторам стоит применять компенсирующие меры: - **Ограничивайте круг доверенных приложений.** Устанавливайте ПО только из проверенных источников и внимательно относитесь к запросам на доступ к файловой системе. - **Применяйте принцип минимальных привилегий.** Запускайте приложения в изолированных средах (песочницах, контейнерах), где их возможности по мониторингу ФС ограничены. - **Следите за обновлениями ОС и платформ.** Если вендоры выпустят патчи или конфигурационные рекомендации, реагирующих на описанный класс атак, их следует оперативно применять. - **Оценивайте риски на стороне приложений.** Разработчикам, чьи продукты работают в многопользовательских или многопроцессных окружениях, имеет смысл пересмотреть, насколько активно они используют API мониторинга ФС и нельзя ли сузить область отслеживания. - **Учитывайте при моделировании угроз.** Атаки по сторонним каналам через ФС стоит включить в модели угроз для сценариев, где на одной системе работают приложения разного уровня доверия. Итог: исследование демонстрирует, что даже штатные, документированные механизмы ОС могут становиться каналом утечки данных, а защита требует системного подхода — от архитектурных решений вендоров до осторожности конечных пользователей.

Источник: opennet