von
Wenn Dateien erstellt, gelöscht, geöffnet, geschlossen oder geändert werden, melden Dateibenachrichtigungssysteme diese Nutzeraktivitäten an das Betriebssystem, damit Anwendungen oder das System auf die Änderungen reagieren können. Wie das Forschungsteam feststellte, können auch Nutzer ohne Administratoren-Rechte diese Benachrichtigungen mitlesen und beobachten, was andere Nutzer auf dem System tun.
Wie sich zeigte, reichen Leserechte für bestimmte Ordner aus, um vermeintlich geschützte Inhalte auszulesen. Zwar wurden nach wie vor nur Dateinamen und die Tatsache, dass Veränderungen stattgefunden haben, sichtbar, aber das genüge laut den Expertinnen und Experten der TU Graz, um das Verhalten der Nutzer des Systems und der Anwendungen nachzuvollziehen.
Das Forschungsteam vom Institut für Informationssicherheit (Institute of Information Security) der TU Graz hat seine Erkenntnisse in einer Publikation zusammengefasst und auf der eigens eingerichteten Website https://inoti.fyi publiziert. Zuvor wurden die Teams von Linux, KDE, Android, Microsoft und Apple auf die möglichen Einfallstore hingewiesen, damit sie vor Veröffentlichung darauf reagieren können. Gemeinsam mit dem Linux-Sicherheitsteam wurden auch bereits Patches ausgeliefert, die einige der Sicherheitslücken schließen können.
Die Forschenden führten Beispiele von Angriffsszenarien an: Auf Windows konnten sie beispielsweise die Sperre des Lesezugriffs umgehen, indem sie das Benachrichtigungssystem des nicht lesegeschützten übergeordneten Verzeichnisses anzapften. Über die Benachrichtigungen für das Hauptverzeichnis C:\ konnten sie damit alle Dateisystemereignisse in allen Unterordnern mitverfolgen, inklusive der Dateinamen.
Auch Browser wie Firefox waren anfällig: Da dieser Browser für jede besuchte Website, die den lokalen Speicher benötigt, einen eigenen Ordner anlegt, der den Namen der Website enthält, konnten die "Angreifer" in Echtzeit nachvollziehen, welche Websites die Nutzer besuchten. Auf Linux nutzten die Forschenden das Dateibenachrichtigungssystem "inotify", um Tastenanschläge innerhalb einer lesegeschützten Datei mitzuverfolgen. Linux verhinderte zwar zunächst die direkte Überwachung der Datei, da sie jedoch wiederum in einem lesbaren Ordner lag, konnte dieser über das Dateibenachrichtigungssystem ausgespäht werden. Welche Tasten gedrückt wurden, konnte das Team zwar nicht erkennen, aber die Zeit, die zwischen den einzelnen Tastenanschlägen vergeht, lieferte Hinweise.
Auf der Linux-Desktop-Umgebung KDE Plasma gelang es den TU-Experten, gefälschte Passwortfenster über die echten zu legen, sobald eine Authentifizierungsabfrage erschien. Selbst das Display-Server-Protokoll Wayland konnte das nicht verhindern.
Unter Android soll das System "FUSE" eigentlich verhindern, dass Apps unerwünscht auf Ordner anderer Apps zugreifen. Hier konnte eine App über die Dateibenachrichtigung Vorgänge in einem fremden Ordner ausspionieren und beobachten, wann Bilder, Videos und Dateien in den Ordnern von WhatsApp hinzugefügt oder gelöscht wurden. Die wenigsten Informationen konnten auf macOS gewonnen werden. Dennoch war das Verhalten der Nutzer, der Anwendungen und des Systems mitverfolgbar. Vor allem die Programmierschnittstelle "FSEvents" habe Einblicke in die Aktivitäten der User geliefert.
Die Forschung wurde teilweise vom Europäischen Forschungsrat über ein ERC-Projekt und dem Österreichischen Wissenschaftsfonds gefördert. Zusätzliche Mittel wurden durch eine großzügige Spende von Intel bereitgestellt.
( S E R V I C E - S. R. Neela, X. Zhao, J. A. Wultsch, D. Gruss et al.: "File Notification Attacks: Templating and Exploiting Side- Channel Leakage from the File-Notification Systems on Linux, Windows, and macOS". Abrufbar samt Bedienungsableitung für Lösungung unter: https://inoti.fyi)
A lighted sign reads "android" at the Mobile World Congress (MWC), the telecom industry's biggest annual gathering, in Barcelona on March 1, 2023. (Photo by Josep LAGO / AFP)
