PC, Mac, Smartphone:
Grazer Forscher warnen vor neuer Sicherheitslücke
Forscher der TU Graz haben Schwachstellen in den Dateibenachrichtigungssystemen von gängigen Betriebssystemen wie Windows, Linux, Android oder macOS entdeckt. Diese melden dem System die Nutzeraktivitäten wie das Erstellen, Löschen, Öffnen, Ändern oder Schließen von Dateien. Doch durch Seitenkanalangriffe können diese sogenannten File Notification Systems ausgespäht werden und auch Passwortfenster gefälscht werden, teilte die TU Graz am Montag mit.
Kronen Zeitung als bevorzugte Google-Quelle hinzufügen Wenn Dateien erstellt, gelöscht, geöffnet, geschlossen oder geändert werden, melden Dateibenachrichtigungssysteme diese Nutzeraktivitäten an das Betriebssystem, damit Anwendungen oder das System auf die Änderungen reagieren können. Wie das Forschungsteam feststellte, können auch Nutzer ohne Administratoren-Rechte diese Benachrichtigungen mitlesen und beobachten, was andere Nutzer auf dem System tun.
Wie sich zeigte, reichen Leserechte für bestimmte Ordner aus, um vermeintlich geschützte Inhalte auszulesen. Zwar wurden nach wie vor nur Dateinamen und die Tatsache, dass Veränderungen stattgefunden haben, sichtbar, aber das genüge laut den Expertinnen und Experten der TU Graz, um das Verhalten der Nutzer des Systems und der Anwendungen nachzuvollziehen.
Schwachstellen öffentlich gemacht
Das Forschungsteam vom Institut für Informationssicherheit (Institute of Information Security) der TU Graz hat seine Erkenntnisse in einer Publikation zusammengefasst und auf der eigens eingerichteten Website https://inoti.fyi publiziert. Zuvor wurden die Teams von Linux, KDE, Android, Microsoft und Apple auf die möglichen Einfallstore hingewiesen, damit sie vor Veröffentlichung darauf reagieren können. Gemeinsam mit dem Linux-Sicherheitsteam wurden auch bereits Patches ausgeliefert, die einige der Sicherheitslücken schließen können.
Die Forschenden führten Beispiele von Angriffsszenarien an: Auf Windows konnten sie beispielsweise die Sperre des Lesezugriffs umgehen, indem sie das Benachrichtigungssystem des nicht lesegeschützten übergeordneten Verzeichnisses anzapften. Über die Benachrichtigungen für das Hauptverzeichnis C:\ konnten sie damit alle Dateisystemereignisse in allen Unterordnern mitverfolgen, inklusive der Dateinamen.
Tastenanschläge und mehr
Auch Browser wie Firefox waren anfällig: Da dieser Browser für jede besuchte Website, die den lokalen Speicher benötigt, einen eigenen Ordner anlegt, der den Namen der Website enthält, konnten die „Angreifer“ in Echtzeit nachvollziehen, welche Websites die Nutzer besuchten. Auf Linux nutzten die Forschenden das Dateibenachrichtigungssystem „inotify“, um Tastenanschläge innerhalb einer lesegeschützten Datei mitzuverfolgen. Linux verhinderte zwar zunächst die direkte Überwachung der Datei, da sie jedoch wiederum in einem lesbaren Ordner lag, konnte dieser über das Dateibenachrichtigungssystem ausgespäht werden. Welche Tasten gedrückt wurden, konnte das Team zwar nicht erkennen, aber die Zeit, die zwischen den einzelnen Tastenanschlägen vergeht, lieferte Hinweise.
Auf der Linux-Desktop-Umgebung KDE Plasma gelang es den TU-Experten, gefälschte Passwortfenster über die echten zu legen, sobald eine Authentifizierungsabfrage erschien. Selbst das Display-Server-Protokoll Wayland konnte das nicht verhindern.
WhatsApp-Ordner im Visier
Unter Android soll das System „FUSE“ eigentlich verhindern, dass Apps unerwünscht auf Ordner anderer Apps zugreifen. Hier konnte eine App über die Dateibenachrichtigung Vorgänge in einem fremden Ordner ausspionieren und beobachten, wann Bilder, Videos und Dateien in den Ordnern von WhatsApp hinzugefügt oder gelöscht wurden. Die wenigsten Informationen konnten auf macOS gewonnen werden. Dennoch war das Verhalten der Nutzer, der Anwendungen und des Systems mitverfolgbar. Vor allem die Programmierschnittstelle „FSEvents“ habe Einblicke in die Aktivitäten der User geliefert.
Die Forschung wurde teilweise vom Europäischen Forschungsrat über ein ERC-Projekt und dem Österreichischen Wissenschaftsfonds gefördert. Zusätzliche Mittel wurden durch eine großzügige Spende von Intel bereitgestellt.
krone.tv
Willkommen in unserer Community! Eingehende Beiträge werden geprüft und anschließend veröffentlicht. Bitte achten Sie auf Einhaltung unserer Netiquette und AGB. Für ausführliche Diskussionen steht Ihnen ebenso das krone.at-Forum zur Verfügung. Hier können Sie das Community-Team via unserer Melde- und Abhilfestelle kontaktieren.
User-Beiträge geben nicht notwendigerweise die Meinung des Betreibers/der Redaktion bzw. von Krone Multimedia (KMM) wieder. In diesem Sinne distanziert sich die Redaktion/der Betreiber von den Inhalten in diesem Diskussionsforum. KMM behält sich insbesondere vor, gegen geltendes Recht verstoßende, den guten Sitten oder der Netiquette widersprechende bzw. dem Ansehen von KMM zuwiderlaufende Beiträge zu löschen, diesbezüglichen Schadenersatz gegenüber dem betreffenden User geltend zu machen, die Nutzer-Daten zu Zwecken der Rechtsverfolgung zu verwenden und strafrechtlich relevante Beiträge zur Anzeige zu bringen (siehe auch AGB). Hier können Sie das Community-Team via unserer Melde- und Abhilfestelle kontaktieren.