Inoti-logo (afb: Brinda Neela; https://inoti.fyi/)
Onderzoekers van TU Graz (Oos) zouden aangetoond hebben hoe systemen voor bestandsmeldingen in diverse besturingssystemen kunnen worden misbruikt om gebruikersactiviteiten te bespioneren en om wachtwoordvragen te vervalsen.
Onderzoekers van het instituut voor informatiebeveiliging aan de TU Graz hebben kwetsbaarheden ontdekt in de systemen voor bestandsmeldingen van veelgebruikte besturingssystemen: Windows, Linux, Android en macOS. Via zogenaamde ‘zijkanaal’-aanvallen is het mogelijk om systeembrede bestandswijzigingen, toetsaanslagen en bezochte webstekken te achterhalen. Ook zijn wachtwoordvragen te vervalsen en kunnen ingevoerde wachtwoorden worden onderschept.
In besturingssystemen houden systemen voor bestandsmeldingen bij of bestanden worden aangemaakt, verwijderd, geopend, gesloten of gewijzigd. Ze genereren automatisch systeemmeldingen zodat toepassingen of het systeem zelf op deze wijzigingen kunnen reageren. De onderzoekers ontdekten dat toeps of andere gebruikers op hetzelfde systeem deze meldingen kunnen achterhalen zonder dat daarvoor beheerdersrechten nodig zijn.
Hiervoor is slechts leestoegang tot specifieke mappen nodig. Die geeft inzicht in alle bestanden die in een map zijn opgeslagen – evenals in submappen en de inhoud daarvan – zelfs als die items normaal gesproken geen leestoegang toestaan. Bij al deze systemen kan de daadwerkelijke inhoud van de bestanden niet worden gelezen. Alleen de bestandsnamen en het feit dat er wijzigingen hebben plaatsgevonden, komen aan het licht. Deze informatie is echter voldoende om het gedrag van gebruikers, het systeem en toeps te volgen.
De onderzoekers illustreerden aan de hand van voorvalstudies hoe dergelijke aanvallen eruit kunnen zien. Om beperkingen op de leestoegang tot mappen en bestanden in Windows te omzeilen, hoefden de onderzoekers enkel gebruik te maken van het systeem voor bestandsmeldingen van de bovenliggende map, die niet tegen lezen was beveiligd.
Door gebruik te maken van meldingen voor de hoofdmap (C:\) ontdekte ze dat alle bestandssysteemgebeurtenissen in alle submappen konden worden gevolgd, inclusief de bestandsnamen. Aangezien webrauzers zoals Firefox voor elke bezochte webstek die lokale opslag vereist een aparte map aanmaken met de naam van de stek, kunnen aanvallers vrij eenvoudig en direct bijhouden welke webstekken gebruikers hebben bezocht.
Linux
Op Linux gebruikten de onderzoekers het inotify-systeem voor bestandsmeldingen om toetsaanslagen te volgen binnen een bestand dat ogenschijnlijk tegen lezen was beveiligd. Hoewel Linux het bekijken van het bestand zelf aanvankelijk blokkeerde, kon de map waarin het bestand stond wel via het meldingssysteem in de gaten worden gehouden.
Hierdoor kwamen de toetsaanslagen binnen het beveiligde bestand alsnog aan het licht. Hoewel de onderzoekers niet precies konden zien welke toetsen werden ingedrukt, bestaan er al meer dan twintig jaar zogenaamde aanvallen op basis van de tijd tussen toetsaanslagen. Dankzij de in de loop der jaren opgebouwde kennis kunnen alleen al de tijdsintervallen tussen individuele toetsaanslagen specifieke informatie prijsgeven.
Op KDE Plasma, een populaire bureaucomputeromgeving voor Linux, slaagden de beveiligingsonderzoekers erin om nepvensters voor wachtwoordinvoer over echte vensters heen te plaatsen zodra er een identificatieverzoek verscheen. Dat lukte zelfs bij gebruik van het veilige Waylandprotocol dat de communicatie regelt tussen het beeldscherm en de programma’s die daarop draaien.
Om dit te bereiken, hielden ze het uitvoerbare polkitbestand in de gaten – het programmeerraakvlak dat verantwoordelijk is voor autorisatiecontroles. Telkens wanneer een toegangspoging leidde tot een wachtwoordverzoek, plaatsten de aanvallers daar een nepwachtwoordvenster overheen. Hierdoor werden gebruikers verleid hun inloggegevens in te voeren, waardoor hun wachtwoorden werden prijsgegeven.
Op Android is het FUSE-systeem ontworpen om te voorkomen dat toeps toegang krijgen tot de mappen van andere toeps. In theorie zou zelfs de inhoud onzichtbaar moeten blijven. Door echter misbruik te maken van bestandsmeldingen, slaagde een toep zonder speciale rechten er echter in om activiteiten in de map van een andere toep te bespioneren.
Hierdoor kon het team zien wanneer afbeeldingen, video’s en bestanden in WhatsApp-mappen binnenkwamen, daaruit werden verzonden of werden verwijderd. De onderzoekers benadrukken dat ze de daadwerkelijke inhoud van de bestanden niet konden inzien, maar wel de bestandsnamen konden lezen. Dat zou mogelijk informatie kunnen prijsgeven over de inhoud en het gedrag van Android-telefoongebruikers.
Hoewel macOS de minste informatie prijsgaf via systeembreed leesbare bestanden, ontdekten de onderzoekers dat gebruikers-, applicatie- en systeemgedrag toch gevolgd kunnen worden. Zo biedt het macOS-programmeerraakvlak (API) FSEvents bruikbare inzichten in gebruikersactiviteit.
Zoals gebruikelijk in dergelijke gevallen, brachten de onderzoekers Linux, KDE, Android, Microsoft en Apple in een vroeg stadium op de hoogte van de potentiële kwetsbaarheden, zodat zij actie konden ondernemen vóór de publicatie van het onderzoeksartikel. In samenwerking met het Linux-beveiligingsteam zijn er al ‘pleisters’ gemaakt die enkele van deze kwetsbaarheden verhelpen.
Bron: Alpha Galileo