كيف تكشف إشعارات الملفات نشاط الآخرين على الجهاز نفسه؟

قد يُمنع تطبيق من قراءة ملف، لكنه يتلقى إشعارًا عند حدوث نشاط يتعلق به. هذه الفجوة هي محور بحث لباحثين في جامعة غراتس للتكنولوجيا بالنمسا: فالإشعار لا يحمل محتوى الملف، لكن اسمه أو مساره أو توقيت الحدث قد يساعد تطبيقًا محليًا محدود الصلاحيات على استنتاج ما يفعله شخص آخر على الجهاز نفسه. ورصد الباحثون هذا النوع من التسرب في لينكس وأندرويد وويندوز وmacOS. 620

ماذا يرى التطبيق المراقِب؟

صُممت واجهات إشعارات الملفات لغرض مشروع، هو تنبيه البرامج إلى الوصول إلى الملفات أو تغييرها. وتشمل inotify في لينكس، وFileObserver في أندرويد الذي يعتمد عليها، وReadDirectoryChangesW في ويندوز، وFSEvents في macOS. وتؤرخ التقارير لهذه الواجهات بأعوام 2005 و2008 و2000 و2007 على الترتيب؛ وهي تواريخ توردها التغطية، وليست تحققًا مستقلًا من أول إصدار لكل واجهة. 317

المهم هنا هو الفرق بين معرفة أن حدثًا وقع وقراءة الملف نفسه. تؤكد وثائق أندرويد، مثلًا، أن FileObserver يمكنه الإبلاغ عن أحداث تسببها أي عملية على الجهاز. لكن ما يستطيع التطبيق معرفته يظل مرتبطًا بالواجهة والموقع الذي يمكنه مراقبته؛ ولا تعني النتائج أن كل تطبيق قادر على متابعة كل ملف. 1720

ماذا أظهرت التجارب؟

• لينكس — توقيت الكتابة: أتاحت مراقبة دليل استنتاج الفواصل الزمنية بين ضغطات المفاتيح دون صلاحية قراءة الملفات المعنية. وفي اختبار محلي شمل سبعة مستخدمين، تراوحت النتيجة المبلّغ عنها لرصد نشاط الضغطات بين 93.1% و100%. هذا رصد للتوقيت، وليس دليلًا على استعادة الحروف المكتوبة مباشرة. 74
• ويندوز — المواقع المفتوحة: في تجربة لتمييز المواقع التي زارها مستخدم آخر عبر فايرفوكس، وفّرت أدلة تحمل أسماء المواقع إشارات يمكن تصنيفها. وسُجلت درجة F1 بلغت 97.8% ضمن 1000 موقع؛ وF1 مقياس لأداء التصنيف، وليس مرادفًا مباشرًا لـ«الدقة» بالنسبة نفسها. 8
• أندرويد — نشاط الوسائط: تصف تغطية البحث تسرب أحداث مرتبطة بوسائط واتساب، فيما تؤكد وثائق أندرويد إمكان إبلاغ FileObserver عن أحداث تحدثها عمليات أخرى. يدعم ذلك احتمال استنتاج النشاط من الإشعارات، لا الادعاء بأن التطبيق المراقِب حصل على الصور أو المقاطع أو المستندات نفسها. 1017
• macOS: رصد الباحثون تسربًا من الفئة نفسها في بيانات إشعارات الملفات الوصفية، لكن مقتطفات المصادر المتاحة لا تثبت تجربة محددة أو رقم أداء مماثلًا لهذا النظام. 620

لماذا لا يكفي إصلاح لينكس؟

تتعلق الثغرة CVE-2025-68788 بإشعارات الوصول إلى ملفات خاصة أو تعديلها. فقد كان بإمكان مراقِب يملك حق الوصول إلى دليل أب أن يتلقى أحداثًا تخص ملف جهاز تابعًا له، رغم عجزه عن قراءة ذلك الملف. يمنع تغيير في نواة لينكس وصول حدثَي ACCESS وMODIFY المعنيين إلى مراقبي الدليل الأب؛ لكنه إصلاح جزئي، لا إغلاق لكل قنوات التسرب عبر الإشعارات. 1112

الخلاصة أن بيانات الإشعار الوصفية قد تكون حساسة بحد ذاتها؛ لذا ينبغي أن تراعي ضوابط الاشتراك في الإشعارات ما يمكن استنتاجه من الحدث، لا أن تفترض أن حجب محتوى الملف يكفي. والورقة البحثية مُدرجة ضمن مؤتمر ACM CCS 2026 المقرر عقده في لاهاي من 15 إلى 19 نوفمبر 2026. وفي تقييم مؤرخ في يونيو 2026، سجّلت الوكالة الأميركية للأمن السيبراني وأمن البنية التحتية (CISA) حالة الاستغلال للثغرة الخاصة بلينكس بأنها «لا يوجد»؛ وهذا لا يثبت أن أي قناة جانبية مشابهة لم تُستغل قط. 61