Upozornění na změny souborů mohou prozradit aktivitu uživatelů na čtyřech systémech

Představte si aplikaci, která nesmí otevřít vaše soubory, ale dostává zprávy o tom, kdy se s nimi něco děje. Právě v tom spočívá problém, na který upozornili výzkumníci z Technické univerzity v Grazu: samotná oznámení mohou prozradit aktivitu jiného uživatele na stejném zařízení. Vodítkem je název souboru, jeho cesta nebo čas, kdy událost nastala. Výzkum se týká Linuxu, Androidu, Windows a macOS. 620

Obsah zůstává skrytý, aktivita ne vždy

Oznamování souborových událostí má běžné využití: program se díky němu dozví, že byl soubor otevřen, změněn či smazán, a může na to reagovat. Linux používá inotify, Android nad ním staví FileObserver, Windows nabízejí ReadDirectoryChangesW a macOS FSEvents. Podle dostupného zpravodajství se tato rozhraní používají od let 2005, 2008, 2000 a 2007; nejde však o nezávisle ověřená data jejich prvního vydání. 317

Rozhodující je rozdíl mezi právem číst soubor a možností zjistit, že s ním někdo pracoval. Dokumentace Androidu například uvádí, že FileObserver hlásí události vyvolané kterýmkoli procesem v zařízení. To ale neznamená, že každá aplikace může sledovat libovolný soubor: záleží na rozhraní i na tom, které umístění smí pozorovat. 1720

Co ukázaly jednotlivé systémy

• Linux: Sledování adresáře může odhalit časové rozestupy mezi stisky kláves, aniž by pozorovatel směl číst soubory v něm. V popsaném lokálním testu se míra zachycení aktivity stisků u sedmi uživatelů pohybovala od 93,1 do 100 %. Neznamená to, že útočník přímo zjistil, jaké znaky uživatel napsal. 74
• Windows: Při rozpoznávání webů navštěvovaných ve Firefoxu posloužily jako vodítko adresáře pojmenované podle stránek. Test mezi 1 000 weby vykázal skóre F1 97,8 %. F1 je ukazatel kvality klasifikace; nebylo by přesné označit tuto hodnotu jednoduše za úspěšnost 97,8 %. 8
• Android: Zpravodajství o výzkumu popisuje únik informací o událostech souvisejících s médii ve WhatsAppu. Spolu s dokumentací FileObserver to dokládá riziko odvozování aktivity z oznámení, nikoli získání samotných fotografií, videí či dokumentů. 1017
• macOS: Výzkumníci popsali únik metadat ze souborových oznámení i zde. Dostupné podklady však neuvádějí srovnatelně konkrétní experiment ani výsledek měření pro macOS. 620

Proč dílčí oprava nestačí

Linuxová zranitelnost CVE-2025-68788 se týká oznámení o přístupu ke speciálním souborům nebo jejich změně. Proces s přístupem k nadřazenému adresáři mohl dostávat události o podřízeném souboru zařízení, který nesměl číst. Úprava jádra brání tomu, aby se právě události ACCESS a MODIFY v tomto případě dostaly k pozorovateli nadřazeného adresáře. Neodstraňuje však všechny úniky přes souborová oznámení. 1112

Poučení je širší: i metadata oznámení mohou být citlivou informací. Při rozhodování, kdo smí události odebírat, proto nestačí spoléhat na to, že obsah souboru zůstává chráněný. Studie je uvedena pro konferenci ACM CCS 2026, plánovanou na 15.–19. listopadu v nizozemském Haagu. Červnové hodnocení americké agentury CISA zaznamenalo u linuxové CVE stav „exploitation: none“; samo o sobě to nedokazuje, že žádný příbuzný postranní kanál nebyl nikdy zneužit. 61