แอปที่ไม่มีสิทธิ์อ่านไฟล์ อาจติดตามกิจกรรมของผู้ใช้คนอื่นผ่านการแจ้งเตือนไฟล์

การแจ้งเตือนว่าไฟล์ถูกเปิดหรือเปลี่ยนแปลงอาจดูไม่สำคัญเท่าการเปิดอ่านไฟล์โดยตรง แต่ทีมวิจัยจากมหาวิทยาลัยเทคโนโลยีกราซในออสเตรียพบว่า ชื่อไฟล์ เส้นทางไฟล์ และเวลาที่เหตุการณ์เกิดขึ้น อาจเพียงพอให้แอปในเครื่องซึ่งไม่มีสิทธิ์พิเศษอนุมานได้ว่าผู้ใช้อีกคนบนอุปกรณ์เดียวกันกำลังทำอะไร งานวิจัยครอบคลุม Linux, Android, Windows และ macOS โดยไม่ได้หมายความว่าแอปนั้นอ่านเนื้อหาไฟล์ได้ 620

เห็นเหตุการณ์ ไม่ได้เห็นเนื้อหาไฟล์

ระบบแจ้งเตือนไฟล์มีประโยชน์ตามปกติ: ช่วยให้โปรแกรมตอบสนองเมื่อมีการเข้าถึงหรือเปลี่ยนแปลงไฟล์ Linux ใช้ inotify, Android ใช้ FileObserver ซึ่งทำงานบน inotify, Windows มี ReadDirectoryChangesW และ macOS มี FSEvents รายงานระบุปีที่เกี่ยวข้องกับอินเทอร์เฟซเหล่านี้ไว้เป็น ค.ศ. 2005, 2008, 2000 และ 2007 ตามลำดับ แต่ตัวเลขดังกล่าวเป็นปีที่รายงานอ้างถึง ไม่ใช่ประวัติการเปิดตัวครั้งแรกที่ตรวจสอบยืนยันแยกต่างหาก 317

จุดสำคัญคือ สิทธิ์อ่านไฟล์ กับ สิทธิ์รับรู้ว่าเกิดอะไรขึ้นกับไฟล์ ไม่ใช่เรื่องเดียวกัน การแจ้งเตือนไม่เปิดเผยข้อความหรือภาพในไฟล์ แต่ข้อมูลประกอบเหตุการณ์อาจเผยรูปแบบการใช้งานได้ เอกสารของ Android ระบุว่า FileObserver รายงานเหตุการณ์ที่เกิดจาก กระบวนการใดก็ได้ บนอุปกรณ์ อย่างไรก็ตาม สิ่งที่ผู้เฝ้าดูจะเห็นจริงขึ้นอยู่กับอินเทอร์เฟซและตำแหน่งที่สามารถติดตามได้ ไม่ใช่ว่าทุกแอปจะเฝ้าดูทุกไฟล์บนทุกระบบได้ 1720

งานทดลองบอกอะไรได้บ้าง

• Linux — จับจังหวะการพิมพ์: การเฝ้าดูไดเรกทอรีทำให้อนุมานช่วงเวลาระหว่างการกดแป้นพิมพ์ได้โดยไม่ต้องมีสิทธิ์อ่านไฟล์ที่เกี่ยวข้อง รายงานการทดสอบในเครื่องกับผู้ใช้ 7 คนระบุผลการตรวจจับกิจกรรมการกดแป้นพิมพ์ที่ 93.1%–100% ตัวเลขนี้ไม่ได้หมายความว่าผู้เฝ้าดูรู้โดยตรงว่าพิมพ์ตัวอักษรอะไร 74
• Windows — เดาเว็บไซต์ที่เปิด: ในการทดสอบจำแนกเว็บไซต์ที่เข้าชมผ่าน Firefox ไดเรกทอรีที่มีชื่อตามเว็บไซต์กลายเป็นเบาะแสเกี่ยวกับเว็บที่ผู้ใช้อีกคนเปิด ผลที่รายงานคือ ค่า F1 97.8% ในกลุ่ม 1,000 เว็บไซต์ ค่า F1 เป็นตัวชี้วัดการจำแนกผล จึงไม่ควรเรียกตัวเลขนี้ว่า “ความแม่นยำ 97.8%” โดยตรง 8
• Android — สังเกตกิจกรรมสื่อ: รายงานงานวิจัยกล่าวถึงการรั่วไหลของเหตุการณ์เกี่ยวกับสื่อใน WhatsApp ขณะที่เอกสาร Android ยืนยันว่า FileObserver รับเหตุการณ์ที่เกิดจากกระบวนการอื่นได้ หลักฐานนี้รองรับความเสี่ยงในการอนุมานกิจกรรมจากการแจ้งเตือน ไม่ใช่ข้อสรุปว่าผู้สังเกตได้รับรูปภาพ วิดีโอ หรือเอกสารนั้นไปด้วย 1017
• macOS — พบความเสี่ยงประเภทเดียวกัน: นักวิจัยระบุการรั่วไหลของข้อมูลประกอบการแจ้งเตือนไฟล์บน macOS ด้วย แต่ข้อมูลจากแหล่งที่มีอยู่ยังไม่เพียงพอจะยืนยันการทดลองหรือค่าประสิทธิภาพเฉพาะของระบบนี้ในระดับเดียวกับตัวอย่างข้างต้น 620

ทำไมการแก้ไขบน Linux ยังไม่จบปัญหา

ช่องโหว่ Linux หมายเลข CVE-2025-68788 เกี่ยวข้องกับการแจ้งเตือนการเข้าถึงหรือแก้ไข ไฟล์ชนิดพิเศษ เดิมผู้ที่เข้าถึงไดเรกทอรีแม่อาจรับเหตุการณ์ของไฟล์อุปกรณ์ที่อยู่ข้างในได้ แม้จะไม่มีสิทธิ์อ่านไฟล์นั้น การแก้ไขในเคอร์เนลหยุดส่งเหตุการณ์ ACCESS และ MODIFY บางกรณีไปยังผู้เฝ้าดูไดเรกทอรีแม่ แต่ไม่ได้ขจัดการรั่วไหลผ่านระบบแจ้งเตือนไฟล์ทุกรูปแบบ 1112

บทเรียนคือข้อมูลประกอบการแจ้งเตือนก็อาจเป็นข้อมูลอ่อนไหว การกำหนดว่าใครสมัครรับเหตุการณ์ได้จึงควรคำนึงถึงสิ่งที่เหตุการณ์นั้นเปิดเผย ไม่ใช่ดูเพียงว่าแอปอ่านเนื้อหาไฟล์ได้หรือไม่ งานวิจัยนี้มีรายชื่ออยู่ในกำหนดการประชุม ACM CCS 2026 วันที่ 15–19 พฤศจิกายน 2569 ที่กรุงเฮก ส่วนการประเมินของ CISA ในเดือนมิถุนายน 2569 ระบุสถานะการใช้ประโยชน์จาก CVE ฝั่ง Linux ว่า “none” ซึ่งไม่ใช่หลักฐานยืนยันว่าไม่เคยมีใครใช้ช่องทางลักษณะใกล้เคียงกันจริง 61