文件通知如何泄露同一设备上其他用户的活动

文件打不开，不等于毫无线索。奥地利格拉茨工业大学的研究人员发现，文件通知中的文件名、路径和发生时间，可能让同一设备上的低权限程序推断其他用户的活动。研究涉及 Linux、Android、Windows 和 macOS；泄露的是事件线索，并非文件内容。620

通知为何会成为线索

文件通知原本是正常功能：软件借此得知文件被访问或更改，以便作出响应。Linux 使用 inotify，Android 的 FileObserver 底层使用 inotify，Windows 提供 ReadDirectoryChangesW，macOS 则使用 FSEvents。报道分别将这些接口追溯至 2005 年、2008 年、2000 年和 2007 年；这些是报道给出的时间，并非另行核实的首次发布时间。317

关键区别在于：无权读取文件，不一定意味着无法获知与文件有关的事件。Android 官方文档就说明，FileObserver 可报告设备上任何进程造成的文件访问或更改。不过，能看到什么仍取决于接口及程序能够监视的位置，不能据此推断所有应用都能监视所有文件。1720

四个平台，线索各不相同

• Linux：打字节奏。 研究相关报道指出，即使没有目录内文件的读取权限，监视目录事件仍可推断相邻按键的时间间隔。一项涉及七名用户的本地测试，对按键活动的检测结果为 93.1%—100%；这并不等于直接还原了输入的字符。74
• Windows：访问过的网站。 在 Firefox 网站识别演示中，以网站命名的目录提供了判断其他用户访问了哪个网站的线索。涵盖 1000 个网站的测试报告了 97.8% 的 F1 分数。F1 是分类表现指标，不能简单改写成“准确率 97.8%”。8
• Android：媒体活动。 报道描述了 WhatsApp 媒体相关事件的泄露；Android 文档也确认，FileObserver 能报告其他进程引发的事件。现有证据支持的是通过通知推断活动的风险，而不是监视者取得了照片、视频或文档本身。1017
• macOS：同类元数据风险。 研究人员也发现 macOS 文件通知存在元数据泄露。现有来源足以支持这一跨平台结论，但不足以给出同样具体的 macOS 实验结果或性能数字。620

Linux 修了一处，不代表问题消失

编号为 CVE-2025-68788 的 Linux 问题涉及特殊文件的访问与修改通知：有权访问父目录的观察者，可能收到关于其无权读取的子设备文件的事件。内核修复阻止这类 ACCESS 和 MODIFY 事件发送给父目录监视者，但没有消除文件通知的所有信息泄露途径。1112

这项研究提醒人们：通知元数据本身也可能是敏感信息。判断程序能否订阅事件时，需要考虑事件会透露什么，而不能只看文件内容是否受到保护。研究论文列入计划于 2026 年 11 月 15 日至 19 日在荷兰海牙举行的 ACM CCS 2026 会议。针对上述 Linux 漏洞，美国网络安全和基础设施安全局（CISA）在 2026 年 6 月记录的评估为“exploitation: none”（未发现利用）；这一记录不能证明所有相关侧信道都从未被实际利用。61