Forschende der TU Graz haben Sicherheitslücken in den Dateibenachrichtigungssystemen von Windows, Linux, Android und macOS entdeckt. Diese Systeme melden dem Betriebssystem Nutzeraktivitäten wie das Erstellen, Löschen oder Ändern von Dateien. Wie das Institut für Informationssicherheit der TU Graz nun öffentlich gemacht hat, können auch Nutzer ohne Administratoren-Rechte diese Informationen abfangen und dadurch Verhaltensmuster nachverfolgen.

Schwachstellen in vier Betriebssystemen

Die betroffenen Unternehmen wurden vor der Veröffentlichung der Erkenntnisse informiert. Auf Windows gelang es den Forschenden, die Sperre des Lesezugriffs zu umgehen, indem sie das Benachrichtigungssystem des übergeordneten Verzeichnisses ausnutzten. Bei Linux konnten sie Tastenanschläge in eigentlich lesegeschützten Dateien verfolgen. In der Desktop-Umgebung KDE Plasma war es darüber hinaus möglich, gefälschte Passwortfenster über echte Eingabefenster zu legen.

Bei Android gelang es einer App, über die Dateibenachrichtigung Vorgänge in einem fremden Ordner auszuspionieren. Dabei ließ sich beobachten, wann Bilder, Videos und Dateien in den Ordnern von WhatsApp hinzugefügt oder gelöscht wurden. Auf macOS konnten die Forschenden im Vergleich zu den anderen Systemen die wenigsten Informationen gewinnen. Dennoch war auch hier das Verhalten von Nutzern, Anwendungen und dem System selbst mitverfolgbar.

Erste Patches für Linux in Arbeit

Mit dem Linux-Sicherheitsteam wurden bereits Patches entwickelt, die einen Teil der entdeckten Sicherheitslücken schließen sollen. Die Forschung wurde vom Europäischen Forschungsrat, dem Österreichischen Wissenschaftsfonds sowie durch eine Spende von Intel unterstützt.

Funktionsweise von Dateibenachrichtigungssystemen

Dateibenachrichtigungssysteme sind grundsätzlich fester Bestandteil moderner Betriebssysteme. Sie sorgen dafür, dass Anwendungen in Echtzeit über Änderungen im Dateisystem informiert werden, etwa wenn ein neues Dokument gespeichert, eine Datei gelöscht oder ein Ordnerinhalt aktualisiert wird. Auf dieser Grundlage können beispielsweise Cloud-Dienste automatisch Synchronisationen anstoßen, Sicherheitsprogramme verdächtige Aktivitäten erkennen oder Messenger-Apps neue Mediendateien anzeigen. Technisch werden solche Benachrichtigungen häufig über spezielle Schnittstellen des Betriebssystemkerns bereitgestellt, unter anderem über Mechanismen wie FUSE, die es ermöglichen, Dateisystemzugriffe auch außerhalb des Kernbereichs zu verarbeiten.

Diese Systeme sind bewusst so gestaltet, dass viele Anwendungen ohne besondere Berechtigungen auf grundlegende Änderungsinformationen zugreifen können, da dies für zahlreiche alltägliche Funktionen notwendig ist. Genau in diesem Umstand liegt jedoch grundsätzlich ein Zielkonflikt zwischen Nutzerfreundlichkeit und Absicherung: Je offener und schneller Änderungen gemeldet werden, desto mehr Rückschlüsse lassen sich theoretisch auch auf das Verhalten von Nutzerinnen und Nutzern ziehen, ohne dass dafür weitreichende Systemrechte erforderlich wären.

Meldung und Schließung von Sicherheitslücken

Bei der Entdeckung solcher Schwachstellen ist es in der IT-Sicherheitsforschung üblich, Hersteller vor einer öffentlichen Bekanntgabe zu informieren, damit diese die Möglichkeit erhalten, Gegenmaßnahmen vorzubereiten. Dieses Vorgehen, das als koordinierte Offenlegung bezeichnet wird, soll verhindern, dass Angreifer von Sicherheitslücken erfahren, bevor entsprechende Updates zur Verfügung stehen. Die Entwicklung und Verteilung von Patches erfolgt bei Betriebssystemen in der Regel über die jeweiligen Sicherheitsteams der Hersteller oder, im Fall quelloffener Systeme wie Linux, über die zuständigen Entwicklergemeinschaften. Wie lange die Schließung einer Lücke dauert, hängt unter anderem davon ab, wie tief sie im System verankert ist und wie viele unterschiedliche Komponenten oder Betriebssystemversionen betroffen sind.