作業系統中繼資料外洩：檔案監控說法真正揭示了什麼

發生了什麼

現代作業系統是複雜的環境，設計用來每秒管理數千個背景任務，確保應用程式順暢執行並有效率地分配硬體資源。3DNews 近期的一份報導指出，主要平台處理這些日常運作的方式可能存在一項弱點。問題的核心在於檔案操作通知機制，這是內建於系統的工具，會在檔案被建立、修改或刪除時通知應用程式。這些機制可能被利用來監視使用者，而完全不需要讀取檔案的實際內容。 這類弱點屬於側通道攻擊的範疇。在傳統的網路安全入侵中，攻擊者可能會試圖破解加密鎖、猜測密碼或繞過存取控制，以直接讀取受保護的資料。側通道攻擊則採取完全不同的途徑。觀察者不攻擊資料本身，而是著眼於系統運作的次要效應。這些次要效應可能包括功耗的波動、電磁輻射，或系統中繼資料的產生。 側通道觀察的概念在情報與電腦科學領域由來已久。冷戰期間，研究人員發現加密機器與電腦螢幕發出的電磁輻射可以在遠處被截取並還原，這門學科後來被稱為 TEMPEST。之後，電腦科學家證明，處理器執行加密計算所花費的極微小時間差異，可能洩漏底層的祕密金鑰。目前作業系統的情況，便是將這套基本邏輯套用到檔案系統中繼資料上。 當檔案被存取或修改時，作業系統會廣播中繼資料，讓其他應用程式得知變更。藉由監控這些通知的精確時機與頻率，無特殊權限的使用者或應用程式可能推斷出高度敏感的活動。據報導，這些活動包括追蹤按鍵輸入的時機，以及辨識使用者正在造訪哪些網站。關於這項特定技術在現實世界中被廣泛利用的證據狀態仍未獲證實，目前的資料也不足以完整說明其在所有運算環境中的實際影響。然而，將中繼資料用作側通道的理論基礎，在電腦安全領域是公認且被大量研究的概念。

我們所知

作業系統依賴特定的應用程式介面來監控檔案系統變更。在 Linux 上，這個機制稱為 inotify。Android 建構於修改過的 Linux 核心之上，採用類似的框架，稱為 FileObserver。Windows 作業系統使用名為 ReadDirectoryChangesW 的函式來管理這些任務，而 macOS 則採用稱為 FSEvents 的系統。這些工具並非為惡意目的而設計；它們是必要的架構元件，讓現代作業系統能有效率地運作並提供流暢的使用者體驗。 舉例來說，當使用者從網際網路下載大型檔案時，桌面檔案管理員需要確切知道下載何時完成，以便更新資料夾顯示並移除暫時的下載副檔名。安全軟體高度依賴這些通知，在新檔案寫入磁碟的瞬間立即檢查，防止惡意程式碼執行。桌面索引服務則利用它們即時更新搜尋結果，而不必不斷分析整顆硬碟，那樣會嚴重拖慢系統效能。 這些機制的運作方式是廣播中繼資料，也就是關於資料的資料。它包含的資訊如檔案被修改的確切時間戳記、檔案大小、特定目錄路徑，以及所執行的操作類型——例如讀取、寫入或刪除動作。關鍵在於，這些中繼資料並不包含文件的實際文字、影像的像素，或執行檔內的程式碼。 由於中繼資料傳統上被視為比底層資料較不敏感，作業系統往往允許無特殊權限的應用程式——也就是未以管理員或 root 權限執行的程式——監控這些事件。這項架構選擇優先考量系統效能與應用程式功能，讓標準程式無須提高權限即可對系統變更做出反應。inotify、FileObserver、ReadDirectoryChangesW 與 FSEvents 的存在及標準運作方式，是其各自作業系統中已獲驗證的基本功能。 這些系統的底層架構深深嵌入現代電腦處理多工的方式中。在個人運算的早期，程式必須不斷輪詢檔案系統以檢查變更，這個過程消耗大量處理能力並耗盡電池。事件驅動通知的引入解決了這個問題，讓應用程式可以休眠，直到作業系統主動通知相關變更。這種效率正是這些介面今日在所有主要平台上普遍實作的原因。

我們所不知

雖然這些檔案通知機制的結構性存在十分明確，但在日常情境中利用它們的實際情況仍較不確定。關於這些中繼資料能多輕易被轉化為可靠監控，目前的解釋狀態被歸類為資料不足。我們不知道這些側通道攻擊在高度受控的實驗室環境之外，確切的成功率為何。 現實世界的運算環境極度嘈雜。典型的作業系統同時執行數十個、甚至數百個背景程序。軟體更新程式、網路同步工具、系統遙測，以及背景應用程式重新整理，全都會產生各自持續不斷的檔案操作通知流。要從這龐大的背景雜訊中，分離出與單一使用者按鍵輸入或網頁瀏覽相關的特定中繼資料，是一項艱鉅的數學與運算挑戰。 目前仍不知道，一個無特殊權限的應用程式在標準且大量使用的裝置上，能多有效地過濾這些雜訊，而不消耗過多處理能力。如果一個監控應用程式需要大量 CPU 資源來解析每秒數千個檔案事件，它可能因為風扇噪音增加、電池耗電或系統遲滯，而不經意地讓使用者察覺它的存在。這種監控在一般使用者眼中變得實際上不可見的門檻，尚未被確立。此外，硬體差異，例如固態硬碟與傳統硬碟之間的速度差異，會引入時序偏差，使這些攻擊的可靠性更加複雜。 再者，我們不知道作業系統廠商最終將如何處理這個問題——如果它被認定為重大威脅的話。修改像 inotify 或 FSEvents 這類核心應用程式介面，帶有破壞合法軟體的顯著風險。限制對這些通知的存取，可能導致安全程式無聲失效、備份軟體漏掉關鍵的檔案更新，以及使用者介面變得無回應或不準確。任何未來為緩解這個特定側通道而設計的安全修補或架構變更，其時間表、方法及潛在的系統影響，目前完全未知。

有何說法

主要論點是，檔案操作通知機制創造了一條側通道，洩漏敏感的中繼資料，為無特殊權限的應用程式如何監控使用者行為提供了一種可能的解釋。有人提出，藉由接入這條通道，觀察者可以推斷出高度特定的活動，而完全不需要讀取檔案本身的權限。 其中一個主要的威脅模型涉及按鍵輸入監控。當使用者在某些應用程式中打字時，例如文書處理器或安全通訊軟體，軟體會頻繁建立暫存檔、更新自動儲存文件，或修改本機快取檔案以防止資料遺失。這項說法認為，藉由觀察這些檔案寫入操作的精確時機，攻擊者可以推斷使用者按鍵輸入的時機。由於不同的按鍵與打字模式有截然不同的時序特徵——例如，手指從「A」鍵移到「Z」鍵所需的時間，與移到「S」鍵不同——這些中繼資料在理論上可以用統計模型分析，以還原特定的字詞、句子，甚至密碼。 另一項重要說法涉及網站指紋辨識。當網頁瀏覽器載入一個頁面時，它不只是顯示單一資料流；它會將許多小檔案寫入本機磁碟快取，包括圖片、指令碼、樣式表與追蹤 cookie。每個網站會根據其特定架構及所需的資源數量，產生獨特的快取檔案建立與修改模式。 有人聲稱，一個監控檔案通知的應用程式可以記錄這種複雜的磁碟活動模式，並與預先編譯的已知網站特徵資料庫進行比對。這項技術在理論上能讓應用程式辨識出使用者正在造訪哪些網站，即使網頁流量受到高度加密，且監控應用程式無權存取瀏覽器的歷史記錄或網路資料。這項論點更進一步主張，這一切可以完全在背景進行，繞過虛擬私人網路或加密網域名稱查詢等傳統的網路層級隱私保護。

已查證的內容

已獲驗證的事實是，現代作業系統利用 inotify、FileObserver、ReadDirectoryChangesW 與 FSEvents 等機制來有效率地管理檔案系統變更。同樣已獲驗證的是，這些機制會產生關於檔案操作的持續中繼資料流，而且這些中繼資料往往可供標準應用程式存取，無須提高管理權限。 側通道攻擊的基本概念——觀察次要系統行為以推斷主要受保護資料——是電腦科學與密碼學中確立已久的原則。歷史上，側通道攻擊已成功利用功耗變化、電磁輻射與處理器快取時序來展示。檔案系統中繼資料可作為類似側通道的想法，與這些既有原則完全吻合。 這些機制的運作完全符合設計，將檔案操作的時機與性質廣播給任何註冊監聽的程序。網頁瀏覽器寫入可預測的快取檔案模式，以及文書處理器在打字時產生暫存檔，這些底層行為也是已獲驗證的軟體行為。 然而，將這個概念具體應用於在多元的現實世界硬體與軟體配置中可靠地擷取按鍵輸入與網頁瀏覽歷史，仍處於理論與測試階段。從已知的預期系統行為，轉變為已驗證且普遍存在的安全弱點，需要大量文件紀錄與現實世界證據，而這些目前更廣泛的網路安全領域中仍然缺乏。

相互競爭的解釋

• 有可能: 檔案操作通知機制（如 inotify 或 FileObserver）創造了一條洩漏中繼資料的側通道，讓無特殊權限的使用者得以推斷按鍵輸入與網站造訪等敏感活動。

什麼會改變我們的評估

要將證據狀態從未獲證實提升到更高程度的確定性，網路安全專家需要幾項具體進展。首先，需要有獨立、可重現的示範，證明這些攻擊在不受控制的現實世界環境中成功。研究人員需要證明，在執行典型工作負載的標準裝置上，訊號雜訊比可以被可靠地克服，證明理論模型能承受正常作業系統混亂的背景活動。 此外，發布概念驗證攻擊程式碼，能在不同作業系統版本與硬體架構上一致地擷取準確的按鍵資料或網站歷史，將顯著改變這項評估。這些程式碼需要證明攻擊可以在不觸發系統資源警報或不需要不切實際前提的情況下執行。 來自主要作業系統廠商——Apple、Microsoft、Google 與 Linux 核心維護者——的正式承認，將為該威脅的嚴重性提供官方確認。這種承認通常伴隨常見弱點與暴露追蹤編號的發布，這是業界編錄已確認安全漏洞的標準。 專家也會尋找這些技術被惡意行為者在現實環境中積極使用的鑑識證據。發現利用檔案通知側通道來竊取使用者資料的惡意軟體或間諜軟體，將使這個議題從安全研究中討論的理論弱點，轉變為需要立即緩解的活躍現實世界安全危機。