Los sistemas de notificación de archivos de Windows, Linux y Android revelan la actividad de los usuarios

In­ves­ti­ga­do­res de la Uni­ver­si­dad de Tec­no­lo­gía de Graz en Aus­tria han de­mos­tra­do que los sis­te­mas ope­ra­ti­vos Linux, An­dro­id, Win­dows y macOS cuen­tan con me­ca­nis­mos de no­ti­fi­ca­ción de cam­bios en ar­chi­vos que pue­den ser ma­ni­pu­la­dos para vi­gi­lar las ac­cio­nes de otros usua­rios en la misma má­qui­na. Estas he­rra­mien­tas, uti­li­za­das co­mún­men­te por di­ver­sos pro­gra­mas para de­tec­tar la crea­ción, mo­di­fi­ca­ción o eli­mi­na­ción de ar­chi­vos, no exi­gen pri­vi­le­gios ele­va­dos y úni­ca­men­te ne­ce­si­tan ac­ce­so de lec­tu­ra a la ubi­ca­ción ob­ser­va­da.

Aun­que el con­te­ni­do de los ar­chi­vos no queda ex­pues­to, el aná­li­sis de los nom­bres de estos y el mo­men­to en que ocu­rren los even­tos per­mi­te de­du­cir la ac­ti­vi­dad del sis­te­ma, de las apli­ca­cio­nes y de los usua­rios. Para la ma­yo­ría de estas ac­cio­nes ma­li­cio­sas se re­quie­re que el ata­can­te ya tenga la ca­pa­ci­dad de eje­cu­tar có­di­go en el equi­po me­dian­te otra cuen­ta o, en el caso de An­dro­id, que se trate de una apli­ca­ción que no so­li­ci­te per­mi­sos. Entre las vul­ne­ra­bi­li­da­des de­tec­ta­das fi­gu­ran el mo­ni­to­reo de pul­sa­cio­nes de te­cla­do, la iden­ti­fi­ca­ción de si­tios web vi­si­ta­dos según fuen­tes car­ga­das o di­rec­to­rios con­sul­ta­dos, e in­clu­so la su­per­po­si­ción de ven­ta­nas fal­sas de au­ten­ti­ca­ción.

En cuan­to a la res­pues­ta de los de­sa­rro­lla­do­res, el nú­cleo de Linux ha re­ci­bi­do un en­du­re­ci­mien­to par­cial para evi­tar que los ar­chi­vos de dis­po­si­ti­vo ge­ne­ren even­tos de ac­ce­so y mo­di­fi­ca­ción, re­gis­trán­do­se una so­lu­ción bajo un iden­ti­fi­ca­dor es­pe­cí­fi­co. Por su parte, Mi­cro­soft in­di­có que el fun­cio­na­mien­to en Win­dows es in­ten­cio­nal y opera por di­se­ño, ar­gu­men­tan­do que solo mues­tra nom­bres y rutas de ar­chi­vos en di­rec­to­rios de per­fil y no datos sen­si­bles o con­te­ni­dos, ade­más de se­ña­lar que se re­quie­re eje­cu­ción pre­via de có­di­go local. Goo­gle y Apple no ofre­cie­ron co­men­ta­rios, y los in­ves­ti­ga­do­res pu­bli­ca­ron có­di­go de prue­ba en GitHub sin tener cons­tan­cia de que estos mé­to­dos se estén uti­li­zan­do ac­ti­va­men­te en en­tor­nos reales.