Comment les notifications de fichiers espionnent vos frappes clavier et votre navigation

Entre 93,1 % et 100 % de précision dans la reconstitution exacte des frappes au clavier sur un système Linux distant, et jusqu’à 97,8 % de réussite dans l’identification en temps réel des sites web consultés sous Windows : le bilan dressé par les chercheurs de l’Université de technologie de Graz (TU Graz) jette un froid glacial sur l’étanchéité des systèmes d’exploitation modernes.

Dans leur rapport académique détaillé intitulé File Notification Attacks et vulgarisé sur le portail l’étude inoti.fyi, l’équipe menée par Sudheendra Raghav Neela et le professeur Daniel Gruss démontre qu’un utilisateur totalement dépourvu de privilèges élevés peut contourner le cloisonnement logiciel le plus strict en exploitant les mécanismes élémentaires d’alerte du système de fichiers.

Le contournement des fichiers illisibles : espionner sans pouvoir ouvrir

Le piège fondamental réside dans un paradoxe de contrôle d’accès : même si un utilisateur ne possède aucun droit de lecture sur un fichier cible, le fait de disposer d’un accès en lecture sur le dossier parent suffit à recevoir l’ensemble des notifications d’activité qui s’y déroulent. Sous Linux, l’observation du répertoire /dev/input permet ainsi de capter le déclenchement exact des signaux d’entrée matériels. L’attaquant ne lit pas directement le code de la touche frappée, mais il enregistre le couple événementiel d’enfoncement et de relâchement avec une résolution temporelle descendant sous les 10 microsecondes, autorisant une attaque par analyse temporelle (inter-keystroke timing) pour reconstruire les mots de passe et les textes saisis.

Sur l’environnement graphique KDE Plasma 6 sous protocole Wayland, les chercheurs sont même parvenus à monter une attaque d’usurpation d’interface (UI redress) : en surveillant l’accès à l’exécutable système pkexec via inotify, un script non privilégié parvient à superposer une fausse invite d’authentification graphique en à peine 374 millisecondes, interceptant le mot de passe administrateur avant l’apparition de la boîte de dialogue légitime.

Système d’exploitation	Sous-système ciblé	Vecteur d’exfiltration principal	Précision constatée
Linux	inotify	Frappes clavier via /dev/input et polices Firefox	93,1 % à 100 % (clavier) / 87,9 % (web)
Windows	ReadDirectoryChangesW	Fuite intégrale des chemins sur C:\ entre profils	97,8 % (surveillance web Firefox)
Android	FileObserver	Contournement FUSE et métadonnées WhatsApp	Exposition des pièces jointes et horodatages
macOS	FSEvents	Lancement d’applications et identifiants de VM	Traçage d’activité globale du système

Du « comportement intentionnel » de Microsoft au durcissement partiel de Linux

Le cas de Windows illustre une posture industrielle édifiante. En posant un simple écouteur à la racine du lecteur C:\, n’importe quel compte utilisateur standard reçoit les notifications accompagnées des chemins complets de tous les fichiers créés, modifiés ou effacés sur la machine, y compris au fin fond du répertoire privé AppData d’autres sessions. Interpellé dans le cadre de la procédure de divulgation responsable, Microsoft a balayé le problème d’un revers de main, assurant qu’il s’agit d’un « comportement prévu par conception » qui ne donne pas accès au contenu brut des fichiers, une réponse qui a valu à la firme une nomination aux célèbres Pwnies Awards 2026 dans la catégorie de la pire réaction de fournisseur.

À l’inverse, la communauté du noyau Linux a réagi en publiant un correctif partiel identifié sous la référence CVE-2025-68788, visant à interdire la génération d’événements d’accès sur les fichiers périphériques spéciaux. Les universitaires soulignent néanmoins que ce verrouillage ne traite qu’une fraction des surfaces exploitables : tant que les systèmes d’exploitation ne restreindront pas strictement l’émission de notifications aux seuls fichiers pour lesquels un processus détient un mandat d’accès effectif, la simple existence d’un nom de dossier suffira à déduire la vie privée de l’utilisateur.