it-swarm-tr.com

X11 Yönlendirme ile Güvenlik Endişeleri

X11 Yönlendirmesine izin verilip verilmemesine ilişkin bazı güvenlik kaygıları ve nedenleri nelerdir? Genelde güvenlik önlemleri altında buna izin vermeme yaklaşımını kullandım. Son zamanlarda, bir kullanıcı X11 Yönlendirilmiş oturumlara izin vermekten kaynaklanan güvenlik etkilerinin ihmal edilebilir olduğunu düşündüklerini belirtti. X11 Forwarding'e izin veren zararın ne olduğu ve neden buna izin vermek isteyebileceği hakkında daha fazla bilgi edinmek istedim.

29
John

X11 iletmenin anlamı, sunucudan istemciye bir kanal açmasıdır. Basit bir SSH oturumunda, istemci sunucudan daha güvenilirdir: istemciyi kontrol eden herkes sunucuda komutlar çalıştırabilir (Shell erişimi varsayarak), ancak bunun tersi doğru değildir. X11 iletme ile, sunucunun istemciye Shell erişimi kazanması muhtemeldir.

Metin oturumunda, sunucudan istemciye kadar sınırlı bir kanal vardır: sunucu, istemcide görüntülenen çıktıyı belirler ve özellikle istemcide çalışan terminaldeki kaçış dizilerinden yararlanmaya çalışabilir,

X11 oturumunda, sunucu X11 komutlarını istemciye geri gönderebilir. X11, güvenlik göz önünde bulundurularak tasarlanmamıştır, görüntülemekte olduğunuz tüm programların sizin tarafınızdan çalıştırıldığı ve dolayısıyla yine de güvenilir olduğu fikriyle tasarlanmıştır. Varsayılan olarak, SSH sunucudan komutları X11 SECURITY uzantısı aracılığıyla kısıtlamalara tabi tutar. GÜVENLİK uzantısı, klavye tutucular ve tuş enjeksiyonu gibi bazı belirgin saldırıları devre dışı bırakır, ancak diğerlerinin odak çalması gibi izin verir.

Diyelim ki X11 iletme etkinken someserver ile bir SSH bağlantısı açtım. Birincil risk, someserver kötü niyetli ise, someserver, kendi bilgisayarımda açtığım pencerelere/uygulamalara her türlü kötü şeyi yapabilir.

Örneğin, someserver bilgisayarımdaki pencereleri açabilir, açtığım diğer pencereleri kapatabilir, açtığım diğer pencerelerin içeriğini casuslayabilir, diğer pencerelere yazdığım tuşları casuslayabilir, enjekte edebilir diğer pencerelere sahtekar tuş vuruşlarını ve fare olaylarını açtım ve genellikle makinemde açtığım diğer tüm pencerelerle karıştırıyorum - bu diğer pencerelerin bazıları yerel olarak çalışan yerel uygulamalar olsa bile.

7
D.W.

Diğer cevaplarda tartışılan ssh üzerinden X iletme risklerine bir çözüm, gerçekten bir X sunucusu olmayan, ancak bir sahte X arabirimi ve sahte bir X ekranı sunan istemci maskesine bir maskeli X sunucusu olarak kullanmak olabilir. bazı X işlerini arkasındaki gerçek X sunucusuna geçirirken. Sözde X ekranı, Host asıl X masaüstünde tek bir X penceresi olarak görüntülenir.

Bir güvenlik aracı olarak tasarlanmamış olsa da, Xephyr bu tanıma uyar.

Bu nedenle bir Vanilla ubuntu görüntüsünden bir lxd/lxc konteyneri oluşturmak ve firefox, openvpn, Xephyr ve pusleaudio ile doldurmak için bir javascript programı yazdım.

https://github.com/craigphicks/browser-on-lxc-vpn-xephyr

https://www.npmjs.com/package/browser-on-lxc-vpn-xephyr

Hakkında güçlü bir iddiada bulunmam - konsept alıştırmasının bir kanıtıydı.

0
Craig Hicks