Dotaz: pouštění X přes ssh

[David]

Slackware 9.1 , Xfree 4.3 problém : vadí mi, že přes ssh si kdokoli(kdo má u mě účet) může na mém počítači pustit Xka, která se mi zobrazí na další textové konzoli. Jak to zatrhnout ? Skoušel jsem Xwrapper, ale bezvýsledně - je určen spíš pro X 3.x

Odpovědi

[burlog]

moc jsem si s tim nehral, ale: man xhost

[David]

to není ono, xhost slouží k tomu, abych povolil (zakázal) cizím uživatelům si pouštět Xaplikace na mém běžícím Xserveru. Ale zakázat lidem připojeným přes ssh pouštění celé Xsession nemůžu (

[blami]

vadí vám že je může vůbec spustit ? moc sem to nepochopil, jestli to že je může pustit, tak to se tušim dá zakázat v ssh agent skriptu v /etc/X11/common (taky to nějak mam ... ale dost prasácky ... cosi sem tam umazal a setkalo se to s úspěchem :) ale mám X 4.2 cosi na Debianu ...

[David]

taky ne ( je zde pouze parametr na povolení přenosu Xkových aplikací ( tedy jejich graf. výstupu), což na můj problém nemá vliv ( a je to celkem užitečná věc, takže to mám povolené). Abych tedy upřesnil o co mi jde : sedím u počítače a v tom se někdo připojí k mému stroji prostřednictvím ssh. rozhodne se pustit si KDE. napíše startx. A co se nestane ? přeblikne mi obrazovka na jeho právě puštěné KDE. Pro něj je puštění KDE k ničemu, páč nic nevidí ( teda pokud si nepřesměruje grafický výstup z X serveru - na to je ta hodnota v ssh_config), ale mě to poměrně otravuje a celkem mi to vadí. Otázka : jak uživatelům připojeným nelokálně zatrhnout pouštění Xek. David

[unchallenger]

Něco jako Xwrapper v každém případě potřebuješ. X je setuid, proto bych dával velký pozor, co dělám... Založíš grupu canrunx. Sebereš XFree86 práva na spuštění ostatním, změníš mu grupu na canrunx. Nahradíš XFree86 setgid-na-canrunx wrapperem, který otestuje tty, zda je v seznamu povolených, a eventuálně spustí původní XFree86. Vzhledem k tomu setgidu snad půjde i to tty nějak rozumě otestovat, aniž by to šlo ošidit LD_PRELOADem.

[unchallenger]

...nebo to ptracnout, nebo cokoli.

[David]

tak tomuhle slovu bohužel nerozumím vůbec

[David]

to zní dobře, akorát si nevím rady s tím wrapperem. Stáhnul jsem si balíček pro Slack - Xwrapper, jenže obsahuje akorát dvě binárky Xwrapper a xinit a k tomu žádnej konfigurák, ani man On ten Xwrapper řeší problémy (podle toho, co jsem vyGOOGLoval) spíš pro X 3.x a to speciálně na Debianech, takže si nevím rady kde ten wrapper sehnat.

[unchallenger]

Obávám se, že pokud nic nenajdeš (a to je celkem pravděpodobné), budeš si to muset napsat/dopsat. Ani Xwrapper neřeší konkrétně tvůj problém -- umožnuje omezovat podle uživatele (viz Xwrapper.config(5)), ale ne podle tty, takže je to zapotřebí doprogramovat -- a asi přizpůsobit XFree86-4.x, nevím, nezkoušel jsem. Nebo si to napsat celé sám podle výše uvedeného postupu... No, přeji hodně štěstí.

[David]

man Xwrapper.config sice v baliku nebyl, ale dohledal jsem si ho na netu a asi máš pravdu. S tím štestím - tak to budu vážně potřebovat Ale porád se mi nezdá, že sem první, kdo tenhle problém řeší, takže zkusím ještě nějaké diskusní skupiny a snad někoho najdu. díky za pomoc David.

[Stanislav Brabec]

Pokud nebude mít ani X ani Xwrapper suid, bude ho moci spustit jen root. A při rozumném nastavení XDM/GDM/KDM to bude chodit.

[Hynek (Pichi) Vychodil]

Tohle zni rozumne. Zkratka zakazu spousteni X komukoliv krome xdm/gdm/kdm/wdm/...

[unchallenger]

No, jak kde. Právě teď sedím u X spuštěných X :3 -query počítač, což by se tímto řešením znemožnilo...

[David Jež]

Zdravim,
za predpokladu, ze se prihlasujes v textu a startujes pres startx, je nejlepsi reseni vytvorit novou skupinu, pridat ji do konfiguraku loginu (jeste ze Slack pouziva ten super login ve kterem to jde) aby vedel, ze ji ma pridat uzivateli ktery se prihlasi lokalne, a potom dat prislusne Xove binarky teto skupine a nastavit jim chmod 750. Pak to bude delat presne co chces: uzivatel, ktery se prihlasi lokalne ke stroji si bude moct spustit Xka, ostatni maji docela smulu.
-djz

[David]

ty jofka no to mám radost FUNGUJE TO ! akorát ještě jeden dotaz : předtím měl soubor /usr/X11/bin/XFree86 takvouhle podobu : -rws--x--x 1 root bin, teď má -rws--x--- 1 root xstarters. Podobně startx. Otázka : co je skupina bin a vadí moc, že teďkon nemá práva (popřípadě, dalo by se nějak vyřešit, aby je měla ? ).

[David Jež]

S tim se vubec netrap, skupina bin tady nemela zadny vyznam. Vadilo by to bud v pripade, kdyby binarka mela SGID priznak (tedy takove to s v druhem sloupecku - to by potom bezela jako jina efektivni skupina a to by mohlo byt na skodu), nebo kdyby mela prava 550. Potom by pripadne procesy bezici pod skupinou bin nemohly binarku spoustet. Ale pod binem snad v celem slacku nic nebezi. V tomto pripade je to jedno, protoze se zde skupina bin stejne nijak nevyuziva.
-djz

[David]

A ještě jeden : to přidáváni skupiny při logování do konzole jsem vyřešil takto : v /etc/login.defs : CONSOLE_GROUPS xstarters # Use with caution - it is possible for users to gain permanent access to these groups, even when not logged in on the console. How to do it is left as an exercise for the reader...# a trochu mě znervózňuje ten komentář co vy na to ? David

[David Jež]

Zdravim,
Ten komentar je myslen presne tak, jak je napsan Za predpokladu, ze znas sve schopnosti a schopnosti uzivatelu co na tom budou pracovat, muzes za domaci ukol zkusit toto obejit Tak uplne trivialni to zase neni a mysleno je to spise aby na tom nestala bezpecnost celeho systemu, ze by se jinak polozil. Pokud jde jen o znervoznovani pripadnyma Xkama tak se to da prezit, pripadne pak vymyslet neco jineho Ale nemelo by se proste stat, ze timhle obchazis derave bezpecnostni chyby. Na jine pouziti je to docela OK, jinak ve slacku se takto uzivatelum zpristupnuji cdromky a flopy a zvukovky a tak, a funguje to zillionkrat lip nez pam moduly treba na rh+ systemech, ktere daji zvukarnu jen prvnimu uzivateli kdo se prihlasi, ostatni maji smulu. Tohle je spolehlivejsi.
-djz

[David]

jo, jo, tu zvukárnu v mendlejku mám ešte v živý paměti. Jinak ještě jednou dík a hodně štestí. David.