Bezpečnostní chyba v zamykání obrazovky v Cinnamonu

Dětičky pod dozorem táty zkoušely hacknout tátův uzamčený počítač se Cinnamonem. Povedlo se jim to pouhým náhodným klikáním na virtuální klávesnici na obrazovce. Táta chybu nahlásil a je již opravena. Kliknutím na písmeno "ē" na virtuální klávesnici bylo možné shodit screensaver a tím obejít přihlašování.

17.1.2021 18:33 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[R]

"Zastarane" Trinity ma proti takymto bugom ochranu - ked spadne proces kdesktop_lock (alebo ho niekto killne), okamzite sa spusti znovu a zamkne obrazovku.

[xkucf03]

To za celá ta desetiletí nevzniklo API X serveru pro zamykání obrazovky? Vždyť X server se průběžně vyvíjí a těch rozšíření má spoustu. Spořič by pak byl jen zdroj obrazového signálu a pokud by spadl, ničemu by to nevadilo. Stejně tak formulář pro zadávání hesla – ten by byl řízen buď X serverem nebo by musel vrátit nějakou specifickou zprávu, nemělo by stačit, aby jako proces skončil. Do té doby by X server blokoval komunikaci se všemi ostatními X klienty.

[Bherzet]

Má to nějak vyřešené Wayland? Na první pohled mi přijde, že třeba swaylock funguje na podobném principu jako ty klasické screenlockery pro Xka (osobně používám i3lock a tohle je nejspíš jeho klon).

[marbu]

Řešilo by se to tím, že kompozitor implementující Wayland protokol zároveň spravuje stav funkce zamykání obrazovky. Měl jsem dojem, že wayland pro tohle definuje i nějaké api, ale nemůžu to teď dohledat. Viz. např. blog z roku 2015 když se to řešilo v KDE.

[marbu]

Tohle by mě taky zajímalo, ale po chvíli hledání jsem zjistil, že:

• Původně byl screen saver opravu integrovaný v X serveru, viz. např. man stránka XSERVER z Irixu (ale pokud to čtu dobře, zobrazovalo to jen hardcodované X logo a pomocí přepínače X serveru šlo akorát nastavit timeout, konfigurovat to nijak, natož pak z klienta, nešlo).
• Pak se přišlo s X11 Screen Saver Extension (z roku 1992?), které se dodnes používá, ale řeší jak vyhodit screen saver funkcionalitu celou do klienta, ale nějaké zamykání neřeší.

Taže hádám, že v době, kdy začalo být důležité bezpečné zamykání obrazovky, buď bylo na výběr snažit se pečlivě dohackovat zamykání v screen saver klientovi, nebo zahodit existující screen saver rozšíření, vymyslet a nechat standardizovat jiné rozšíření a počkat, až většina X serverů bude tohle implementovat. A hádám, že na to už bylo tou dobou nějakých min. 10 let pozdě.

[JR]

To jako screensaveru na Linuxu jeste nekdo veri? Vetsina se da snadno obejit treba tim, ze pripojite a odpojite nekolik novych monitoru. Nektery screensaver spadne, jiny se "nenatahne" a muzete  fungovat na zbytku plochy.

[xkucf03]

Ono je poměrně děsivé i to, když člověk připojí třeba USB flashku a ta vyskakovací nabídka z KDE problikne přes zamykací obrazovku…

[AsciiWolf]

Já zase pamatuji bug, při němž po probuzení zamknuté obrazovky na chvíli problikla pracovní plocha s otevřenými okny. Tuším, že to bylo na GNOME 2...

[xkucf03]

njn, to asi někdo zamykal obrazovku po probuzení a ne před uspáním (ono v GUI se to dodnes jmenuje zamknout po probuzení, ale doufám, že to není myšleno doslovně)

Dobrý šok je taky když ti po restartu problikne původní plocha… ale to je jen tím, že to zůstalo ve videopaměti a hned se to přemaže.

[AsciiWolf]

Dobrý šok je taky když ti po restartu problikne původní plocha… ale to je jen tím, že to zůstalo ve videopaměti a hned se to přemaže.

To mi připomíná jeden "vtipný" bug na Fedoře, kdy v okně Totemu namísto videa občas problikla část několik minut staré obrazovky. Stávalo se mi to pravidelně cca rok na stroji s NVIDIA GPU, nicméně na AMD se mi to neděje, tak snad to již opravili.

[Haxík]

Neopravili, mám AMD a na Fedore když si kouknu hocijake video ve fullscreen tak mi problikne pri restartu/vypinani. Uz se mi to i vypomstilo kdyz jsem koukal na... ehm... to je jedno.

[AsciiWolf]

To vypadá na jiný (opačný) bug.

[Gréta]

Takže říkáš neklikat myškou na plochu kde je Totem když dopokoje nečekaně vtrhne mamka? Budu sito pamatovat

[pushkin]

Pamatuji jistý OS, který připojení USB tiskárny srazilo do kolen. Pravda, je to třiadvacet let, ale lidi se tím baví dodnes

[sid]

Este vacsia zabava bola ked ta ista firma prezentovala db server a pri prezentacii to klaklo. Vraj si to odniesol team ktory bol nasledne vyhodeny.

[biolog]

Linux je operační systém vynikající bezpečností a víceuživatelským přístupem, zejména ve srovnání s Windows. Tady vám to potvrdí každý. Ta bezpečnostní chyba je určitě způsobena tím, že si to uživatel špatně nastavil. Nebo že důvěřoval ve správnost výchozího nastavení. Odpusťte mi ten sarkazmus.

[já já já jenom já]

Každý ví, že bugy v Linuxu neexistují, to jsou featury. WONTFIX CLOSED LOCKED NOTABUG. A těch 1000 chyb na Githubu je očerňovací taktika Microsoftu.

[k3dAR]

kdyz si teda chtel naznacit, ze jsou na tom Windows v pohode, tak za par vterin na me vyzkocilo
Windows pri probuzeni ukazou na vterinu obsah nezamcene obrazovky nez se uzamkne
Windows obejiti lock screenu lokalni
Windows obejiti lock screenu pres RDP

[biolog]

První odkaz: nevíme proč se mu to děje, jenom že na tom počítači má Windows. Možná je to chyba ovladače grafické karty nebo něčeho, protože jiným lidem se to neděje. (V tom příspěvku nikdo další nehlasoval, že se jim to děje taky, nebo že by některá odpověď byla užitečná.) Kdybyste poslal aspoň novinový článek o tom, že se to děje mnoha lidem na čistém PC, nebo že jinak vyloučili cizí zavinění, ale takhle je to situace: "nevím jak to vzniklo, ale vidím Microsoft, takže za to může Microsoft".

Druhý odkaz: Zkonvertovali soubor pro Adobe Flash Player (tj .SWF) a z něj vytvořili screensawer, u kterého lze klikáním spustit libovolný nainstalovaný EXE. Gratuluji. To ukazuje akorát, že je možno napsat zranitelný screensawer -- možná že je dokonce těžké napsat bezpečný screensawer. Ale není to chyba Windows, protože žádný flashový screensawer se s Windows nedodává. V případě Cinnamonu se nebezpečný zamykací program v systému dodává. (A asi je ve výchozím stavu zapnutý?)

Třetí odkaz: uživatel se musí přihlásit přes Remote Desktop. Pak když vzdálený PC zamkne a zřejmě nechá RDP klienta běžet a k tomu klientovi přijde útočník, tak to zamčení může překonat. Dovedu si představit smysluplnou situaci, kdy to může vadit, tedy je to bezpečnostní chyba a MS by ji měl opravit, ale ty okolnosti jsou tak neobvyklé, že to většinu lidí nepostihne.

Shrnutí: jen třetí odkaz je bezpečnostní chyba a jen omezenou aplikovatelností, kvůli zvláštnosti v protokolu. Zato v Cinnamonu napsali tisíckrát profláknuté přetečení bufferu a věčný problém odemčení desktopu po pádu zamykacího programu, které se dá snadno vyřešit restartem programu, ale to stále není implementované. Oběma chybám se dalo předejít.

[k3dAR]

a ze tvuj sarkazmus pises o (GNU/)Linuxu kdyz chyba je v Cinnamonu, ti nevadi?

[AsciiWolf]

Jenže ostatní linuxové DE na tom bohužel nejsou o moc lépe, viz například diskuse výše. Windows jsou v mnoha ohledech z bezpečnostního hlediska katastrofa a pro Windows 10 to platí dvojnásob, ale zrovna lock screen mají skutečně vyřešen lépe.

[Jendа]

To je všechno staré, a jak píše biolog výše, tak příliš nesouvisející, ale před pár dny vyšlo tohle. Ale to že je někde jinde situace podobně špatná nebo třeba i horší opravdu tyhle chyby neomlouvá. Obzvláště když se to v minulosti stalo už tisíckrát: 1, 2, 3…

[Bherzet]

Nah, tohle je celkem slabý trolling. S Windows to tu nikdo nesrovnával a ani nerozporoval, že je to chyba softwaru a nikoliv uživatele. Tyhle argumenty byly populární mezi patnáctiletými dětmi tak před deseti lety. Když čtu podobnou zprávičku, srovnání s Windows je úplně to poslední, co mě napadne. Mě Windows prostě nezajímají.

[JWZ]

https://www.jwz.org/blog/2021/01/i-told-you-so-2021-edition/

[marbu]

+1 (odkaz vede na povzdech od autora XScreenSaveru)

[alium]

kdo si přečetl ten nahlášený bug, zjistil, že chyba nebyla v cinnamonu, ale byla v caribou (gnome). Caribou ale gnome přestalo používat -> proto je chyba jen v cinnamonu.

[koroptev]

kdo si precetl asi pate vyjadreni jwz k tomu, tak vi, ze chyba, je v mentalite vyvojaru, kteri nejsou dostatecne kompetentni, aby za okolnosti, kdy x server architektura je tak zastarala, jak je, konstruovat ten locker tak, aby failoval safe.. ten konkretni bug se vyresil, ale jakmile se narazi na dalsi podobny, bude to delat totez, spravne reseni je predpokladat, ze ten proces muze chcipnout

[Jindřich Makovička]

Vtipné je, že tohle bezpečnostní chybu způsobila oprava jiné bezpečnostní chyby v X.

[Pavel 'TIGER' Růžička]

Jestli ono to nebude tím, jakým stylem se dnes programuje. Nebo snad víte o moderním operačním systému, který není rozvrtán a dá se považovat za stabilní? A pojďme ještě dál a bavme se o koncovém uživateli na desktopu. V tomto kontextu linux na tom není zas tak zle. Ale připouštím, byly časy, kdy na tom byl i lépe.

[Josef Kufner]

Třeba KDE s tím počítá. Když locker chcípne, tak zůstane černá obrazovka a nápis, že se máš přepnout na textovou konzoli a použít loginctl k odemčení. A tu černou obrazovku dělá přímo správce session, takže pokud chcípne i ten, tak to uživatele odhlásí (session skončí spolu se správcem).

[Jendа]

Opravdu?

[Josef Kufner]

To ale není o tom, že by zámek chcípnul, on se regulérně ukončil a odemknul. Opravný patch jen přidává app.setQuitOnLastWindowClosed(false). Lepší řešení by bylo, kdyby odemykající proces musel explicitně prohlásit "odemkni" a nestačilo jen slušně skončit. Je to přesně ta chyba z frameworku, o kterých píše autor XScreenSaveru.

Pád zámku opravdu ošetřený je. Při upgradu, kdy běžel starý desktop a spustil se upgradnutý zámek, se mi to nedávno stalo. Dříve taková situace odhlašovala (pokud si pamatuju dobře), teď ukazuje hezkou hlášku. KDE je jeden z mála desktopů, kde to je udělané dobře.