Ubuntu 14.04 a nefunkční zamykání obrazovky

OMG! Ubuntu! informuje o závažných bezpečnostních chybách v Ubuntu 14.04 LTS. Uzamčenou obrazovku bylo / je možné bez znalosti hesla hned několika způsoby snadno překonat. Například klikáním pravým tlačítkem myši na indikátory na panelu, dokud nefunguje klávesová zkratka Alt+F2 a následným spuštěním příkazu "compiz --replace". Ukázka na YouTube. Bezpečnostní aktualizace jsou k dispozici.

5.5.2014 23:10 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[little.owl]

Tak s timhle nekompetentnim pristupem k tvorbe SW mohou byt nove Unity + Mir take pekny masakr.

[Tomáš]

Mám dojem, že tenhle problém se vyskytoval jen v RC verzích. Do releasu se chyba opravila.

[PetrHL]

Ano, presne tak. Do releasu to opravili.

[pavlix]

Pak je otázka, zda to vůbec stojí za zprávičku.

[ferda]

Ladislav H[Aha!]gara je holt buvlární mrd*ka, s tím nic neuděláme

[Milan Uhrák]

Pana Hagaru znám osobně, a narozdíl od tebe ti nenapíšu, co jsi u mne ty ..

[Ladislav Hagara]

Ach jo. Těch chyb bylo několik. Ubuntu 14.04 vyšlo 17.4. Těsně před vydáním byla opravena chyba #1308572, kdy pro překonání uzamčené obrazovky stačilo déle podržet Enter. Chyba #1313885, kterou jsem ve zprávičce zmínil byla nahlášena 28.4. Oprava je zmíněna v bezpečnostním upozornění USN-2184-1, jež vyšlo 29.4. Ve stejném oznámení je zmíněna oprava chyby #1308850. Pokud byl spuštěn Dash a obrazovka se po čase automaticky uzamkla, stačilo pohnout myší a Dash se objevil. V bezpečnostním upozornění USN-2184-2, jež vyšlo 30.4. je řešena oprava chyby #1314247. Po klikání pravým tlačítkem myši na indikátory na panelu na uzamčené obrazovce fungovala klávesová zkratka CTRL+ALT+T, což je spuštění terminálu. Do releasu to tedy opravdu neopravili.

[r4in]

A prý LTS. Hm...

[Šangala]

He?

[PetrHL]

Tak to je jiná. Já myslel, že se zprávička týká té chyby, kterou už opravili. Pokud si dobře pamatuju, na OMG Ubuntu o ní byla zmínka taky. To mne právě zmátlo.

[r4in]

Fakt?

"The ‘lock screen bypass‘ issue, for which a fix has now been released, was reported on Launchpad earlier this week."

[Ivan]

Oni Xka na tom nejsou o moc lip. Kdysi stacilo k odemceni obrazovky cekat tak dlouho dokud xscreensaver nespustil OpenGL animaci. Ta samozrejme SEGFAULTovala (protoze podpora byla mizerna) a pocitac byl odemceny, zadny dalsi screensaver se nespustil. Dneska kdyz probudim notebook tak se mi objevi na obrazovce gnome-terminal, ja do nej natukam par pismen a teprve pak se probudi gdm a "zamkne" mi obrazovku.

[xkucf03]

Tak to je dost blbě napsané – já když uspávám počítač s KDE, tak se nejdřív zamkne obrazovka (vidím dialog pro zadání hesla) a až pak se uspí – při probouzení je obrazovka zamčená hned od začátku.

[Rezza]

No a zrovna tohle jsme meli dlouhou dobu ve Fedore rozbite - trosku se to hadalo se systemd a byl tam uplne stejny bug. Notas se uspal pred tim, nez se obrazovka pustila a ta se pustila az po probuzeni. Dalsi security bug v KDE byl napriklad ten, ze se da vybrat z uzamknute obrazovky vlastni pozadi a v dialogu souborovem slo krasne prochazet cely FS a trebas nekomu vybrat krasne pornicko :).

[mankind_boost]

wtf? co ma co systemd kecat do zamykani obrazovky? co je to za balast?

[Roslav]

IMHO Systemd by mal informovat wm, ze sa ide hybernovat, nie aby sa po prebudeni wm spamatalo, ze ved zdlho nic pouzivatel nerobil, ze sama zamknut.

[pavlix]

V tomto případě se jednalo o uspávání, ale ono může mít smysl i kecat do zamykání počítače, vzhledem k tomu, že je to bezpečnostní funkcionalita týkající se všeho software, který komunikuje s uživatelem. Nehledě na to, že systemd už tradičně kecá do všeho :D.

[Rezza]

Systemd keca do uspavani, KDE na to nestihly tak rychle zareagovat. System se tedy uspal driv, nez se pustil lockscreen. Po probuzeni vse pokracuje - takze se objevi nezamkly desktop. S tim, ze po probuzeni jeste trosku system premysli obvykle, tak nez se zamkne, tak to chvilku trvalo... Na precteni mailu, pokud byl zobrazeny to stacilo :).

[little.owl]

Keca do power managementu, tedy i uspavani, to spise vypada na chybnou integraci KDE.

[Rezza]

Blbe se to bavilo, byl tam i double suspend problem. Lennart jeste pridaval nakonec nejake signaly do systemd, Lukas to taky nejak otentoval v PowerDevilu.

[Marián Kyral]

Na Gentoo s KDE a openRC naprosto bez problémů. Strčte si ten systemd někam.

[Rezza]

Protoze si to tam delaji prostredi sama - a pak si clovek zaklapne notas s KDM a ten se mu usmazi v tasce :).

[Marián Kyral]

No co jsem před časem četl, tak v KDE 5 už KDM nebude. To pak bude smažit někdo jiný Bohužel to znamená, že v KDM už žádně novinky nebudou a bugy už taky asi nikdo řešit nebude (leda ty ultra kritické).

[Rezza]

KDM je mrtve uz minimalne nekolik roku.

[xkucf03]

Jak se dá vyvolat ten dialog? Vidím tam jen políčko pro heslo a dvě tlačítka…

[Rezza]

Neni to v defaultu - System Settings > Display Configuration > Screen Locker > Screen Locker Type: Desktop Widgets. A pak jen prave tlacitko > Settings > Open. A dokonce to tam porad vidim, myslel jsem, ze to Lukas tenkrat vyresil... Porad muzu se zamknutou obrazovkou zobrazit vsechny obrazky, co mam v home...

[xkucf03]

hmm, to tedy nic moc :-/

Tohle by se nejlíp vyřešilo buď odstraněním této funkce, nebo (pracněji) tak, že ta zamčená plocha poběží pod jiným uživatelem – třeba by mohla zobrazovat hodiny¹ nebo promítat i fotky, ale z nějaké veřejné složky. Nebo co ten proces vykreslující zamčenou plochu omezit AppArmorem, aby nemohl vůbec nic?

_{[1] což je celkem praktická věc – nemusím odemykat, abych se podíval, kolik je hodin}

[Sten]

Hodiny zobrazuje spořič obrazovky „Hodiny“. Widgety na spořiči IMO nejdou řešit skutečně bezpečně.

[Jendа]

Ne. Ve skutečnosti chceš do X serveru implementovat funkci „locked“. Tohle totiž furt nezabrání prostému pádu screenlockeru. Může ho zabít AppArmor, OOM Killer, …

[xkucf03]

jj, to jsem tu psal o kousek níž, že o zamčení by se měla starat Xka a ne uživatelova aplikace. Ale tohle je trochu jiný problém – i když aplikace (spořič, plocha s widgety) nespadne a nic neodemkne, může se stát, že ji náhodný kolemjdoucí přiměje (klikáním, klávesovými zkratkami atd.) k tomu, aby dělala něco, co původní uživatel zamykající obrazovku nechtěl (třeba zobrazit ten souborový dialog a umožnit procházet jeho soubory).

Takže zamknout obrazovku by měl X server. Ale ta aplikace vykreslující spořič nebo něco jiného, by tak jako tak měla být jednak co nejjednodušší a dělat toho co nejméně a jednak by měla mít co nejméně práv (běžet pod jiným uživatelem, být omezená AppArmorem atd.).

[Prcek]

A není lepší se odhlásit místo zamykání obrazovky? Když je tak problematický zabezpečit všechny možný scénáře napadení té zamčené obrazovky...

Já třeba zamykání nikdy nepoužil, možná ve škole. Ale tam se nesmělo zamykat na příliš dlouho, aby člověk neblokoval počítač. Doma mi kolem počítače nikdo cizí nechodí a jinde počítač bez dozoru nenechávám.

Kdy vlastně člověk využije tuhle funkci? Nějak mě teď nenapadají žádné vhodné případy.

[pavlix]

A není lepší se odhlásit místo zamykání obrazovky?

To je skutečně skvělé řešení... :D.

Já třeba zamykání nikdy nepoužil, možná ve škole. Ale tam se nesmělo zamykat na příliš dlouho, aby člověk neblokoval počítač. Doma mi kolem počítače nikdo cizí nechodí a jinde počítač bez dozoru nenechávám.

Někteří lidé chodí do práce. A mnozí zaměstnavatelé zamykání počítače vyžadují. A co jsem slyšel, v některých firmách se lidé natolik nudí, že nezamčený počítač znamená velkou šanci na neautorizovanou změnu ze strany kolegů. V případě notebooku je alternativou brát si počítač s sebou i když si jdeš jenom pro kafe ;), v případě workstation by skutečně bylo nutné se odhlásit a tím si zavřít rozdělanou práci.

[Prcek]

Jo pravda, v práci, to mě nenapadlo .

[xkucf03]

Jak píše Pavlix – v práci je to jasná věc. Já zamykám i doma nebo ve škole. A taky když chci čistit klávesnici

[Šangala]

A když se stane, že při čistění klávesnice se obrazovka odemkne, tak hned změnit heslo! - bo stálo za prd

[Jendа]

A taky když chci čistit klávesnici

Takže asi nemáš pam_jenda, který po zadání špatného hesla dělá binec, že?

[xkucf03]

Ne. Co to dělá?

[Jendа]

Smaže klíč k disku, spustí kameru, uploadne fotku na IRC a přehraje videokazetu z The Ring.

[Jendа]

A není lepší se odhlásit místo zamykání obrazovky?

To mi vypne všechnu rozdělanou práci, ne?

Kdy vlastně člověk využije tuhle funkci? Nějak mě teď nenapadají žádné vhodné případy.

• Ve škole, protože spolužákům věřím, že mi neukradnou hardware, ale třeba za mě budou psát sračky na IRC.
• V místním hackerspace :), kde je jak riziko psaní sraček na IRC, tak instalace backdoorů.
• Doma, když otevírám dveře, protože tam může stát URNA.

[Jendа]

(jo a samozřejmě vždycky automaticky když uspávám)

[Prcek]

S tou rozdělanou prací... Nikdy jsem to pořádně nezkoumal, ale do session se ukládaj programy spuštěný při ukončování (alespoň teda v KDE). Nevím, jestli se v těch programech otevřou i ty dokumenty, který jsi měl otevřený při odhlašování. A taky je otázka, jestli by se automaticky uložily změny v těch dokumentech, nebo by jen vyskočily dialogy pro uložení. No dalo by se to vyzkoušet, ale to zamykání je asi lepší .

[xkucf03]

Takovou Konsoli s editorem nebo navázaným SSH spojením ti to stejně neobnoví.

[Erbureth]

Ano, jde to měnit, ale ze zamknuté obrazovky jedině po zadání hesla (min. v Debianu)

[JanM]

To já když zamknu KDE (Arch linux), párkrát se přihlásí/odhlásí jiný uživatel do jiného sezení a moje lock-screen se stane nedobytnou pevností: heslo napsat můžu, ale to je tak všechno (ta dvě tlačítka jsou nějak záhadně nad sebou místo vedle sebe a na klikání nereagují, enter nic nedělá, tab nic nedělá).

A pak přijde staré známé vytažení ze zásuvky, protože bez roota s tím nejde nic udělat.

[Rada]

Tohle se dá vyřešit přihlášením na textovou konzoli a sestřelením screenlockeru - ten běží alespoň v Kubuntu podle všeho pod uživatelem, který obrazovku zamknul.

[xkucf03]

Což je právě ta chyba. Pod přihlášeným uživatelem by měl běžet leda spořič obrazovky, jakýsi generátor obrazu, který může klidně vypadnout a nebude to mít vliv na zamčení obrazovky – to by se mělo řešit na jiné úrovni, v X serveru, kde by se uchovával stav zamčeno/odemčeno.

[R]

Zaujimave, ze v Trinity to takto odomknut nejde - ked nieco zabije kdesktop_lock, cele prostredie sa ukonci.

[Rada]

Tím zabitím screenlockeru se relace neodemkne - screenlocker naskočí ihned znova - ale už nebude zaseklý.

[little.owl]

Tak takhle derava X-ka nejsou. Wayland by na tom mel byt, alespon z hlediska designu, podstatne lepe, nedavno vyslo lehke review.

[Jendа]

2014-04-26 14:41:25 < Jenda`> Myslím, že tohle není chyba Ubuntu, ale jedna z architekturních nedomyšleností, kterých je Linux plný. V tomto případě, že stav „locked“ se dělá tak, že je unlocked desktop a nad ním okno, které si uzurpuje klávesnici a myš. A okna prostě crashují, i kdy by to měl být hardwarový problém. Něco takového se prostě v rozumně navrženém systému nemůže stát, i kdyby byl screenlocker jakkoli zprasený - tam se maximálně stane, že *neodemkneš*, nikoli toho.

2014-04-26 14:41:37 < Jenda`> ...Něco takového se prostě v rozumně navrženém systému nemůže stát, i kdyby byl screenlocker jakkoli zprasený - tam se maximálně stane, že *neodemkneš*, nikoli toho.

[Rezza]

New Screen Locker.

Some might have already read about it: we are currently working on a new screen locker. The old implementation is mostly a hack around X. There is the lock window which tries really hard to be the top most window. Obviously this does not often work, especially as the whole framework is way older than Compositing.

Too often I have come back to my system or resumed from suspend and seeing my windows shine through. Or seeing some notifications on top of the screen locker. We decided to change that and solve it once and for all in a proper way by putting security first and moving the screen locker into the Compositor.

The Compositor controls the rendering, so it can ensure that nothing gets above the screen locker. When we have the compositor being responsible for the screen locking we also get nice fading from and back to the desktop for free.

Co se stane, kdyz se neco stane s kompozitorem, to uz fakt nevim :D.

[Rezza]

A Martin na to Ubuntu rovnou reagoval na blogu.

[linuxero]

Stará správa, dsl.sk s tým prišiel skôr. Čo dodať? Asi len toľko, ako v predchádzajúcej diskusií - "Za dva roky aktívneho vývoja urobiť doslova hovno, sa podobá už len na Canonical a ďalej nekomentujem!"

Škoda tých starých dobrých časov, kedy bolo ubuntu naozaj linuxovou distribúciou.

[little.owl]

Mistri nedodelku, z nichz se vetsina zahodi. Jsem zvedav jaky pohrbeny hura-projekt bude dalsi. Lide z Brna mohou mit obcas pocit ze se to lepi jedno pres druhe, ale oproti Canonicalu jsou velmi produktivni.

[Rezza]

Zrovna vcera jsme si v Brne v hospode rikali, co vsechno delaji dobre :). Proste mensi agilni firma proti soon-to-be-korporaci. Ale nastesti porad delaji dobre krpy :D.

[little.owl]

Proste mensi agilni firma proti soon-to-be-korporaci.

Zlaty oci, tedy pokud mluvime o londynskem office; glorious leader ma vzdy pravdu.

[Rezza]

Jako kdyz Mark neco rekne, tak se to stane. Kdyz se u nas neco rekne, tak... On to vlastne nikdo ani nerekne :D.

[little.owl]

Osviceny diktator je fajn, pokud nema sociopaticke sklony.

[r4in]

Ubuntu 14.04 LTS: Lightly Tested Software.

[petercheco]

Čím to je, že nejsem překvapený? Ať žije Slackware :D

[joshua]

ak to nieje zneuzitelne po sieti tak ma to velmi netrapi. predsa len kto ma fyzicky pristup k zelezu je root bez ohladu na to ci tam je lock screen alebo nie. vzdy som povazoval lock screen len za nieco co sposobi taky ten efekt hmm zamknute tak mu tam nezmenim pozadie...

[R]

Zamknutie obrazovky sluzi na to, aby som pri odchode od PC mohol bezpecne nechat spustene programy - napriklad terminaly s prihlasenym rootom na vzdialenych serveroch alebo obycajny "blby" mail klient.

[Šangala]

Nevím, ale na W7 se mi několikrát stalo, že pokud zamknu obrazovku a ve správném čase se trošičku pohne ještě myší, tak obrazovka je furt zhasnutá jakoby zamknutá, ale když se pohne potom myší znovu víc si tam i bez hesla a v tomto režimu nezafunguje už ani automatické zamykání - dlouho mi to trvalo než jsem to vysledoval a podařilo se nám to nasimulovat už i na druhém PC.

Taky to nefunguje korektně - zamykaní je jen taková pomůcka v prostředí kde by bylo divné, kdyby si tam sedl někdo jiný a rozhodně na citlivá data, jako otevřené spojení na servery apod. to rozhodně není ochranný prvek…

[Bedňa]

Keby len na sedmičkách, to korektne nefungovalo asi nikdy.

[R]

Pripomina mi to "bezpecnost" Windows. Lenze aj tie su uz na tom par rokov lepsie...asi preto, ze ich niekto aj testuje.

[Rezza]

Tak taky maji podobne problemy - viz xbox.

[R]

To je ale Xbox a tam bezpecnost nikoho nezaujima.