home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1994 March / Internet Info CD-ROM (Walnut Creek) (March 1994).iso / security / doc / clippings / 920324-01 < prev    next >
Encoding:
Internet Message Format  |  1992-05-19  |  4.0 KB
  1. From: cons@mercury.cern.ch (Lionel Cons)
  2. Newsgroups: alt.security
  3. Subject: X Lack of Security
  4. Message-ID: <CONS.92Mar24173517@mercury.cern.ch>
  5. Date: 24 Mar 92 16:35:17 GMT
  6. Organization: CERN, European Research Center for Particle Physics
  7.  
  8. X is not secure, how can we live with it ?
  9.  
  10. Few days ago I've asked the following questions (in comp.windows.x):
  11.  
  12. > 1) How can I prevent a user from machine 'foo' to access the display
  13. > 'foo:0'? By accessing I mean run a program that will open a connection
  14. > to that display.
  15. > 
  16. > 2) How can I allow someone from machine 'bar' to access the display
  17. > 'foo:0' without allowing it for EVERYBODY from machine 'bar'? In other
  18. > words, is there a way to control display access without using xhost?
  19. > 
  20. > 3) How can I have the list of all the clients (even without window)
  21. > connected to my display? I'd like to have many informations like:
  22. > machine where the client run, user id of the remote process...
  23.  
  24. Here are some ideas:
  25.  
  26. There are two security mechanisms in X: xhost and xauth.
  27.  
  28. - xhost only allows a per machine control, this implies that:
  29.   * all users of machine A can run xhost to modify the access list for
  30.     display A:0 and do what they want, it is a big problem when the
  31.     machines use the Yellow Pages: all users can log into all machines...
  32.   * you can't allow a user from machine B to access display A:0 without
  33.     allowing ALL users from machine B to access A:0.
  34.   The man page says:
  35.       The xhost program is used to add and delete hosts to the list of
  36.       machines that are allowed to make connections to the X server.  This
  37.       provides a rudimentary form of privacy control and security.  It is
  38.       only sufficient for a workstation (single user) environment, although
  39.       it does limit the worst abuses.  Environments which require more
  40.       sophisticated measures should use the hooks in the protocol for
  41.       passing authentication data to the server.
  42.  
  43. - xauth allows a per user control, it is not in X11R3 distribution. This it
  44.   how it works (at least on my machine):
  45.   * you must start the server with the -auth option
  46.   * a 'magic cookie' is created
  47.   * to allow a user to access the display you must give him the cookie
  48.     with xauth.
  49.   The man page (for Xserver) says:
  50.       The sample server implements a simplistic authorization protocol,
  51.       MIT-MAGIC-COOKIE-1 which uses data private to authorized clients and
  52.       the server.  This is a rather trivial scheme; if the client passes
  53.       authorization data which is the same as the server has, it is allowed
  54.       access.  This scheme is worse than the host-based access control
  55.       mechanisms in environments with unsecure networks as it allows any
  56.       host to connect, given that it has discovered the private key.  But in
  57.       many environments, this level of security is better than the host-
  58.       based scheme as it allows access control per-user instead of per-host.
  59.  
  60. The 2 mechanisms can run together, if so the protection is minimum (i.e. the
  61. connection is accepted if one of the 2 mechanisms accept it).
  62.  
  63. Here are some answers:
  64.  
  65. 1) There is no way of preventing a user from machine A to access the display A:0.
  66.    The user can always use xhost (unless the owner and modes are not standard but
  67.    the user can use its own copy...).
  68.  
  69. 2) Use the xauth mechanism and hope that nobody will steal your cookies...
  70.  
  71. 3) If you want to list clients WITH windows use xlsclients.
  72.    If you want to list clients WITHOUT windows use netstat -a and look for
  73.    connection to the X server (for instance TCP on port 6000).
  74.  
  75. Conclusion: X is not secure, when you type something in a window you can be sure
  76. that someone can read it... Big Brother and Little Hacker are watching you...
  77.  
  78. Thanks to all who responded: Roland Zink, Dipankar Gupta and George D M Ross.
  79. --
  80.  
  81. Lionel Cons
  82.  
  83. +------- CERN - European Laboratory for Particle Physics -------+
  84. | E-mail: cons@dxcern.cern.ch                                   |
  85. | Earth-mail: CN/SW/WS, CERN, CH-1211 GENEVE 23, Switzerland    |
  86. | Phone: + 41 22 767 2370                                       |
  87. +---------------------------------------------------------------+
  88.  
  89.