home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1994 March / Internet Info CD-ROM (Walnut Creek) (March 1994).iso / security / doc / clippings / 920507-01 < prev    next >
Encoding:
Text File  |  1992-06-04  |  3.2 KB  |  91 lines
  1. Newsgroups: alt.security,alt.sources.patches,alt.sources
  2. From: nyh@leibniz.WPI.EDU (Nevo Y Hed)
  3. Subject: Xterm security patch ...
  4. Message-ID: <1992May7.070930.5399@wpi.WPI.EDU>
  5. Organization: Worcester Polytechnic Institute
  6. Date: Thu, 7 May 1992 07:09:30 GMT
  7.  
  8.  
  9.  
  10. [ I have posted this article about a week ago.  Due to problems with the
  11.   local news server it was detained so long that I belive it was purged
  12.   before it's delivery.  If I am wrong and this is a repost - pleas excuse
  13.   me.]
  14.  
  15.  
  16.     Many of us know that X11 and security don't go together very
  17. well.  However, with a standard MIT X11 distribution or with the DEC X
  18. stuff, it is very easy for one to write a spying program (which I did)
  19. that can read every keypress someone else makes.  Later, I was told
  20. that similar code appeared at one point on some hack newsgroup and a
  21. friend also wrote a similar program and plans to post it a week or so
  22. after I post this.
  23.  
  24.  
  25.      Now down to business; The sensitive information one could get
  26. with such a spying program would be passwords. So xterm and dxterm
  27. have a menu option to protect the keyboard (using XGrabKeyboard(),
  28. only one application can use XGrabKeyborad at the same time).
  29. However, it is a real pain to activate this feature, and most people
  30. don't even know it's a problem.  That's why I came up with this
  31. patch to xterm (it only modifies the Xterm sources slightly).
  32.  
  33.  
  34.     When the string "Password:" arrives at the screen (currently
  35. ignoring case) the (already existing) xterm's secure keyboard feature
  36. is enabled until the next linefeed.
  37.  
  38.     This feature can be disabled via menu and/or X resources as
  39. well as the password promprt, see manpage.
  40.  
  41.      This technique will work for most applications that require a
  42. password.  Of course it isn't foolproof, and some versions of ftp will
  43. prompt for a password with a non-standard string, which bypasses this
  44. check.  There is a poossible workaround for this though, and you can
  45. check the manpage in the archive.
  46.  
  47.  
  48.      Anyway, this has been running on our CS lab machines for a
  49. while with no complaints. The main benefit is that sxterm raises user
  50. awareness.
  51.  
  52.  
  53.     You can ftp the archive, sxterm.tar.Z [all sources for the
  54. patched xterm] via anon-ftp on homeboy.wpi.edu /pub/sxterm.tar.Z and
  55. possibly from some other wpi machines such as [coyote|fledgling|
  56. hilbert|newton].wpi.edu at /contrib/sxterm.tar.Z.
  57.  
  58.  
  59.  
  60.     Only minor changes were made to the original Xterm source, so
  61. I would recommend that you replace the original with this "fixed"
  62. version.  Be sure to read README.PATCH and the manpage under "PATCH
  63. NOTES".
  64.  
  65.  
  66.     Feel free to post the diffs (I sorta lost my origs) and feel
  67. free to modify the method in which the password prompt is detected -
  68. but be aware that you cannot detect the echo disabling of the
  69. application running in xterm.  The current method may seem
  70. inefficient, but no apparent slowdown can be detected by the user.
  71.  
  72.  
  73.  
  74. P.S. In case you don't think this is a problem, one our sysadmins had
  75. his password grabbed on the first try with absolutely no traces nor
  76. indication that it had happened.  This is a real problem.
  77.  
  78.  
  79. P.S #2 if you have your home-brew X login screen make sure you
  80. XGrabServer()...
  81. --
  82. +-----------------+
  83. | Nevo Y Hed      |
  84. | Internet:       |
  85. | nyh@wpi.wpi.edu |
  86. |                 |
  87. |++1 (508)754-2491|
  88. +-----------------+
  89.  
  90.  
  91.