From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: X-Spam-Checker-Version: SpamAssassin 3.4.1 (2015-04-28) on sa.local.altlinux.org X-Spam-Level: X-Spam-Status: No, score=-2.0 required=5.0 tests=BAYES_00,DKIM_SIGNED, DKIM_VALID,DKIM_VALID_AU,FREEMAIL_FROM autolearn=ham autolearn_force=no version=3.4.1 DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=ya.ru; s=mail; t=1530797788; bh=iy95i0linoVBiUCCVcLq1BqnmPJy/ZvydYFH1nhlpio=; h=Subject:To:References:From:Message-ID:Date:In-Reply-To; b=NJLNESC7jU1VtFhZVDzZxrauV/H5ngFpCZaPlJTGadido0D798qFf/7qkM+3ESHFI LkysAhb/qCoGArbk7KYPgjmWYd7T9nXgfC4GzbaIel1poYe4nbZXNly/8kLuvRzbpu qztheT8ezN7lj1b7xIN5FYzfo/0ZFFy0Dk1E1k98= DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=ya.ru; s=mail; t=1530797787; bh=iy95i0linoVBiUCCVcLq1BqnmPJy/ZvydYFH1nhlpio=; h=Subject:To:References:From:Message-ID:Date:In-Reply-To; b=iRrz5Ap1GDEsrTk4/BJ0B2ITJaZE6EGqZG6QjUj17YkzNIS8o/W2TSh/eJDBkK3UP v2nq4KaqxZuwy80bSqdwQjuZ9NZjCGRpNQHdgmVuDlEO+rPjKzXu4VsOM5NUM2483N 6C3YVqkXYpViy09MAUX1zZGV5iZYWVMCbaYemMrw= Authentication-Results: smtp4p.mail.yandex.net; dkim=pass header.i=@ya.ru To: devel@lists.altlinux.org References: <1347be9c-8317-c003-13f0-0d80c1a0a516@ya.ru> <20180705113104.GA3046@altlinux.org> From: =?UTF-8?B?0JDQvdGC0L7QvSDQnNC40LTRjtC60L7Qsg==?= Message-ID: <387180ce-4b3f-4e56-8969-1cbb723c41b1@ya.ru> Date: Thu, 5 Jul 2018 20:36:26 +0700 User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:52.0) Gecko/20100101 Thunderbird/52.8.0 MIME-Version: 1.0 In-Reply-To: <20180705113104.GA3046@altlinux.org> Content-Type: text/plain; charset=koi8-r; format=flowed Content-Transfer-Encoding: 8bit Content-Language: ru Subject: Re: [devel] =?utf-8?q?xdg-su_=D0=B8_wayland?= X-BeenThere: devel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux Team development discussions List-Id: ALT Linux Team development discussions List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Thu, 05 Jul 2018 13:36:31 -0000 Archived-At: List-Archive: List-Post: 05.07.2018 18:31, Alexey V. Vissarionov пишет: > On 2018-07-05 18:15:31 +0700, Антон Мидюков wrote: > > > > И можно ли считать  такое разрешение дырой в безопасности, > > учитывая, что пользователь сам себе может дать его? > > Сильно зависит от настроек Xwindow. Даже `xhost +` вполне может > считаться безопасным - в частности, при запуске `X -nolisten tcp` > и грамотно выставленных правах на сокет. > > В общем, я бы подумал как раз в эту сторону, причем глобально. А у нас как Xwindow настроен по-умолчанию? Безопасно? Я читал баг на эту тему в Редхате (давненько, потому ссылку не нашёл). Они аргументировали свою позицию желанием вообще запретить запускать приложения от root в wayland, заменить запуск от root повышением привилегий при помощи polkit. Т.е. по их мнению иксы сейчас небезопасны, а переход на wayland хороший повод пересадить всех на polkit, что сделает wayland безопасным по сравнению с иксами. Обход проблемы запуска приложений от root в wayland широко распространён и известен (гуглится на раз два): if [ $XDG_SESSION_TYPE = "wayland" ]; then     xhost +si:localuser:root fi Мне так и не понятно, такое разрешение хоть какую-то угрозу безопасности представляет? При каких условиях это позволит злоумышленнику (вредоносному приложению) получить несанкционированный доступ (повысить привилегии)? Как я писал в первом письме, приложения с правами root, но с переменными окружения пользователя, в wayland можно запустить через: su -c команда А потому я не вижу смысла не разрешать xhost +si:localuser:root по-умолчанию... -- С уважением, Антон Мидюков