X'teki başka bir program sanal bir terminale yazarken root şifremi alabilir mi?


24

Genellikle linux kutuma sadece açık kaynaklı programlar yüklüyorum çünkü kapalı kaynaklı uygulamalara güvenmiyorum. Geçenlerde bir üniversite projesi için Dropbox'ı kullanmak zorunda kaldım. Ben ayrı linux hesaba adında oluşturulan işi ve (run as çalışması ) yüklemesi olmadan dropbox'ınızı bir piton komut dosyası aracılığıyla. Bu komut dosyası ayrıca sistem tepsisinde, Dropbox'ın bazı işlevleri için bir GUI sağlayan bir sembol yarattı.

Geçen gün biraz bakım yapmak zorunda kaldım, bu yüzden sanal bir terminal açtım (KDE'de konsole) ve su için root şifremi girdim .

Dropbox uygulamasının kök şifremi yakalama olasılığı var mı?

Fedora 20'yi KDE 4.14.3 ile kullanıyorum.

Yanıtlar:


24

Kısa cevap: Evet.

"Eski günlerde", başka bir X uygulamasının onu alarak belirli bir girişi okumasını etkili bir şekilde önlemek mümkündü. Bu hala bu güne kadar yapılabilse de, XI2 protokolü spesifikasyonu bunun daha fazla yapılamayacağını gösteriyor gibi görünmektedir (2220 satırındaki Raw Olaylarının açıklamasına bakınız). Bu nedenle, yalnızca X altında, artık güvende değilsiniz - en azından normal basit kurulumlarda. Ayrıca altında tartışmaya bakınız Cevabıma için bir şifre bir servistir istemi izin Nasıl (Xsession'dan içinde, keyloggersafe)? ve burada belirtilen AskUbuntu Q&A. Söylemeye gerek yok, hiçbir terminal aslında bunu yapmıyor - bu yüzden OpenSSH veya GnuPG gibi uygulamalar kendi kullanıcı arayüzü yardımcılarıyla geliyor, bu da klavyeyi kapıyor (yukarıda belirtildiği gibi, bugünlerde pek yardımcı olmuyor).

Yine de bir uygulamayı farklı bir X sunucusu altında, örneğin Xephyrya Xnestda benzeri bir yuvalanmış X sunucusu ya da benzeri bir VNC altında çalıştırabilir Xvnc. Wayland protokolü ayrıca gizlice dinlenmeye karşı bir miktar koruma sağlamalıdır.

Yukarıdakilerin dışında, uygulama sisteminizde yamalı bir güvenlik açığından yararlanmaya ve böylece daha yüksek ayrıcalıklar kazanmaya çalışmış olabilir. Ya da daha kolay olanı yapın, sistemden önce yolunuza a suve sudosarmalayıcılar koymak ve böylece şifreleri ele geçirmek (yorum için teşekkürler @Joshua).


Örneğin, sudo'yu ~ / .evil / sudo'ya yönlendirmek ve pw'nizi almak gibi.
Joshua

X'e göre hiçbir zaman güvende değilsiniz - cihazı kapmak sadece girdi olaylarının oluşmasını önler xspy, o anda hangi tuşlara basıldığını belirlemek için sürekli olarak klavyeyi sorgulamak gibi bir programa karşı koruma sağlamaz .
alanc

@alanc kaynağa bir bağlantınız var mı?
Peterph

xspy için @peterph? Orijinal web sitesi kayboldu, ancak İnternet Arşivi web.archive.org/web/20090207115718/http://www.acm.vt.edu/…
alanc

Ne xnest ne de xephyr sizi koruyamaz ; Olaylar normal gibi kendi pencerelerine hava kabarcıkları.
goldilocks
Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.