X ウィンドウの認証

X Window Systemでは、プログラムはX クライアントとして実行され、コンピュータ ネットワークを介してXディスプレイ サーバーに接続します。ネットワークは他のユーザーからアクセス可能であるため、ログインしているユーザー以外のユーザーが実行するプログラムへのアクセスを禁止する方法が必要です。

クライアント アプリケーションが X ディスプレイ サーバーに接続できるかどうかを制御する標準的なアクセス制御メカニズムは 5 つあります。これらは次の 3 つのカテゴリに分類できます。

1. ホストに基づくアクセス
2. クッキーに基づくアクセス
3. ユーザーに基づくアクセス

さらに、他のすべてのネットワーク接続と同様に、トンネリングを使用することもできます。

ホストベースのアクセス方法は、X ディスプレイ サーバーへの接続が許可されているホストのセットを指定することです。このシステムは、そのようなホストにアクセスできるすべてのユーザーがディスプレイに接続できるため、セキュリティが劣っています。xhostプログラムと 3 つのX ウィンドウ システム コア プロトコル要求を使用して、このメカニズムをアクティブ化し、許可されたホストのリストを表示および変更します。を不適切に使用すると、xhostインターネット上のすべてのホストが X ディスプレイ サーバーに完全にアクセスできるようになる可能性があります。

クッキーベースの認証方法は、マジック クッキー(任意のデータ) を選択し、X ディスプレイ サーバーの起動時にそれを渡すことに基づいています。このクッキーを認識していることを証明できるすべてのクライアントは、サーバーへの接続を認証されます。

これらの Cookie は別のプログラムによって作成され、デフォルトではユーザーのホーム ディレクトリのファイルに保存されます.Xauthority。その結果、ローカル コンピューター上のクライアントによって実行されるすべてのプログラムはこのファイルにアクセスでき、サーバーによる認証に必要な Cookie にもアクセスできます。ユーザーがネットワーク上の別のコンピューターからプログラムを実行する場合は、Cookie をその別のコンピューターにコピーする必要があります。Cookie のコピー方法はシステムによって異なります。たとえば、Unix のようなプラットフォームでは、scp を使用して Cookie をコピーできます。

この方法を使用する 2 つのシステムは、MIT-MAGIC-COOKIE-1とですXDM-AUTHORIZATION-1。最初の方法では、クライアントは認証を要求されたときに、単に Cookie を送信します。2 番目の方法では、秘密キーも.Xauthorityファイルに保存されます。クライアントは、現在の時刻、トランスポート依存の識別子、および Cookie を連結して文字列を作成し、結果の文字列を暗号化して、サーバーに送信します。

xauthアプリケーションは、ファイルにアクセスするためのユーティリティです.Xauthority。環境変数XAUTHORITYを定義して、その Cookie ファイルの名前と場所を上書きすることができます。

X11 クライアント間の直接通信用に Inter-Client Exchange Library によって実装された Inter-Client Exchange (ICE) プロトコルは、同じ認証方法を使用しますが、独自のファイルにアクセスするためのMIT-MAGIC-COOKIE-1独自のiceauth.ICEauthorityユーティリティがあり、その場所は環境変数で上書きできますICEAUTHORITY。ICEは、たとえばDCOPや X セッション管理プロトコル (XSMP) によって使用されます。

ユーザーベースのアクセス方法は、特定のユーザーにサーバーへの接続を許可することで機能します。クライアントがサーバーへの接続を確立する場合、許可されたユーザーによって制御されていることを証明する必要があります。

ネットワーク ID 管理システムを使用してユーザーを認証する方法には、SUN-DES-1と の2 つがあります。最初のシステムは、SunOSで開発されたONC リモート プロシージャ コールMIT-KERBEROS-5システムの安全なメカニズムに基づいています。2 番目のメカニズムは、クライアントとサーバーの両方がKerberosサーバーを信頼することに基づいています。

3番目の方法はローカル接続に限定されており、システムコールを使用してカーネルにローカルソケットの反対側にいるユーザーが誰であるかを問い合わせます。この方法では、プログラムを使用してエントリを追加またはxhost削除できます。^[1]localuserlocalgroup

SSHユーティリティ (オプションまたは オプションで呼び出された場合) は、リモートで呼び出されたクライアントからの X11 トラフィックをローカル サーバーにトンネルします。これは、リモート サイトで環境変数を設定して、sshd によって開かれたローカル TCP ソケットを指すようにすることで行われます。これにより、X11 通信が ssh にトンネルされます。次に、sshd は xauth を呼び出して、リモート サイトで MIT-MAGIC-COOKIE-1 文字列を追加します。これにより、X11 クライアントが ssh ユーザーのローカル X サーバーにアクセスできるようになります。 -XForwardX11DISPLAY.Xauthority

ネットワーク経由のクライアントとサーバー間の X11 接続は、Kerberos / GSSAPIやTLSなどの他のセキュア チャネル プロトコルを使用して保護することもできますが、現在ではこのようなオプションは SSH に比べてほとんど使用されていません。

• X セキュリティ マニュアル ページ (Xsecurity 7)