Одновременный запуск графических программ из-под разных пользователей
Мотивация:
Методы:
Метод | Примеры программ | Возможные уязвимости |
---|---|---|
1. Использование одного и того же X-сервера разными пользователями | ssh -X, xhost, gksu | Поскольку X-сервер общий, программы, запущенные из-под одного пользователя, могут пользоваться штатными возможностями X-сервера для доступа к чужим окнам. В частности, любая программа, запущенная под одним пользователем, имеет полный доступ ко всем открытым окнам другого пользователя. Это позволяет ей делать снимки чужих окон и всего экрана, считывать нажатия всех клавиш под чужим пользователем (через xev), а также иметь с ним общий буфер обмена для копирования и вставки текста. |
2. Запуск нового X-сервера в уже запущенном X-сервере | Xnest, Xephyr | Родительский X-сервер имеет полный доступ к дочернему, потому штатным способом может делать всё то, что описано в уязвимостях метода 1 (снимки чужого экрана, считывание нажатых клавиш), за исключением того, что буфер теперь раздельный. При этом, однако, дочерний X-сервер не имеет никакого доступа к родительскому. |
3. Независимый запуск разных X-серверов для разных пользователей | xdm, gdm, kdm, вручную | Отсутствуют штатные возможности обхода настроек, указанные для методов 1 и 2. Единственный способ обойти настройки — использование серьёзной уязвимости в самом X-сервере или в операционной системе (local root). |
Один X-сервер для разных пользователей
Для запуска графических программ в X-сервере Xorg имеется скрипт sux, который работает только из графического терминала (т.е. запущенного в иксах).
Использование gksu
Для запуска программ из графической оболочки также можно использовать gksu: к примеру, создать пункт меню, горячую клавишу или значок, выполняющие следующую комманду для нужного приложения (в данном случае рассмотрен случай браузера iceweasel):
export TZ=UTC; gksu -w -u tornet_user '(cd ~ ; /usr/bin/iceweasel)'
Не забывайте, что использование gksu потенциально опасно: уязвимая программа может получить доступ к X-серверу (см. таблицу выше). У программы gksu также имеются некоторые аналоги.
Использование SSH
Запуск графических программ под другим пользователем (AnotherUser), так же возможен через ssh:
$ ssh -X AnotherUser@localhost $ /usr/bin/iceweasel
XAuthLocation /usr/bin/xauth X11Forwarding yes
# /etc/init.d/ssh reload
# /etc/rc.d/sshd reload
Новый X-сервер в уже запущенном
Использование Xnest
Создайте скрипт
#!/bin/sh Xnest -ac :25 -geometry 1024x768 & ВашОконныйМенеджер -display :25 &
$ chmod +x ИмяСкрипта
$ ./ИмяСкрипта
Независимый запуск разных X-серверов
По сравнению с вышерассмотренными случаями независимый запуск нескольких копий X-серверов (каждый — для своего пользователя) является более надёжным и безопасным. Однако:
- Закрытые видеодрайвера могут в некоторых случаях не поддерживать этот режим
- При параллельном запуске X-серверов также возникает вопрос их безопасности: на каждом из одновременно работающих X-серверов будет запущен свой скринсейвер, блокирующий экран, но при этом имеется трудность блокирования всех открытых сессий одновременно.
Запуск вручную
Без использования мультиплексоров
Самый простой, но неудобный при систематическом использовании способ, состоит в следующем. Запустите из-под одной консоли
# startx ; logout
# startx -- :1 ; logout
# startx -- :1 ; logout
C использованием мультиплексоров
Минус метода без использования мультиплексоров в том, что консоли остаются занятыми. Чтобы этого избежать, рекомендуется воспользоваться мультиплексором консолей tmux или его аналогом screen: выполните
$ screen -S myname $ startx -- :1 Нажмите Ctrl+a d [т.е. нажмите «Ctrl+a», отпустите, а потом нажмите «d»] $ exit
$ startx -- :2
Консоль в этом методе остаётся разлогиненой, а всё, что в иксах, — пишется в терминал в screen (или в tmux, если вы пользуетесь им). При желании просмотреть логи иксов screen может быть «прикреплён» к терминалу командой
$ screen -rd myname
Для переключения между X-серверами и текстовыми консолями пользуйтесь клавишами «Ctrl + Alt + F1», «Ctrl + Alt + F2», «Ctrl + Alt + F7», «Ctrl + Alt + F8» и т.д. В Ubuntu дисплеи на F1-F6 по умолчанию заняты текстовыми консолями, а F7 и более высокие номера (если имеются) — иксами.
Запуск с использованием менеджеров дисплеев
Использование менеджеров входа в систему (xdm, gdm, kdm и других) является самым удобным и безопасным методом из здесь перечисляемых. Учтите, что параллельный запуск X-серверов требует дополнительных ресурсов, и потому для него предпочтительны легковесные графические оболочки — оконные меджеры, являющиеся разумной альтернативой интегрированным графическим средам (gnome, kde, xfce).
Использование GDM
Для запуска GDM одновременно на нескольких дисплеях (консолях) отредактируйте его конфигурационный файл так, чтобы там были строки, содержащие информацию о новых дисплеях (vt8-vt12):
[servers] 5=Standard vt12 4=Standard vt11 3=Standard vt10 2=Standard vt9 1=Standard vt8 0=Standard vt7
Использование KDM
Для запуска KDM одновременно на нескольких дисплеях (консолях) отредактируйте его конфигурационный файл /etc/kde4/kdm/kdmrc так, чтобы там были строки, содержащие информацию о новых дисплеях (vt8-vt9):
[X-:0-Core] ServerVT=7 [X-:1-Core] ServerVT=8 [X-:2-Core] ServerVT=9
Использование XDM
Чтобы запустить XDM на двух консолях одновременно (диспели 0 и 1), нужно отредактировать файл xdm-config так, чтобы он содержал строки
DisplayManager._0.setup: /path/to/xdm/Xsetup_0 DisplayManager._0.startup: /path/to/xdm/GiveConsole DisplayManager._0.reset: /path/to/xdm/TakeConsole DisplayManager._1.setup: /path/to/xdm/Xsetup_0 DisplayManager._1.startup: /path/to/xdm/GiveConsole DisplayManager._1.reset: /path/to/xdm/TakeConsole
:0 local /path/to/X :0 vt07 :1 local /path/to/X :1 vt08
$ whereis X
Если в вышеприведённой строке с «DisplayManager._1.setup» заменить Xsetup_0 на новый файл Xsetup_1, то, внося разные настройки в конфигурационные файлы Xsetup_0 и Xsetup_1, можно добиться разного внешнего вида для нулевого и первого дисплеев. Внешний вид настраивается в файле Xresources, находящемся в той же директории. Он позволяет менять цвета, шрифты, фоновое изображение, список запущенных по умолчанию программ (например, часы) и т.д. Например, если в Xsetup_0 (или в Xsetup_1) прописать строки
/path/to/xpmroot картинка-в-формате-xpm.xpm /path/to/xsetroot -cursor_name arrow &
unknown, xdm запускается достаточно штатно. Вместо костылей с logout стоило бы советовать более универсальный и надёжный вариант: detach в мультиплексерах терминалов tmux и screen.
комментариев: 9796 документов: 488 редакций: 5664
добавленоставлен для совместимости с историческими настройками для тех, кому сильно нужно.Раньше у меня SELinux не работал с иксами при старте иксов не из консоли, а теперь наоборот, не даёт их из консоли запускать. Это всё обходиться индивидуальным отключением или тонкими настройками иксового SELinux модуля, но это просто как пример причины для выбора, которая здесь не рассматривается.
Ведь у xev(1) есть параметр -display, в котором можно задать нужный икс-сервер и читать все события из его окон. Не?
комментариев: 9796 документов: 488 редакций: 5664
Есть разные ситуации. Приложение запущенное под другим пользователем, но изначально под этими же иксами (или даже другие иксы из под этих со сменой пользователя) или разные X-сессии, запущенные с разных консолей под разными пользователями.
В последнем случае дефолтный механизм аутентификации в иксах не должен быть нарушен (если какими-то настройками не сделали иначе, например дали доступ всем пользователям с локалхоста или вообще расшарили по сети). Иначе это баг в них, а не штатная фича.
комментариев: 1515 документов: 44 редакций: 5786
Гости из соседних тредов, которые всё знают лучше меня и освоили матчасть, любезно приглашаются показать своё знание по делу. Если у кого есть готовый краткий мануал-схема с VNC и Xephyr, кладите в комментарии, и я добавлю его в текст.
Если замечаний нет, предлагаю перенести топик из черновиков в основное логово документов сайта.
комментариев: 9796 документов: 488 редакций: 5664
Спасибо за структурирование документа.
Сейчас поправлю опечатку в заголовке
Это относится ко всем методам параллельных запусков иксов, не только {g,d,x}m, т.е. и вручную тоже. Наблюдал такое в офиц. драйверах NVidia, кто-то из пользователей тоже это отмечал. Проблема со скринсейверами также должна относиться к абзацу обо всех методах запуска параллельных иксов.
Эти методы я потихоньку согласую с SELinux, поэтому выбираю зачастую не лучшие решения, а те, которые с ним меньше глючат и имеют готовые и наиболее работоспособные SELinux-модули. Кое-что работает, но глючит всё равно сильно. Поэтому рекомендовать и обосновывать свои предпочтения пока не могу. Всё это делается не столько ради реальной безопасности, сколько на перспективу, что с каждой новой версией SELinux он таки работает лучше. Когда-то он вообще с иксами не работал.
Поскольку вы не связаны такими экспериментами, то ваши изыскания только в плюс.
Кстати, Xephyr образует некий контейнер-песочницу с SELinux, причём запущенные в нём программы могут на выбор не иметь доступ в сеть, иметь доступ и сохранять все изменения только в оперативной памяти (с мгновенным исчезновением изменений после завершения сеанса), работать с единственной директорией для сохранения скачанных файлов. Поскольку в стабильной версии Debian этой фичи нет и неизвестно как она будет работать в новой версии, ничего о практическом использовании сказать не могу, но на перспективу следует запомнить.
комментариев: 1515 документов: 44 редакций: 5786
Честно сказать, для меня это открытие — никогда с таким не сталкивался. Разве не ОС решает, что там и как с дисплеями? Если иксы глючат или не запускаются, то они везде так, а вот чтобы всё работало, но не давало запустить параллельные иксы, не встречал ни разу.
…
> Проблема со скринсейверами также должна относиться к абзацу обо всех методах запуска параллельных иксов.
Ну перенесите в более подходящее место тогда, а я подправлю текст потом, если что.
> Кое-что работает, но глючит всё равно сильно. Поэтому рекомендовать и обосновывать свои предпочтения пока не могу.
Думаю, то как сейчас написано, не критично к обоснованию. Типа, «есть более простой метод, делается на лету, но не такой безопасный; а есть сложный метод, более надёжный, но требующий и больших телодвижений».
Меня Xephyr/VNC стратегически больше волнуют из-за Xen. Там вопрос не только удобства, он там концептуальный: X-сервер есть только у dom0, поэтому все domU, чтобы работать с графикой, как-то должны использовать X-сервер, запущенный на dom0. В мануалах на этот счёт рекомендуют именно VNC.
P.S.: Если что, я сразу извиняюсь за разметку. Мне хотелось, чтобы оно выглядело так, как оно выглядит сейчас, но движок глючит, не хочет так делать, потому приходится его принуждать специальными методами. В итоге, wiki-сорс превращается в write only ;)
комментариев: 11558 документов: 1036 редакций: 4118
kdm?
kdm 4:4.9.4-0ubuntu0.2 amd64 KDE Display Manager for X11
default config
/etc/kde4/kdm/kdmrc
+
OK. Добавлено.
комментариев: 9796 документов: 488 редакций: 5664
А можно ли по-простому запустить более 6 иксов одновременно-параллельно (без X-nest и всякой псевдовиртуализации)? Не занимая сочетаний [Ctrl + Alt + F2] … [Ctrl + Alt + F6]?
[LightDM]
seats=Seat:0 Seat:1 Seat:2
[Seat:0]
vt=7
[Seat:1]
vt=8
[Seat:2]
vt=9