Портабельный запуск браузеров

Небезопасно запускать программы от судо, если они имеют доступ к иксам – вот такой должен быть вывод.

Любая программа может обращаться к Х серверу, который доступен по-видимому через порт или unix-сокет.

Через xhost вы можете расшарить свои иксы на весь инет для беспарольного доступа. Это фича такая.

Можете расшарить скорее теоретически. На практике во всех дистрах иксы запускаются по умолчанию с опцией --no-listentcp. Чтобы её поменять, понадобится доступ к конфигу с правами рута.

С xhost уже начинали, были предупреждения и epic fail. Я бы не стал xhost советовать.

Помимо этого?

Несколько опрометчиво считать некоторую систему безопасной при отсутствии доказательств уязвимости, вы не находите?

1. X-сервер запущен от рута (сейчас это почти везде так, к сожалению, хотя исключения бывают).
2. В X-сервере есть уязвимость (иксы — одна из самых дырявых программ, да).

не более чем средство например что-то скомпилировать или отладить под другую архитектуру, но это средство не имеет никакого отношения к безопасности.

1. Запуск программ под отдельным X-сервером со своим логином — тоже не панацея. Если уязвимый пользователь — член группы audio, то никто не запрещает ему включить микрофон и прослушивать по акустическому каналу все нажатия клавиш, которые вы нажимаете, будучи в других иксах, текстовых терминалах и т.д. В частности, пароли на крипторазделы по такому side channel утекают только так.
2. И виртуалки тоже не панацея, т.к. запуск зловреда в одной виртуальной ОС позволяет украсть ключи, использумые в другой виртуальной ОС.
3. И отдельные компьютеры тоже не панацея, т.к. по акустическому, электромагнитному и др. side channels всё равно утекает много чего.

sudo в текстовом терминале тоже небезопасно. Там есть свои методы, как подцепиться к уже открытой sudo сессии, как накормить жертву нужными переменными среды, которые подменят исполнимые файлы или подгружаемые библиотеки, и т.д.

По-хорошему, для каждой задачи нужен свой отдельный компьютер, находящийся в своём отдельном бункере с полной изоляцией. И без сети, да. SATtva, я всё правильно сказал?

Чтобы этого избежать, советуют писать su -l username или su -- (не помню, один там минус или два должно быть).

The optional argument – may be used to provide an environment similar to what the user would expect had the user logged in directly.

$ man sudo
No manual entry for sudo
$ sudo
SHELL: sudo: command not found

1. Eсли su/sudo запускается в терминальном мультплексоре (screen или tmux), то зловред может приаттачить открытую сессию к своему терминалу и выполнить в нём всё, что захочет.
2. Зловред может подменить su/sudo (и вообще любую команду) на свою собственую, протрояненную. Если профиль полностью скомпрометирован, это можно сделать через, например, переопределение переменной $PATH.
3. Вроде можно работать с терминалом, как с виртуальным устройством /dev/ttyN. Если прав на доступ к терминалу хватает (см., например, ls -la /dev/pts/1), т.е. терминал запущен от того же пользователя, вроде как можно перехватить управление им. Детали не знаю, т.к. не взломщик, а в этом в основном они разбираются. Кажется, в каких-то старых тредах лора показывали выкрутасы на эту тему. На 100% не поручусь.
   
   Как пример: был файл на файловой системе, но мы его удалили, а программа его ещё использует. Казалось бы, задача найти файл и посмотреть, что в нём, сохранить его куда-нибудь — нерешаемая, а реально lsof + /proc делают такую операцию штатной возможностью (находится дескриптор файла, инод его, потом делается несколько команд; детали не помню, но знаю, что делается). С tty могут быть извраты того же уровня.

Сколько я видел мануалов в интернете по зачрутовыванию разных программ, и нигде не прослеживалась универсальность. В частности, мануал по зачрутовыванию Tor в, кажется, OpenBSD напоминал адский набор сотен грязных хаков.

> Речь шла о том, что вломщик имеет доступ ко всем утилитам системы, что может использовать для облегчения своей работы. Из chroot это всё недоступно, поэтому приходится использовать низкоуровневые средства.

Эти допущения нарушают принцип Керхгоффса. Они из той же степи, что и «а давайте не будем монтировать системные разделы». Вломщик весь необходимый ему софт может доставить самостоятельно, прав у него будет достаточно. Заведомо полагаться, что он откажется от этой затеи, глупо.

> По умолчанию sudo в этом плане безопасно, кейлогер и монитор экрана от другого пользователя так просто работать не будут. Для этого нужна уязвимость в Х сервере, т.к. он управляет контролем доступа к графическим средам.

Не нужна. Пример с xev был не более, чем красочной демонстрацией. На самом деле, нет и не может быть доверия ни к чему, что запускается от потенциально скомпрометированного пользователя. Например, когда вы открываете терминал, зловред может вместо него вывести собственное окошко, внешне выглядящее также, и перехватить все ваши пароли на sudo. Всё, что вы вводите, он может на лету транслировать в настоящий терминал, а сдампленные пароли или текст потом выслать себе домой по сети.

sudo в текстовом терминале тоже небезопасно. Там есть свои методы, как подцепиться к уже открытой sudo сессии, как накормить жертву нужными переменными среды, которые подменят исполнимые файлы или подгружаемые библиотеки, и т.д. Если юзер считается потенциально скомпрометированным, то не важно, под иксами он или в текстовом терминале — зловред всегда может найти способ повысить свои привелегии до тех, до которых может дотянуться жертва.

> Создание учётной записи не даёт никаких преимуществ перед sudo, только лишние действия.

Даёт (см. объяснения выше). Для начала, условимся считать, что ничего графического из-под su/sudo/ssh мы не запускаем. Если запускаем консольные программы под su/sudo/ssh, то всю деятельность можно прологировать, а пароли на su/sudo/ssh украсть.

В случае же отдельного X-сервера чтобы что-то украть или прологировать, нужно одновременное осуществление двух событий:

sudo — идеологическое зло, потому что создаёт у пользователя иллюзию, что это средство безопасности.

Т.е. если вы не указали «-», то environment берётся от текущего юзера, который, если скомпрометирован, может передать, к примеру, «правильные» PATH в новый шелл под рутом. Хотел ещё и man sudo посмотреть на этот счёт, но

Зловред может подменить su/sudo (и вообще любую команду) на свою собственую, протрояненную. Если профиль полностью скомпрометирован, это можно сделать через, например, переопределение переменной $PATH.