X11 授权是如何工作的？ （麻省理工学院魔法饼干）

Question

我有兴趣深入解答解释 X11 授权的具体工作原理，尤其是 MIT Magic Cookies。

我知道它实际上做的是禁止除登录用户之外的其他所有人访问，还有一些控制机制可以控制客户端应用程序是否可以连接到 X 显示服务器。

我还发现有五种标准的访问控制机制，它们可以分为三大类：

1. 基于主机的访问
2. 基于 cookie 的访问
3. 基于用户的访问权限

但从现在开始，我真的不明白这些工作的方式以及它们究竟使用什么方式来进行授权。

Answer 1

嗯，首先机器上有一个文件~/.Xauthority。 请注意（通常在具有 GUI 的机器上）此文件的错误权限，可能导致登录屏幕循环...（我花了几个小时才明白这一点）。

正如你提到的，有 5 种机制：

1. 主机访问：服务器有主机访问列表（如果此列表中存在网络地址，则允许连接）。该列表使用xhost 命令进行管理。注意：这不允许同时进行多个连接。我不太了解这种方法，因为我并没有真正使用过它。但你可以看到man Xserver GRANTING ACCESS 部分:)

2. MIT-magic-cookie-1：生成 128 位密钥（“cookie”），将其存储在 ~/.Xauthority（或 XAUTHORITY envvar 指向的位置）中。客户端将其发送到服务器plain！服务器检查它是否有这个“cookie”的副本，如果有，则允许连接。密钥由 DMX 生成。

3. XDM-authorization-1：同样，在 ~/.Xauthority 中存储了一个密钥。该密钥由 2 部分组成 - 56 位 DES 加密密钥和 64 位用作身份验证器的随机数据。 当您连接到服务器时，客户端生成 192 位数据：ctime 结合 48 位标识符（对于 tcp/ip：ip 地址+端口，对于本地连接，它是 PID 和 32 位唯一 ID）。 DES 密钥用于加密数据，然后将其发送到服务器。服务器通过解密用户来验证用户，然后验证 64 位身份验证器和其他数据。

4. sun-des-1：它使用非对称加密，服务器有一个他用来解密传入请求的公钥。它还使用“主机列表”。这需要网络中一些额外的机制，我又没有这样的网络，我对这个机制不太了解。

5. 服务器解释：它可以通过多种方式实现……但一般来说，客户端向服务器发送 2 个字符串。第二个字符串是用户条目（如username），第一个字符串是条目类型（如localuser）。

注意：第 2、第 3 和第 4 种机制将密钥存储在 ~/.Xauthority 中，因此任何有权访问此文件的人都可以伪装成“您”连接到服务器。

xauth 命令可以解析 Xauthority 文件并提取感兴趣的值。

$ xauth 
Using authority file /home/ME/.Xauthority
xauth> list        
ME/unix:10  MIT-MAGIC-COOKIE-1  5e443c146376d0bdadfd712bfe7654be
ME/unix:0  MIT-MAGIC-COOKIE-1  c48ddba801384dce3aaaa9d442931ea12
xauth> info
Authority file:       /home/ME/.Xauthority
File new:             no
File locked:          no
Number of entries:    2
Changes honored:      yes
Changes made:         no
Current input:        (stdin):2
xauth> 

• 数据已更改....