Die K Desktopumgebung

5.7. Sicherheitsaspekte

Es ist möglich Konsole mit root-suid zu installieren. Davon wird jedoch abgeraten! Konsole gibt die Rechte sofort nach dem Start auf. Der "Secure keyboard"-Mechanismus von X11 ist nicht implementiert. Das bedeutet, daß andere Programme Tastenbetätigungen von Konsole auswerten können. Vorsicht vor trojanischen Pferden!

Konsole wendet nicht fchown(2) auf den Pseudo-tty an. Das bedeutet daß jemand (im Mehrbenutzerbetrieb) Ihre Root-Sitzung mitverfolgen kann. Für neuere Kernelversionen (2.1/2.2), wird Konsole solche Attacken zurückweisen. Um zu überprüfen ob ein System in dieser Hinsicht verwundbar ist, kann man folgendes ausprobieren:

   1 $ tty
   2 /dev/ttyp3

Unter einer anderen Benutzerkennung (nicht Root) nun folgendes eingeben:

$ echo 'test' > /dev/ttyp3

Erscheint der Text in der Konsole-Sitzung, dann ist die Sitzung nicht sicher.

Für UNIX-Versionen wird das Sicherheitsloch bald geschlossen. Die Lösung macht es aber erforderlich, daß Konsole mit root/suid installiert wird. Der Autor sieht ein, daß das nicht in jeder Situation möglich sein wird, sieht aber keine Alternative.