名称

X Security − X ディスプレイアクセスコントロール

形式

X は多くのアクセスコントロールシステムを実行 するためのメカニズムを提供します。 リリース 5 には、以下の 3 つのメカニズムが含まれます。

    Host Accessホストベース型シンプルアクセルコントロール
    MIT-MAGIC-COOKIE-1シェアードプランテキスト "cookies".
    XDM-AUTHORIZATION-1DES ベース型プライベートキー保障

アクセスシステム

ホストアクセス
ホストアクセスコントロールリスト内の ホスト上のどのクライアントでも、 X サーバにアクセスできます。 このシステムは、 全ての人が全ての人を信用する環境 または一人の人間が指定マシンにログインできる場合、 しかも使用しているホストリスト が小さくて使いやすい場合において、合理的に機能します。 逆に言えば、 複数の人間が一つのマシンにログインしたり、 お互いの信頼関係が成立しないような場合には、 うまく機能しません。 認められているホストのリストは、 X サーバ内に格納され、 xhost コマンドによって変更できます。 以下に示す保障メカニズムを利用する場合には、 ホストリストを空リストに整理して、 承認されたプログラムだけがそのディスプレイ に接続できるようにします。

MIT-MAGIC-COOKIE-1
MIT-MAGIC-COOKIE-1 を使用する場合、 クライアントは接続セットアップ情報に 即した 128 ビットの "cookie" を送ります。 クライアントによって表された cookie が X サーバ が所有するものに一致する場合、 その接続のアクセスが認められます。 cookie は推測できにくいものを選択します。 この形式のアクセスコントロールが 使用される場合、 xdm は自動的に cookies を生成します。 cookie のユーザコピーは通常 ホームディレクトリ内の .Xauthority ファイルに格納されます。 ただし、環境変数 XAUTHORITY は別のファイルを指定する際に使用できます。 Xdm は自動的に cookie を新しいログインセッション に対するサーバに渡し、 ログイン時にはユーザファイルにその cookie を格納します。

cookie は暗号化なしでネットワーク上で送信されると、 ネットワークへの侵入者がそのデータを獲得したり、 X サーバへのアクセスのためにデータを使用することを妨害するものはなくなります。 このコントロールが物理的ネットワークへの アクセスコントロールと同様であることに注意すれば、 このシステムは、 多くのユーザが同一マシン上で様々なアプリケーション を実行したり、お互いに邪魔を仕合わない 場合に便利です。 ネットワークレベルの侵入が困難である環境では、 このシステムはうまく機能します。

XDM-AUTHORIZATION-1
リリース 5 は XDM-AUTHORIZATION-1 と呼ばれる DES ベース型のアクセスコントロール が含まれています。 キーが .Xauthority ファイルに格納され、 X サーバによってシェアされる MIT-MAGIC-COOKIE-1 への使用と同様です。 ただし、このキーは二つの部分から構成されます。 それは56 ビットの DES 暗号キー および信頼できるものとして使用するランダムな および 64 ビットデータです。

X サーバと接続する場合、 アプリケーションは 48 ビットの "識別子" に 即した秒数 (GMT 時間 1970年1月1日 00:00 から) で現在時刻を組合せて、 192 ビットのデータを生成します。 TCP/IP 接続に関して、 識別子はアドレスポートプラスナンバとなります。 ローカル接続に関しては、 プロセス ID でありユニークな id (同一サーバへの複数接続が一つのプロセスより生成される場合) を形勢するための 32 ビットデータです。 この 192 ビットのパケットデータは DES キーによって暗号化され、 X サーバに送られます。 それは、同じ DES キーによって暗号解読し、 信頼できるものおよび追加データを認めることによって 要求者が接続を認められる場合、 確かめることができます。 このシステムはホストベースの アクセスコントロールが不適切でネットワークセキュリティが 保障されていない環境において有効です。

THE AUTHORIZATION FILE

ホストアクセスコントロールを除き、 各システムは .Xauthority ファイル に格納されているデータを使用して、 接続セットアップ時に X サーバに渡す 適切な承認情報を生成します。 MIT-MAGIC-COOKIE-1 および XDM-AUTHORIZATION-1 はそのファイル内に秘密の情報を格納します。 そのファイルを読める者であれば、誰でも X サーバへのアクセスを獲得できます。

 .Xauthority ファイルの各エントリは、 ある接続系 (TCP/IP、 DECnet またはローカル接続) および X ディスプレイ名 (ホスト名 + ディスプレイ番号) と一致します。 これにより、 同じデータフィイルを分け合うために 様々なディスプレイに対する複数承認エントリ を可能にします。 ある特殊な接続系 (FamilyWild、値 65535) により、 あらゆるディスプレイにエントリが 一致するようになり、 また全ての接続に対して可能になります。 さらに、 各エントリは承認名、 およびその承認タイプが、 接続セットアップ時の訂正情報を生成するために はどんなプライベート情報を必要とするか を保持します。

xauth プログラムは .Xauthority ファイル 形式を操作します。 それは接続系およびアドレス形式の セマンティックスを理解し、 形式を簡単に理解できるように表示を行ないます。

X サーバ (ワークステーション上で実行時) は、 −auth オプション (Xserver マニュアル参照) のコマンドライン上で渡されたあるファイル名から 承認情報を読み取ります。 そのファイルの承認エントリは サーバへのアクセスコントロールに使用されます。 上記の承認スキーマのそれぞれについて、 承認スキーマを初期化するためにサーバが 必要なデータは、 適切な承認情報を生成するためにクライアントが 必要な情報と同一です。 また、その同一のファイル名は両プロセスによっても 使用できます。 これは xinit の使用時、 特に有効です。

MIT-MAGIC-COOKIE-1
このシステムはユーザおよび X サーバ間で 128 ビット のデータを分け合って、使用します。 ビットの組合せについては、 どのような場合も可能です。 暗号化された保障疑似乱数生成機能を使用して、 xdm はキーを生成します。 次のセッションへのキーはカレントセッション キーからは計算できません。

XDM-AUTHORIZATION-1
このシステムでは二つの情報が使用されます。 まず、64 ビットの乱数データ、 次が 56 ビットの DES 暗号キー (再度、乱数) が 8 バイトで格納され、 それらの最終バイトは無視されます。 MIT-MAGIC-COOKIE-1 に対して使用されるのと同様に、 乱数機能を使用して xdm はキー を生成します。

関連ファイル

.Xauthority

関連事項

X(7), xdm(1), xauth(1), xhost(1), xinit(1), Xserver(1)

NEWS-OSRelease 4.2.1R