SEGURIDAD EN UNIX Y REDES

11.8. XWINDOW 189De esta forma, cuando alguien intente lanzar una aplicación contra nuestro servidor desde un sistemano autorizado verá un mensaje de error similar al siguiente:luisa:~# xterm -display anita:0.0Xlib: connection to "anita:0.0" refused by serverXlib: Client is not authorized to connect to ServerError: Can’t open display: anita:0.0luisa:~#Como hemos dicho, este modelo de seguridad es demasiado vulnerable; por un lado, estamos autenticandoclientes en base a una dirección o a un nombre de máquina, algo fácilmente falsificablepor un atacante. Por otro, aunque los usuarios de los sistemas a los que permitimos utilizar nuestroservidor sean conocidos, fiables, y amantes de la naturaleza, nada nos demuestra que sus sistemassean seguros, por lo que si sus equipos se ven comprometidos, nuestro servidor también.11.8.2 Autenticación por testigoEste mecanismo de X Window es el más seguro, y por tanto el más recomendado; en él, el servidorcontrola el acceso de los clientes mediante una ‘cookie’ mit-magic-cookie-1, que no es más que uncódigo de acceso aleatorio de 128 bits en un formato legible por la máquina: esta cookie actua comoun password temporal, de forma que sólo los clientes que conozcan ese password podrán accederal servidor. La cookie es generada por xdm o por el propio usuario al principio de cada sesión,con xauth, y guardada en el fichero $HOME/.Xauthority; a partir de ese momento, los programasclientes leerán su valor y lo enviarán al servidor cada vez que deseen conectar a él. Podemoscomprobar que poseemos – al menos – la cookie correspondiente a nuestro display con una ordencomo la siguiente:luisa:~# xauth listluisa:0 MIT-MAGIC-COOKIE-1 8c1d09aab44573a524467c4e8faaaeb5luisa/unix:0 MIT-MAGIC-COOKIE-1 8c1d09aab44573a524467c4e8faaaeb5luisa:~#El comando anterior, xauth, se utiliza para manejar la información de las cookies de cada usuario;por ejemplo, un uso muy habitual es la transferencia de cookies a máquinas remotas, para quepuedan así conectar al servidor X de un determinado equipo. Para ello debemos extraer la cookiede nuestro $DISPLAY y enviarla al fichero $HOME/.Xauthority del sistema remoto, con una ordencomo esta:luisa:~# xauth extract - $DISPLAY | ssh anita -l toni xauth merge -luisa:~#Este mecanismo tiene principalmente dos problemas de seguridad: por un lado, las cookies setransmiten en texto claro por la red, por lo que son susceptibles de ser interceptadas; por otro, alestar guardadas en el fichero $HOME/.Xauthority, cualquiera que lo pueda leer tendrá acceso a ellas:es muy importante que este archivo tenga permiso de lectura y escritura sólo para su propietario,y que también tomemos precauciones si los directorios $HOME de los usuarios son exportados víaNFS.