OpenSSH: X11 forwarding

Da Guide@Debianizzati.Org.

Debian-swirl.png Versioni Compatibili
Debian 7 "Wheezy"
Debian 8 "Jessie"
Verificala con Stretch
OpenSSH

Sommario


Indice

Introduzione

L'uso del comando ssh, una volta configurato il server e aggiunte le credenziali di autenticazione dell'utente del client, permette l'esecuzione di comandi su una macchina remota, ma soltanto tramite una shell testuale. Perciò un'applicazione può essere lanciata con interfaccia grafica soltanto se fa uso delle librerie ncurses o comunque che non richiedono la presenza di un server grafico X attivo.

Per poter lanciare un'applicazione grafica che richiede l'esecuzione di un server grafico X (per esempio perché sviluppata con uso delle librerie GTK, Qt, ecc...) e interagirvi come si farebbe con una qualsiasi applicazione, è necessario reindirizzare (forwarding) tutte le chiamate dirette al server X della macchina remota sul server X locale, ossia la stessa del client ssh.

Si noti quindi che non è necessario né che sia in esecuzione né che sia installato un server grafico X sulla macchina remota. Per poter avviare un'applicazione grafica è invece necessario che sia installato e in esecuzione un server X sulla macchina client.

Warning.png ATTENZIONE
Si presume che la macchina di destinazione sia fidata, perché anche se i comandi sono eseguiti soltanto su quella macchina, tutte le chiamate alle librerie che fanno uso del server grafico sono eseguite sulla macchina locale. Di conseguenza c'è la possibilità di subire un attacco sulla macchina client da quella remota: in particolare rivolto a tutte le altre applicazioni (di qualunque utente) eseguite sullo stesso server X, che potrebbero essere monitorate e/o manipolate, anche riguardo all'input immesso dall'utente attraverso mouse e tastiera.


Lato server

Requisiti:

Abilitare X11Forwarding

È necessario che sia presente (e non commentata) in /etc/ssh/sshd_config la direttiva:

X11Forwarding yes

Con privilegi di amministrazione è sufficiente aprire il file con il proprio editor di testo preferito (per esempio nano):

# nano /etc/ssh/sshd_config

aggiungere la riga su X11Forwarding yes o decommentarla (rimuovendo il carattere # iniziale) e salvare (con nano premere Ctrl-o e poi Ctrl-x per uscire).

Infine ricaricare la configurazione del server:

# service ssh reload

È da notare che disabilitare X11Forwarding non incrementa la sicurezza della macchina remota che esegue il server ssh, tuttavia potrebbe comunque essere nell'interesse di chi amministra ridurre i rischi per gli utenti autorizzati a collegarsi dalle loro postazioni, e per questo questa opzione è disabilitata di default.

Per altre possibili configurazioni si rimanda a questa parte della guida.

Lato client

Requisiti:

In particolare si controlli che siano definite le variabili d'ambiente $DISPLAY e $XAUTHORITY:

$ echo "$DISPLAY"
:0
$ echo "$XAUTHORITY"
/la-propria-home/.Xauthority

Access control

Per limitare l'esposizione delle applicazioni eseguite sul server X locale, rispetto a possibili attacchi da parte dell'applicazione eseguita su macchina remota (ma a cui è dato accesso allo stesso server X locale per potervi interagire), Xorg dispone di un primitivo controllo di accesso (access control), che consente di marcare alcune applicazioni come non fidate (untrusted), in base alla sessione con cui si sono registrate presso il server X.

Ciò non risolve completamente le problematiche di sicurezza, ma limita la possibilità di ascolto alle sole applicazioni untrusted. Come risultato di questa impostazione, un'applicazione remota non avrà gli stessi permessi di una eseguita localmente, per cui alcune operazioni potrebbero essergli precluse: in caso questo interferisca con il suo normale funzionamento sarà perciò necessario dargli totale accesso, ossia considerarla fidata (trusted), consci dei possibili rischi di sicurezza per tutte le applicazioni (anche di altri utenti) eseguite sullo stesso server X e per gli input immessi dall'utente.

Utilizzo

Dalla macchina client è sufficiente lanciare ssh con l'opzione -X:

$ ssh -X utente_remoto@host_remoto
utente_remoto@host_remoto:~$       (<-- sessione SSH)

per avviare una nuova sessione della shell testuale predefinita.

All'interno di questa sessione sarà possibile avviare applicazioni grafiche sulla macchina remota, che saranno visualizzate e si potrà interagirvi tramite il server X locale, come se si trattasse di una qualsiasi altra applicazione, ma con access control attivo per isolare parzialmente questa applicazione (untrusted) da quelle locali.

Per esempio:

utente_remoto@host_remoto:~$ evince

lancia il programma evince sulla macchina remota (dove deve essere installato), visualizzandolo sul server X locale in esecuzione (dove può anche non essere installato). Se si apre un documento, si noterà che si sta esplorando il file system dell'utente remoto sulla macchina remota.

Quando si ha terminato è sufficiente chiudere la sessione, scrivendo il comando exit oppure premendo Ctrl-d:

utente_remoto@host_remoto:~$ exit  (<-- sessione SSH)
$                                  (<-- shell locale)

In alternativa è possibile specificare direttamente il comando da eseguire. Per esempio con evince:

$ ssh -X utente_remoto@host_remoto -- evince

In tal caso la sessione SSH sarà terminata quando si chiuderà l'applicazione.

Compressione

Un'opzione utile è -C, che permette la compressione del traffico di rete, in particolare quello reindirizzato al server X locale, il che può velocizzare i tempi di risposta delle applicazioni remote:

$ ssh -X -C utente_remoto@host_remoto

Avvio di un'intera sessione grafica

Se si vuole gestire tutte le applicazioni senza lanciarle da terminale, è possibile avviare un'intera sessione, sfruttando un server X annidato che agisce come proxy.

A titolo di esempio come sessione grafica si considera blackbox, che rende disponibile un ambiente grafico minimale e quindi molto veloce, che si occupa soltanto della gestione delle finestre, dei menù accessibili con il mouse e di un pannello con gli spazi di lavoro. Dev'essere installato sulla macchina remota, si consiglia in combinazione a menu:

# apt-get install blackbox menu

Sulla macchina locale, deve essere invece installato un server grafico annidato che faccia da proxy per l'X11 forwarding, come per esempio Xephyr, che è un'evoluzione più veloce e raccomandata del precedente Xnest:

# apt-get install xserver-xephyr

Sulla macchina locale, preparo quindi il server grafico proxy, lanciandolo in background (come utente normale, senza privilegi):

$ Xephyr :1 -ac -nolisten tcp -screen 1024x768 &

dove:

Poi lancio blackbox sul display (:1 o comunque quello usato con Xephyr) del server proxy. Sempre dalla macchina locale:

$ DISPLAY=:1 ssh utente_remoto@host_remoto -X -C -- blackbox

Nella finestra aperta da Xephyr si vedrà l'ambiente grafico di blackbox, da cui sarà possibile aprire tutte le applicazioni installate sulla macchina remota, senza bisogno di lanciarle singolarmente da terminale.

Con script

Ovviamente si può automatizzare il tutto in uno script, una volta installato l'occorrente. Basterà per esempio creare un file blackbox-ssh.sh contenente:

#! /bin/sh

# lancia Xephyr su display :1
Xephyr :1 -ac -nolisten tcp -screen 1024x768 &
pid_xephyr=$!

# lancia blackbox via ssh su display :1
exit_status=0
DISPLAY=:1 ssh "utente_remoto@host_remoto" -X -C -- blackbox ||
   exit_status=$?

# termina Xephyr quando blackbox termina
kill $pid_xephyr 2> /dev/null
{ sleep 5; kill -9 $pid_xephyr 2> /dev/null ; }&
wait $pid_xephyr 2> /dev/null

# esce con l'exit status di blackbox
exit $exit_status

E dargli i permessi di esecuzione:

$ chmod a+x ./blackbox-ssh.sh

Per lanciarlo con un click (se l'autenticazione avviene solo via chiavi e senza richiesta di passphrase) oppure con:

./blackbox-ssh.sh

Senza access control

Warning.png ATTENZIONE
Un'applicazione remota, in riferimento alla visualizzazione sul server X locale, avrà gli stessi permessi di una eseguita localmente, rendendo possibile il monitoraggio e la manipolazione delle altre applicazioni grafiche eseguite sullo stesso server (anche da parte di altri utenti) e dell'input immesso dall'utente con mouse e tastiera.

Essere certi di avere necessità di una connessione trusted prima di effettuarla, e soltanto se si può considerare sicura la macchina di destinazione.


Per disattivare il controllo di accesso, effettuando una connessione fidata (trusted X11 forwarding), si deve utilizzare l'opzione -Y:

$ ssh -Y utente_remoto@host_remoto
utente_remoto@host_remoto:~$        (<-- sessione SSH)

Configurazione

Per rendere automatiche tali configurazioni, si rimanda a questa parte della guida.




Guida scritta da: HAL 9000 18:42, 28 nov 2015 (CET)

Swirl-auth20.png Debianized 20%

Estesa da:
Verificata da:

Verificare ed estendere la guida | Cos'è una guida Debianized

Strumenti personali
Namespace
Varianti
Azioni
Navigazione
Risorse
Strumenti