OpenSSH: X11 forwarding

Versioni Compatibili Debian 8 "jessie" Debian 9 "stretch" Debian 10 "buster"

OpenSSH

Sommario

OpenSSH - Principale OpenSSH - X11 forwarding OpenSSH - File di configurazione OpenSSH - Windows

Introduzione

L'uso del comando ssh, una volta configurato il server e aggiunte le credenziali di autenticazione dell'utente del client, permette l'esecuzione di comandi su una macchina remota, ma soltanto tramite una shell testuale. Perciò un'applicazione può essere lanciata con interfaccia grafica soltanto se fa uso delle librerie ncurses o comunque che non richiedono la presenza di un server grafico Xorg attivo.

Per poter lanciare un'applicazione grafica che richiede l'esecuzione di un server grafico X (per esempio perché sviluppata con uso delle librerie GTK, Qt, ecc...) e interagirvi come si farebbe con una qualsiasi applicazione, è necessario reindirizzare (forwarding) tutte le chiamate dirette al server X della macchina remota sul server X locale, ossia la stessa del client ssh.

Si noti quindi che non è necessario né che sia in esecuzione né che sia installato un server grafico X sulla macchina remota. Per poter avviare un'applicazione grafica è invece necessario che sia installato e in esecuzione un server X sulla macchina client.

Avvertimento Si presume che la macchina di destinazione sia fidata, perché anche se i comandi sono eseguiti soltanto su quella macchina, tutte le chiamate alle librerie che fanno uso del server grafico sono eseguite sulla macchina locale. Di conseguenza c'è la possibilità di subire un attacco sulla macchina client da quella remota: in particolare rivolto a tutte le altre applicazioni (di qualunque utente) eseguite sullo stesso server X, che potrebbero essere monitorate e/o manipolate, anche riguardo all'input immesso dall'utente attraverso mouse e tastiera.

Lato server

Requisiti:

• installato e in esecuzione il server SSH;
• autorizzati gli accessi (con chiave per utente/host o password) come per la connessione normale (senza X11 forwarding);
• abilitato X11Forwarding (vedere la sezione successiva), di default disabilitato.

Abilitare X11Forwarding

È necessario che sia presente (e non commentata) in /etc/ssh/sshd_config la direttiva:

X11Forwarding yes

Con privilegi di amministrazione è sufficiente aprire il file con il proprio editor di testo preferito (per esempio nano):

# nano /etc/ssh/sshd_config

aggiungere la riga su X11Forwarding yes o decommentarla (rimuovendo il carattere # iniziale) e salvare (con nano premere Ctrl-o e poi Ctrl-x per uscire).

Infine ricaricare la configurazione del server:

# service ssh reload

È da notare che disabilitare X11Forwarding non incrementa la sicurezza della macchina remota che esegue il server ssh, tuttavia potrebbe comunque essere nell'interesse di chi amministra ridurre i rischi per gli utenti autorizzati a collegarsi dalle loro postazioni.

Per altre possibili configurazioni si rimanda a questa parte della guida.

Lato client

Requisiti:

• installato e in esecuzione il server grafico Xorg;
• aperta una sessione grafica per l'utente corrente (è sufficiente un login da un display manager come gdm3/kdm/lightdm/xdm/... oppure l'uso di startx da un terminale virtuale /dev/tty1, /dev/tty2, ecc...);
• installato il client ssh (pacchetto openssh-client, installato di default).

In particolare si controlli che siano definite le variabili d'ambiente $DISPLAY e $XAUTHORITY:

$ echo "$DISPLAY"
:0

$ echo "$XAUTHORITY"
/percorso-della-propria-home/.Xauthority

Access control

Per limitare l'esposizione delle applicazioni eseguite sul server X locale, rispetto a possibili attacchi da parte dell'applicazione eseguita su macchina remota (ma a cui è dato accesso allo stesso server X locale per potervi interagire), Xorg dispone di un primitivo controllo di accesso (access control), che consente di marcare alcune applicazioni come non fidate (untrusted), in base alla sessione con cui si sono registrate presso il server X.

Ciò non risolve completamente le problematiche di sicurezza, ma limita la possibilità di ascolto alle sole applicazioni untrusted. Come risultato di questa impostazione, un'applicazione remota non avrà gli stessi permessi di una eseguita localmente, per cui alcune operazioni potrebbero essergli precluse: in caso questo interferisca con il suo normale funzionamento sarà perciò necessario dargli totale accesso, ossia considerarla fidata (trusted), consci dei possibili rischi di sicurezza per tutte le applicazioni (anche di altri utenti) eseguite sullo stesso server X e per gli input immessi dall'utente.

In Debian e derivate, questa modalità presenta un'ulteriore difficoltà, perché l'opzione è ignorata di default, a meno che l'opzione ForwardX11Trusted sia anche impostata a no, via linea di comando (opzione -o) oppure in un file di configurazione (quello di sistema /etc/ssh/ssh_config, valido per tutti gli utenti; oppure quello specifico per ogni utente in ~/.ssh/config; si noti che il nome del primo è ssh_config, mentre il secondo solo config).

Utilizzo

Dalla macchina client è sufficiente lanciare ssh con l'opzione -X:

$ ssh -o "ForwardX11Trusted=no" -X utente_remoto@host_remoto
utente_remoto@host_remoto:~$       (<-- sessione SSH)

per avviare una nuova sessione della shell testuale predefinita.

All'interno di questa sessione sarà possibile avviare applicazioni grafiche sulla macchina remota, che saranno visualizzate e si potrà interagirvi tramite il server X locale, come se si trattasse di una qualsiasi altra applicazione, ma con access control attivo per isolare parzialmente questa applicazione (untrusted) da quelle locali.

Per esempio:

utente_remoto@host_remoto:~$ evince

lancia il programma evince sulla macchina remota (dove deve essere installato), visualizzandolo sul server X locale in esecuzione (dove può anche non essere installato). Se si apre un documento, si noterà che si sta esplorando il file system dell'utente remoto sulla macchina remota.

Quando si ha terminato è sufficiente chiudere la sessione, scrivendo il comando exit oppure premendo Ctrl-d:

utente_remoto@host_remoto:~$ exit  (<-- sessione SSH)
$                                  (<-- shell locale)

In alternativa è possibile specificare direttamente il comando da eseguire. Per esempio con evince:

$ ssh -o "ForwardX11Trusted=no" -X utente_remoto@host_remoto -- evince

In tal caso la sessione SSH sarà terminata quando si chiuderà l'applicazione.

Per non scrivere ForwardX11Trusted ogni volta, basta scriverlo nella propria ~/.ssh/config oppure in /etc/ssh/ssh_config, lato client:

ForwardX11Trusted="no"

Le modifiche hanno effetto immediatamente, fin dalla successiva esecuzione di ssh -X ... .

Compressione

Un'opzione utile è -C, che permette la compressione del traffico di rete, in particolare quello reindirizzato al server X locale, il che può velocizzare i tempi di risposta delle applicazioni remote:

$ ssh -X -C utente_remoto@host_remoto

In questo esempio si dà per scontato che ForwardX11Trusted sia già impostato in un file di configurazione. E si noti che la compressione può essere abilitata di default in maniera analoga con l'opzione Compression, ma in genere è preferibile abilitare la compressione soltanto quando si avvia un'applicazione grafica con X11 forwarding, a meno che non si abbia una connessione molto lenta.

Avvio di un'intera sessione grafica

Se si vuole gestire tutte le applicazioni senza lanciarle da terminale, è possibile avviare un'intera sessione, sfruttando un server X annidato che agisce come proxy.

A titolo di esempio come sessione grafica si considera blackbox, che rende disponibile un ambiente grafico minimale e quindi molto veloce, che si occupa soltanto della gestione delle finestre, dei menù accessibili con il mouse e di un pannello con gli spazi di lavoro. Dev'essere installato sulla macchina remota, si consiglia in combinazione a menu:

# apt install blackbox menu

Sulla macchina locale, deve essere invece installato un server grafico annidato che faccia da proxy per l'X11 forwarding, come per esempio Xephyr, che è un'evoluzione più veloce e raccomandata del precedente Xnest:

# apt install xserver-xephyr

Sulla macchina locale, preparo quindi il server grafico proxy, lanciandolo in background (come utente normale, senza privilegi):

$ Xephyr :1 -ac -nolisten tcp -screen 1024x768 &

dove:

• :1 è un display libero (per esempio se $DISPLAY è :0 e non ci sono altri server X in esecuzione; altrimenti bisogna usarne un altro);
• -ac significa di disabilitare l'access control (per le sole applicazioni all'interno di Xephyr; purtroppo non è possibile utilizzare entrambi gli access control, non disponendo la versione compilata di Xephyr di un metodo per generare un cookie sicuro quando interrogata con xauth generate ...);
• -nolisten tcp disabilita il protocollo TCP, permettendo soltanto connessioni locali (o redirette, come quelle via SSH);
• -screen XRESxYRES determina la risoluzione della finestra, che di default (e per ragioni di sicurezza) non potrà essere ridimensionata;
• & al termine del comando, serve per lanciarlo in background (è un'istruzione della shell, non di Xephyr).

Poi lancio blackbox sul display (:1 o comunque quello usato con Xephyr) del server proxy. Sempre dalla macchina locale:

$ DISPLAY=:1 ssh -o "ForwardX11Trusted=no" -X -C utente_remoto@host_remoto -- blackbox

Nella finestra aperta da Xephyr si vedrà l'ambiente grafico di blackbox, da cui sarà possibile aprire tutte le applicazioni installate sulla macchina remota, senza bisogno di lanciarle singolarmente da terminale.

Con script

Ovviamente si può automatizzare il tutto in uno script, una volta installato l'occorrente. Basterà per esempio creare un file blackbox-ssh.sh contenente:

#! /bin/sh

# lancia Xephyr su display :1
Xephyr :1 -ac -nolisten tcp -screen 1024x768 &
pid_xephyr=$!

# lancia blackbox via ssh su display :1
exit_status=0
DISPLAY=:1 ssh -o "ForwardX11Trusted=no" -X -C "utente_remoto@host_remoto" -- blackbox ||
   exit_status=$?

# termina Xephyr quando blackbox termina
kill $pid_xephyr 2> /dev/null
{ sleep 5; kill -9 $pid_xephyr 2> /dev/null ; }&
wait $pid_xephyr 2> /dev/null

# esce con l'exit status di blackbox
exit $exit_status

E dargli i permessi di esecuzione:

$ chmod a+x ./blackbox-ssh.sh

Per lanciarlo con un click (se l'autenticazione avviene solo via chiavi e senza richiesta di passphrase) oppure con:

./blackbox-ssh.sh

Senza access control

ATTENZIONE Un'applicazione remota, in riferimento alla visualizzazione sul server X locale, avrà gli stessi permessi di una eseguita localmente, rendendo possibile il monitoraggio e la manipolazione delle altre applicazioni grafiche eseguite sullo stesso server (anche da parte di altri utenti) e dell'input immesso dall'utente con mouse e tastiera. Essere certi di avere necessità di una connessione trusted prima di effettuarla, e soltanto se si può considerare sicura la macchina di destinazione.

Per disattivare il controllo di accesso, effettuando una connessione fidata (trusted X11 forwarding), si deve utilizzare l'opzione -Y:

$ ssh -Y utente_remoto@host_remoto
utente_remoto@host_remoto:~$        (<-- sessione SSH)

Questa opzione permette anche di ignorare un'eventuale opzione ForwardX11Trusted impostata in /etc/ssh/ssh_config e/o quella nella propria home in ~/.ssh/config.

Si ricorda nuovamente che in Debian e derivate, se l'opzione ForwardX11Trusted non è specificata, con l'opzione -o da linea di comando oppure in un file di configurazione, non c'è differenza tra ssh -X e ssh -Y, poiché è ignorata di default.

Configurazione

Per maggiori dettagli sui file di configurazione, si rimanda a questa parte della guida.

---

Guida scritta da: HAL 9000 21:01, 21 lug 2019 (CEST)	Debianized 20%
Estesa da:
Verificata da:
Verificare ed estendere la guida | Cos'è una guida Debianized