OpenSSH: X11 forwarding
Versioni Compatibili Debian 8 "jessie" Debian 9 "stretch" Debian 10 "buster" |
OpenSSH |
Sommario |
Introduzione
L'uso del comando ssh
, una volta configurato il server e aggiunte le credenziali di autenticazione dell'utente del client, permette l'esecuzione di comandi su una macchina remota, ma soltanto tramite una shell testuale. Perciò un'applicazione può essere lanciata con interfaccia grafica soltanto se fa uso delle librerie ncurses o comunque che non richiedono la presenza di un server grafico Xorg attivo.
Per poter lanciare un'applicazione grafica che richiede l'esecuzione di un server grafico X (per esempio perché sviluppata con uso delle librerie GTK, Qt, ecc...) e interagirvi come si farebbe con una qualsiasi applicazione, è necessario reindirizzare (forwarding) tutte le chiamate dirette al server X della macchina remota sul server X locale, ossia la stessa del client ssh
.
Si noti quindi che non è necessario né che sia in esecuzione né che sia installato un server grafico X sulla macchina remota. Per poter avviare un'applicazione grafica è invece necessario che sia installato e in esecuzione un server X sulla macchina client.
Lato server
Requisiti:
- installato e in esecuzione il server SSH;
- autorizzati gli accessi (con chiave per utente/host o password) come per la connessione normale (senza X11 forwarding);
- abilitato
X11Forwarding
(vedere la sezione successiva), di default disabilitato.
Abilitare X11Forwarding
È necessario che sia presente (e non commentata) in /etc/ssh/sshd_config
la direttiva:
X11Forwarding yes
Con privilegi di amministrazione è sufficiente aprire il file con il proprio editor di testo preferito (per esempio nano):
# nano /etc/ssh/sshd_config
aggiungere la riga su X11Forwarding yes o decommentarla (rimuovendo il carattere #
iniziale) e salvare (con nano
premere Ctrl-o
e poi Ctrl-x
per uscire).
Infine ricaricare la configurazione del server:
# service ssh reload
È da notare che disabilitare X11Forwarding non incrementa la sicurezza della macchina remota che esegue il server ssh, tuttavia potrebbe comunque essere nell'interesse di chi amministra ridurre i rischi per gli utenti autorizzati a collegarsi dalle loro postazioni.
Per altre possibili configurazioni si rimanda a questa parte della guida.
Lato client
Requisiti:
- installato e in esecuzione il server grafico Xorg;
- aperta una sessione grafica per l'utente corrente (è sufficiente un login da un display manager come gdm3/kdm/lightdm/xdm/... oppure l'uso di
startx
da un terminale virtuale/dev/tty1
,/dev/tty2
, ecc...); - installato il client ssh (pacchetto
openssh-client
, installato di default).
In particolare si controlli che siano definite le variabili d'ambiente $DISPLAY
e $XAUTHORITY
:
$ echo "$DISPLAY" :0
$ echo "$XAUTHORITY" /percorso-della-propria-home/.Xauthority
Access control
Per limitare l'esposizione delle applicazioni eseguite sul server X locale, rispetto a possibili attacchi da parte dell'applicazione eseguita su macchina remota (ma a cui è dato accesso allo stesso server X locale per potervi interagire), Xorg dispone di un primitivo controllo di accesso (access control), che consente di marcare alcune applicazioni come non fidate (untrusted), in base alla sessione con cui si sono registrate presso il server X.
Ciò non risolve completamente le problematiche di sicurezza, ma limita la possibilità di ascolto alle sole applicazioni untrusted. Come risultato di questa impostazione, un'applicazione remota non avrà gli stessi permessi di una eseguita localmente, per cui alcune operazioni potrebbero essergli precluse: in caso questo interferisca con il suo normale funzionamento sarà perciò necessario dargli totale accesso, ossia considerarla fidata (trusted), consci dei possibili rischi di sicurezza per tutte le applicazioni (anche di altri utenti) eseguite sullo stesso server X e per gli input immessi dall'utente.
In Debian e derivate, questa modalità presenta un'ulteriore difficoltà, perché l'opzione è ignorata di default, a meno che l'opzione ForwardX11Trusted sia anche impostata a no, via linea di comando (opzione -o
) oppure in un file di configurazione (quello di sistema /etc/ssh/ssh_config
, valido per tutti gli utenti; oppure quello specifico per ogni utente in ~/.ssh/config
; si noti che il nome del primo è ssh_config, mentre il secondo solo config).
Utilizzo
Dalla macchina client è sufficiente lanciare ssh
con l'opzione -X
:
$ ssh -o "ForwardX11Trusted=no" -X utente_remoto@host_remoto utente_remoto@host_remoto:~$ (<-- sessione SSH)
per avviare una nuova sessione della shell testuale predefinita.
All'interno di questa sessione sarà possibile avviare applicazioni grafiche sulla macchina remota, che saranno visualizzate e si potrà interagirvi tramite il server X locale, come se si trattasse di una qualsiasi altra applicazione, ma con access control attivo per isolare parzialmente questa applicazione (untrusted) da quelle locali.
Per esempio:
utente_remoto@host_remoto:~$ evince
lancia il programma evince
sulla macchina remota (dove deve essere installato), visualizzandolo sul server X locale in esecuzione (dove può anche non essere installato). Se si apre un documento, si noterà che si sta esplorando il file system dell'utente remoto sulla macchina remota.
Quando si ha terminato è sufficiente chiudere la sessione, scrivendo il comando exit
oppure premendo Ctrl-d
:
utente_remoto@host_remoto:~$ exit (<-- sessione SSH) $ (<-- shell locale)
In alternativa è possibile specificare direttamente il comando da eseguire. Per esempio con evince
:
$ ssh -o "ForwardX11Trusted=no" -X utente_remoto@host_remoto -- evince
In tal caso la sessione SSH sarà terminata quando si chiuderà l'applicazione.
Per non scrivere ForwardX11Trusted ogni volta, basta scriverlo nella propria ~/.ssh/config
oppure in /etc/ssh/ssh_config
, lato client:
ForwardX11Trusted="no"
Le modifiche hanno effetto immediatamente, fin dalla successiva esecuzione di ssh -X ...
.
Compressione
Un'opzione utile è -C
, che permette la compressione del traffico di rete, in particolare quello reindirizzato al server X locale, il che può velocizzare i tempi di risposta delle applicazioni remote:
$ ssh -X -C utente_remoto@host_remoto
In questo esempio si dà per scontato che ForwardX11Trusted sia già impostato in un file di configurazione. E si noti che la compressione può essere abilitata di default in maniera analoga con l'opzione Compression, ma in genere è preferibile abilitare la compressione soltanto quando si avvia un'applicazione grafica con X11 forwarding, a meno che non si abbia una connessione molto lenta.
Avvio di un'intera sessione grafica
Se si vuole gestire tutte le applicazioni senza lanciarle da terminale, è possibile avviare un'intera sessione, sfruttando un server X annidato che agisce come proxy.
A titolo di esempio come sessione grafica si considera blackbox, che rende disponibile un ambiente grafico minimale e quindi molto veloce, che si occupa soltanto della gestione delle finestre, dei menù accessibili con il mouse e di un pannello con gli spazi di lavoro. Dev'essere installato sulla macchina remota, si consiglia in combinazione a menu:
# apt install blackbox menu
Sulla macchina locale, deve essere invece installato un server grafico annidato che faccia da proxy per l'X11 forwarding, come per esempio Xephyr
, che è un'evoluzione più veloce e raccomandata del precedente Xnest
:
# apt install xserver-xephyr
Sulla macchina locale, preparo quindi il server grafico proxy, lanciandolo in background (come utente normale, senza privilegi):
$ Xephyr :1 -ac -nolisten tcp -screen 1024x768 &
dove:
- :1 è un display libero (per esempio se
$DISPLAY
è :0 e non ci sono altri server X in esecuzione; altrimenti bisogna usarne un altro); - -ac significa di disabilitare l'access control (per le sole applicazioni all'interno di Xephyr; purtroppo non è possibile utilizzare entrambi gli access control, non disponendo la versione compilata di Xephyr di un metodo per generare un cookie sicuro quando interrogata con
xauth generate ...
); - -nolisten tcp disabilita il protocollo TCP, permettendo soltanto connessioni locali (o redirette, come quelle via SSH);
- -screen XRESxYRES determina la risoluzione della finestra, che di default (e per ragioni di sicurezza) non potrà essere ridimensionata;
- & al termine del comando, serve per lanciarlo in background (è un'istruzione della shell, non di
Xephyr
).
Poi lancio blackbox
sul display (:1 o comunque quello usato con Xephyr
) del server proxy. Sempre dalla macchina locale:
$ DISPLAY=:1 ssh -o "ForwardX11Trusted=no" -X -C utente_remoto@host_remoto -- blackbox
Nella finestra aperta da Xephyr
si vedrà l'ambiente grafico di blackbox
, da cui sarà possibile aprire tutte le applicazioni installate sulla macchina remota, senza bisogno di lanciarle singolarmente da terminale.
Con script
Ovviamente si può automatizzare il tutto in uno script, una volta installato l'occorrente. Basterà per esempio creare un file blackbox-ssh.sh
contenente:
#! /bin/sh # lancia Xephyr su display :1 Xephyr :1 -ac -nolisten tcp -screen 1024x768 & pid_xephyr=$! # lancia blackbox via ssh su display :1 exit_status=0 DISPLAY=:1 ssh -o "ForwardX11Trusted=no" -X -C "utente_remoto@host_remoto" -- blackbox || exit_status=$? # termina Xephyr quando blackbox termina kill $pid_xephyr 2> /dev/null { sleep 5; kill -9 $pid_xephyr 2> /dev/null ; }& wait $pid_xephyr 2> /dev/null # esce con l'exit status di blackbox exit $exit_status
E dargli i permessi di esecuzione:
$ chmod a+x ./blackbox-ssh.sh
Per lanciarlo con un click (se l'autenticazione avviene solo via chiavi e senza richiesta di passphrase) oppure con:
./blackbox-ssh.sh
Senza access control
Per disattivare il controllo di accesso, effettuando una connessione fidata (trusted X11 forwarding), si deve utilizzare l'opzione -Y
:
$ ssh -Y utente_remoto@host_remoto utente_remoto@host_remoto:~$ (<-- sessione SSH)
Questa opzione permette anche di ignorare un'eventuale opzione ForwardX11Trusted impostata in /etc/ssh/ssh_config
e/o quella nella propria home in ~/.ssh/config
.
Si ricorda nuovamente che in Debian e derivate, se l'opzione ForwardX11Trusted non è specificata, con l'opzione -o
da linea di comando oppure in un file di configurazione, non c'è differenza tra ssh -X
e ssh -Y
, poiché è ignorata di default.
Configurazione
Per maggiori dettagli sui file di configurazione, si rimanda a questa parte della guida.
Guida scritta da: HAL 9000 21:01, 21 lug 2019 (CEST) | Debianized 20% |
Estesa da: | |
Verificata da: | |
Verificare ed estendere la guida | Cos'è una guida Debianized |