home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1993 #1 / NN_1993_1.iso / spool / comp / windows / x / 20958 < prev    next >
Encoding:
Text File  |  1993-01-09  |  13.1 KB  |  438 lines
  1. Newsgroups: comp.windows.x
  2. Path: sparky!uunet!elroy.jpl.nasa.gov!sdd.hp.com!saimiri.primate.wisc.edu!ames!pacbell.com!rtech!ingres!mikeg
  3. From: mikeg@Ingres.COM (Mike Glendinning)
  4. Subject: Re: How do I generate valid XDM-AUTHORIZATION-1 ?
  5. Message-ID: <1993Jan9.173603.24271@pony.Ingres.COM>
  6. Organization: Ingres Corporation
  7. References: <fXxsqnx@quack.sac.ca.us>
  8. Date: 9 Jan 93 17:36:03 GMT
  9. Lines: 427
  10.  
  11. It is possible to add hexkeys for XDM-AUTHORIZATION-1 using the
  12. standard 'xauth' command.  The trick is to leave the 8 most
  13. significant bits of the DES key as zero.
  14.  
  15. As you pointed out, the 128-bit hexkey for XDM-AUTHORIZATION-1
  16. is composed of two parts: 64 bits of random data and a 56-bit
  17. DES key.  The 56-bit key is stored in the lower end of a 64-bit
  18. field.  You specify the full 128 bits to 'xauth' with the
  19. random data first.
  20.  
  21. For example, the following 'xauth' command generates a valid
  22. hexkey for XDM-AUTHORIZATION-1:
  23.  
  24.    xauth add :0 XDM-AUTHORIZATION-1 aabbccddeeffaabb00aabbccddeeffaa
  25.  
  26.                                                     ^^ zeros!!
  27.  
  28. Note that the only "win" with XDM-AUTHORIZATION-1 as opposed to
  29. MIT-MAGIC-COOKIE-1 is that the key is not transmitted
  30. in the X connection information by each client and thus you
  31. are not prone to networking snooping (people with PC's on
  32. your Ethernet!).  If you have a secure way of transmitting the
  33. 128-bit hexkey from the server machine to the client machine,
  34. then great!  Otherwise, there is no real benefit.  Unfortunately,
  35. since the key is stored in the Unix filesystem, you're limited by
  36. the security provided there.  And if you are using NFS, then you might
  37. as well forget it anyway, as NFS provides almost No File Security!
  38.  
  39. Also, beware of trying to use *only* XDM-AUTHORIZATION-1.  If you
  40. do this, then R4 based clients will not be able to connect as
  41. they don't know about XDM-AUTHORIZATION-1.  Always add a key for
  42. MIT-MAGIC-COOKIE-1 as well.  You will also potentially get the same
  43. problem with clients from other sources that contain their own Xlib
  44. that doesn't know about XDM-AUTHORIZATION-1.
  45.  
  46. Personally, I have modified 'xauth' to add a "create" command
  47. which will generate random hexkeys automatically.  This is
  48. much easier than getting "ksh" or "perl" to generate a random
  49. cookie for use by the 'xauth' "add" command.  With my changes
  50. (included below), you can just say:
  51.  
  52.    xauth create :0 && xauth create `hostname`:0
  53.  
  54. in order to generate a full set of authorization information for
  55. display number 0 on the local host.  The technique used is exactly
  56. the same as the one used by 'xdm' (in fact, I borrowed the code from
  57. there).  If you just want to generate a random key for a particular
  58. protocol, you can say something like:
  59.  
  60.    xauth create :0 MIT-MAGIC-COOKIE-1
  61.  
  62. The abbreviation "." for "MIT-MAGIC-COOKIE-1" is supported.
  63.  
  64. I would appreciate some comments on these patches, as I am
  65. rather surprised that nobody has done it before.  Of course,
  66. the 'xauth' "add" command is required, but isn't "create"
  67. more useful?
  68.  
  69. By the way, these patches are for the X11R5pl21 version
  70. of 'xauth'.
  71.  
  72. -Mike Glendinning, Ingres UK (mikeg@ingres.com).
  73.  
  74.  
  75. *** Imakefile.orig    Thu Jan  7 16:46:53 1993
  76. --- Imakefile    Fri Jan  8 10:26:25 1993
  77. ***************
  78. *** 1,9 ****
  79.   XCOMM $XConsortium: Imakefile,v 1.14 91/07/16 23:06:17 gildea Exp $
  80.   DEPLIBS = $(DEPXAUTHLIB) $(DEPXMULIB)
  81.   LOCAL_LIBRARIES = $(XAUTHLIB) $(XMULIB)
  82.              SRCS = xauth.c gethost.c process.c parsedpy.c
  83.              OBJS = xauth.o gethost.o process.o parsedpy.o
  84. !         DEFINES = ConnectionFlags $(SIGNAL_DEFINES)
  85.   
  86.   ComplexProgramTarget(xauth)
  87.   
  88. --- 1,14 ----
  89.   XCOMM $XConsortium: Imakefile,v 1.14 91/07/16 23:06:17 gildea Exp $
  90. + 
  91. + #ifdef HasXdmAuth
  92. + XDMAUTH_DEFINES = -DHASXDMAUTH
  93. + #endif
  94. + 
  95.   DEPLIBS = $(DEPXAUTHLIB) $(DEPXMULIB)
  96.   LOCAL_LIBRARIES = $(XAUTHLIB) $(XMULIB)
  97.              SRCS = xauth.c gethost.c process.c parsedpy.c
  98.              OBJS = xauth.o gethost.o process.o parsedpy.o
  99. !         DEFINES = ConnectionFlags $(SIGNAL_DEFINES) $(XDMAUTH_DEFINES)
  100.   
  101.   ComplexProgramTarget(xauth)
  102.   
  103. *** process.c.orig    Thu Jan  7 16:46:53 1993
  104. --- process.c    Fri Jan  8 11:52:46 1993
  105. ***************
  106. *** 40,47 ****
  107.   #define DEFAULT_PROTOCOL "MIT-MAGIC-COOKIE-1"
  108.   #endif
  109.   
  110. ! #define SECURERPC "SUN-DES-1"
  111.   
  112.   #define XAUTH_DEFAULT_RETRIES 10    /* number of competitors we expect */
  113.   #define XAUTH_DEFAULT_TIMEOUT 2        /* in seconds, be quick */
  114.   #define XAUTH_DEFAULT_DEADTIME 600L    /* 10 minutes in seconds */
  115. --- 40,56 ----
  116.   #define DEFAULT_PROTOCOL "MIT-MAGIC-COOKIE-1"
  117.   #endif
  118.   
  119. ! #define MITMAGICCOOKIE        "MIT-MAGIC-COOKIE-1"
  120. ! #define XDMAUTHORIZATION    "XDM-AUTHORIZATION-1"
  121. ! #define SECURERPC        "SUN-DES-1"
  122.   
  123. + #ifndef DEFAULT_RANDOM_FILE
  124. + #define DEFAULT_RANDOM_FILE "/dev/mem"
  125. + #endif
  126. + 
  127. + #define FILE_LIMIT 1024            /* no more than this many buffers */
  128. + #define AUTH_DATA_LEN 16        /* bytes of authorization data */
  129. + 
  130.   #define XAUTH_DEFAULT_RETRIES 10    /* number of competitors we expect */
  131.   #define XAUTH_DEFAULT_TIMEOUT 2        /* in seconds, be quick */
  132.   #define XAUTH_DEFAULT_DEADTIME 600L    /* 10 minutes in seconds */
  133. ***************
  134. *** 86,96 ****
  135.   
  136.   static int do_list(), do_merge(), do_extract(), do_add(), do_remove();
  137.   static int do_help(), do_source(), do_info(), do_exit();
  138. ! static int do_quit(), do_questionmark();
  139.   
  140.   static CommandTable command_table[] = {    /* table of known commands */
  141.       { "add",      2, 3, do_add,
  142.       "add dpyname protoname hexkey   add entry" },
  143.       { "exit",     3, 4, do_exit,
  144.       "exit                           save changes and exit program" },
  145.       { "extract",  3, 7, do_extract,
  146. --- 95,107 ----
  147.   
  148.   static int do_list(), do_merge(), do_extract(), do_add(), do_remove();
  149.   static int do_help(), do_source(), do_info(), do_exit();
  150. ! static int do_quit(), do_questionmark(), do_create();
  151.   
  152.   static CommandTable command_table[] = {    /* table of known commands */
  153.       { "add",      2, 3, do_add,
  154.       "add dpyname protoname hexkey   add entry" },
  155. +     { "create",   2, 6, do_create,
  156. +     "create dpyname [protoname]     create random entry" },
  157.       { "exit",     3, 4, do_exit,
  158.       "exit                           save changes and exit program" },
  159.       { "extract",  3, 7, do_extract,
  160. ***************
  161. *** 1091,1096 ****
  162. --- 1102,1235 ----
  163.       return errors;
  164.   }
  165.   
  166. + #ifdef HASXDMAUTH
  167. + static longtochars (l, c)
  168. +     long l;
  169. +     unsigned char *c;
  170. + {
  171. +     c[0] = (l >> 24) & 0xff;
  172. +     c[1] = (l >> 16) & 0xff;
  173. +     c[2] = (l >> 8) & 0xff;
  174. +     c[3] = l & 0xff;
  175. + }
  176. + 
  177. + static int sumfile (name, sum)
  178. +     char *name;
  179. +     long sum[2];
  180. + {
  181. +     long buf[1024*2];
  182. +     int cnt;
  183. +     int fd;
  184. +     int loops;
  185. +     int reads;
  186. +     int i;
  187. + 
  188. +     fd = open (name, 0);
  189. +     if (fd < 0)
  190. +     return 0;
  191. +     reads = FILE_LIMIT;
  192. +     while ((cnt = read (fd, buf, sizeof (buf))) > 0 && --reads > 0) {
  193. +     loops = cnt / (2 * sizeof (long));
  194. +     for (i = 0; i < loops; i += 2) {
  195. +         sum[0] += buf[i];
  196. +         sum[1] += buf[i+1];
  197. +     }
  198. +     }
  199. +     close (fd);
  200. +     return 1;
  201. + }
  202. + #endif
  203. + 
  204. + static genauth(authstr, len)
  205. +     char *authstr;
  206. +     int len;
  207. + {
  208. +     long ldata[2];
  209. + 
  210. + #ifdef ITIMER_REAL
  211. +     {
  212. +     struct timeval  now;
  213. +     struct timezone zone;
  214. +     gettimeofday (&now, &zone);
  215. +     ldata[0] = now.tv_sec;
  216. +     ldata[1] = now.tv_usec;
  217. +     }
  218. + #else
  219. +     {
  220. +     long time ();
  221. + 
  222. +     ldata[0] = time ((long *) 0);
  223. +     ldata[1] = getpid ();
  224. +     }
  225. + #endif
  226. + 
  227. + #ifdef HASXDMAUTH
  228. +     {
  229. +     typedef unsigned char auth_cblock[8];   /* block size */
  230. +     typedef struct auth_ks_struct { auth_cblock _; }
  231. +                       auth_wrapper_schedule[16];
  232. + 
  233. +     int i, bit, authi;
  234. +     char *authc;
  235. +     auth_wrapper_schedule schedule;
  236. +     unsigned char data[8];
  237. +     static unsigned char key[8];
  238. +     static int xdmcpauthinited = 0;
  239. + 
  240. +     longtochars (ldata[0], data+0);
  241. +     longtochars (ldata[1], data+4);
  242. +     if (!xdmcpauthinited) {
  243. +         char *name, *getenv();
  244. +         long sum[2];
  245. +         unsigned char tmpkey[8];
  246. + 
  247. +         name = getenv ("RANDOM_FILE");
  248. +         if (name == NULL)
  249. +             name = DEFAULT_RANDOM_FILE;
  250. +         if (!sumfile (name, sum)) {
  251. +             sum[0] = time ((long *) 0);
  252. +             sum[1] = time ((long *) 0);
  253. +         }
  254. +         longtochars (sum[0], tmpkey+0);
  255. +         longtochars (sum[1], tmpkey+4);
  256. +         tmpkey[0] = 0;
  257. +         _XdmcpWrapperToOddParity (tmpkey, key);
  258. + 
  259. +         xdmcpauthinited = 1;
  260. +     }
  261. +     _XdmcpAuthSetup (key, schedule);
  262. +     for (i = 0; i < len; i++) {
  263. +         authi = 0;
  264. +         for (bit = 1; bit < 256; bit <<= 1) {
  265. +             _XdmcpAuthDoIt (data, data, schedule, 1);
  266. +             if (data[0] + data[1] & 0x4)
  267. +                 authi |= bit;
  268. +         }
  269. +         authc = hex_table[authi & 0xff];
  270. +         authstr[i*2] = authc[0];
  271. +         authstr[i*2+1] = authc[1];
  272. +     }
  273. +     authstr[len*2] = '\0';
  274. +     }
  275. + #else
  276. +     {
  277. +     int i, seed, value;
  278. +     char *authc;
  279. + 
  280. +     seed = (ldata[0]) + (ldata[1] << 16);
  281. +     srand (seed);
  282. +     for (i = 0; i < len; i++)
  283. +     {
  284. +         value = rand ();
  285. +         authc = hex_table[value & 0xff];
  286. +         authstr[i*2] = authc[0];
  287. +         authstr[i*2+1] = authc[1];
  288. +     }
  289. +     authstr[len*2] = '\0';
  290. +     }
  291. + #endif
  292. + }
  293. + 
  294.   /* ARGSUSED */
  295.   static int remove_entry (inputfilename, lineno, auth, data)
  296.       char *inputfilename;
  297. ***************
  298. *** 1466,1471 ****
  299. --- 1605,1691 ----
  300.   
  301.       xauth_modified = True;
  302.       return 0;
  303. + }
  304. + 
  305. + /*
  306. +  * create displayname protocolname
  307. +  */
  308. + static int do_create (inputfilename, lineno, argc, argv)
  309. +     char *inputfilename;
  310. +     int lineno;
  311. +     int argc;
  312. +     char **argv;
  313. + { 
  314. +     int p1, p2;
  315. +     char *dpyname;
  316. +     char *protoname;
  317. +     char authstr[AUTH_DATA_LEN*2+1];
  318. +     char *addcmds[5];
  319. +     int errors;
  320. + 
  321. +     if (argc < 2 || argc > 3 || !argv[1]) {
  322. +     prefix (inputfilename, lineno);
  323. +     badcommandline (argv[0]);
  324. +     return 1;
  325. +     }
  326. + 
  327. +     dpyname = argv[1];
  328. + 
  329. +     addcmds[0] = "create"; /* OK since do_add won't check! */
  330. +     addcmds[1] = dpyname;
  331. +     addcmds[2] = ""; /* protocol filled-in later on */
  332. +     addcmds[3] = authstr;
  333. +     addcmds[4] = NULL;
  334. + 
  335. +     if (argc == 3 && argv[2]) {
  336. +     protoname = argv[2];
  337. +     if (strcmp (protoname, DEFAULT_PROTOCOL_ABBREV) == 0) {
  338. +         protoname = DEFAULT_PROTOCOL;
  339. +     }
  340. +     p1 = (strcmp (protoname, MITMAGICCOOKIE) == 0);
  341. + #ifdef HASXDMAUTH
  342. +     p2 = (strcmp (protoname, XDMAUTHORIZATION) == 0);
  343. + #else
  344. +     p2 = 0;
  345. + #endif
  346. +     if (p1 || p2) {
  347. +         genauth(authstr, AUTH_DATA_LEN);
  348. +         if (p2) {
  349. +             authstr[16] = '0';
  350. +             authstr[17] = '0';
  351. +         }
  352. +         addcmds[2] = protoname;
  353. +         errors = do_add (inputfilename, lineno, 4, addcmds);
  354. +     }
  355. +     else {
  356. +         prefix (inputfilename, lineno);
  357. +         fprintf (stderr,
  358. +                  "don't know how to create protocol %s\n", protoname);
  359. +         return 1;
  360. +     }
  361. +     }
  362. +     else {
  363. + 
  364. +     /*
  365. +      * by default, generate both MIT-MAGIC-COOKIE-1 and XDM-AUTHORIZATION-1
  366. +      */
  367. +     genauth(authstr, AUTH_DATA_LEN);
  368. +     addcmds[2] = MITMAGICCOOKIE;
  369. +     errors = do_add (inputfilename, lineno, 4, addcmds);
  370. + #ifdef HASXDMAUTH
  371. +     if (errors)
  372. +         return errors;
  373. + 
  374. +     genauth(authstr, AUTH_DATA_LEN);
  375. +     authstr[16] = '0';
  376. +     authstr[17] = '0';
  377. +     addcmds[2] = XDMAUTHORIZATION;
  378. +     errors = do_add (inputfilename, lineno, 4, addcmds);
  379. + #endif
  380. + 
  381. +     }
  382. + 
  383. +     return errors;
  384.   }
  385.   
  386.   /*
  387. *** xauth.man.orig    Thu Jan  7 16:46:54 1993
  388. --- xauth.man    Fri Jan  8 09:35:28 1993
  389. ***************
  390. *** 57,62 ****
  391. --- 57,70 ----
  392.   A protocol name consisting of just a 
  393.   single period is treated as an abbreviation for \fIMIT-MAGIC-COOKIE-1\fP.
  394.   .TP 8
  395. + .B "create \fIdisplayname \fR[\fIprotocolname\fP]"
  396. + An authorization entry for the indicated display using the given protocol
  397. + is created using a random number generator and added to the authorization file.
  398. + A protocol name consisting of just a 
  399. + single period is treated as an abbreviation for \fIMIT-MAGIC-COOKIE-1\fP.
  400. + If the protocol name is not specified, then authorization entries are
  401. + created for all supported protocols.
  402. + .TP 8
  403.   .B "[n]extract \fIfilename displayname..."
  404.   Authorization entries for each of the specified displays are written to the 
  405.   indicated file.  If the \fInextract\fP command is used, the entries are written
  406. ***************
  407. *** 111,117 ****
  408.   .B "?"
  409.   A short list of the valid commands is printed on the standard output.
  410.   .SH "DISPLAY NAMES"
  411. ! Display names for the \fIadd\fP, \fI[n]extract\fP, \fI[n]list\fP,
  412.   \fI[n]merge\fP, and \fIremove\fP commands use the same format as the
  413.   DISPLAY environment variable and the common \fI-display\fP command line
  414.   argument.  Display-specific information (such as the screen number)
  415. --- 119,125 ----
  416.   .B "?"
  417.   A short list of the valid commands is printed on the standard output.
  418.   .SH "DISPLAY NAMES"
  419. ! Display names for the \fIadd\fP, \fIcreate\fP, \fI[n]extract\fP, \fI[n]list\fP,
  420.   \fI[n]merge\fP, and \fIremove\fP commands use the same format as the
  421.   DISPLAY environment variable and the common \fI-display\fP command line
  422.   argument.  Display-specific information (such as the screen number)
  423. ***************
  424. *** 153,157 ****
  425.   Copyright 1989, Massachusetts Institute of Technology.
  426.   .br
  427.   See \fIX(1)\fP for a full statement of rights and permissions.
  428. ! .SH AUTHOR
  429.   Jim Fulton, MIT X Consortium
  430. --- 161,167 ----
  431.   Copyright 1989, Massachusetts Institute of Technology.
  432.   .br
  433.   See \fIX(1)\fP for a full statement of rights and permissions.
  434. ! .SH AUTHORS
  435.   Jim Fulton, MIT X Consortium
  436. + .br
  437. + Mike Glendinning, Ingres Corporation
  438.