home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #26 / NN_1992_26.iso / spool / alt / security / 4782 < prev    next >
Encoding:
Text File  |  1992-11-09  |  2.2 KB  |  49 lines
  1. Newsgroups: alt.security
  2. Path: sparky!uunet!ferkel.ucsb.edu!taco!rock!stanford.edu!agate!netsys!decwrl!elroy.jpl.nasa.gov!sdd.hp.com!scd.hp.com!hpscdm!cupnews0.cup.hp.com!hppad.waterloo.hp.com!dolson
  3. From: dolson@waterloo.hp.com (Dave Dolson)
  4. Subject: Re: Window watching programs
  5. Sender: news@waterloo.hp.com (NetNews)
  6. Message-ID: <BxGuDB.6nC@waterloo.hp.com>
  7. Date: Mon, 9 Nov 1992 20:31:58 GMT
  8. Distribution: na
  9. References: <Bx77D0.1In@cs.dal.ca>
  10. Organization: HP Panacom Div Waterloo ON Canada
  11. X-Newsreader: TIN [version 1.1.4 PL6]
  12. Lines: 35
  13.  
  14. Scott King (gordon@ug.cs.dal.ca) wrote:
  15. : I have recently come across a program on the net that will allow a user to
  16. : continuously monitor a window (including the root window) on another
  17. : machine.  
  18. Not only that, but you have complete read/write access to every window or
  19. resource in the X system.  You can close all their windows, lock up the
  20. terminal, paint them black, etc.
  21.  
  22. :           The disturbing part of it is that you seem to be able to do
  23. : this to any machine without even having an account on it or having to set
  24. : up permission to do so with xhost.  Is there a way to protect a machine
  25. : from people using such programs? If so, how?
  26. Unfortunately, security measures never seem to be on by default.  Turning it on
  27. is machine-specific.  On workstations this may be an X command line option.  
  28. On X terminals it may be a config screen option. 
  29.  
  30. Any X implementation which claims to be X11/R4 or later should have implemented
  31. client authorization (MIT-MAGIC-COOKIE-1).  This applies to X terminals as
  32. well.  
  33. I don't know about other vendors, but on Hewlett Packard machines, a 16-byte 
  34. "magic cookie" is stored in a file in your home directory called .Xauthority.  
  35. It is readable only by you.  All X applications must read the file and present
  36. the cookie to the X server before being allowed to connect.  The cookie is 
  37. generated at the start of each session by 'xdm'.
  38.  
  39. A caveat of using client authorization is that all X applications must have
  40. been compiled using X11R4 or later libraries.
  41.  
  42. Of course this is only secure if no one is snooping on your LAN.
  43.  
  44. David Dolson
  45. Hewlett-Packard (Canada) Ltd.
  46. Panacom Automation Division
  47. (519) 886-5320
  48. dolson@waterloo.hp.com
  49.