X11 下快照的安全性

Question

随着 snaps 发布到 16.04 LTS，著名的 Linux 内核贡献者和核心操作系统开发人员 Matthew Garrett发表了一篇博客文章，他说：

...快照不受限制地运行并且可以访问几乎整个系统

如果使用快照的目的是强制将应用程序与整个系统隔离，为什么他们能够访问系统并不受限制地运行？应该提交错误报告吗？是否将采取任何措施来解决这个问题？

Answer 1

这特别与使用 X11 的 snap 相关。换句话说，snap不是不受限制地运行，但是如果 snap 的限制包括对 X 的访问，那么是的：它可以访问 X。它不涉及不使用unity7或x11接口的snap 。该博客文章中描述的问题是众所周知的 X 限制，也是开发替代技术（例如 Mir）的原因之一。

Gustavo Niemeyer 写了一篇很好的博客文章来讨论这个问题。为了后代和完整性，我将在这里引用：

具有安全意识的人会发现 X11 实际上并不是一个安全协议。当我们将此权限交给应用程序时，可能会出现许多系统滥用。其他接口（例如 home）将授予对用户 $HOME 目录中每个非隐藏文件（不以点开头的文件）的快照访问权限，这意味着恶意应用程序可能会窃取个人信息并通过网络发送（假设它还定义了一个网络插头）。

有些人可能会对这种情况感到惊讶，但这是对 Snaps 和 Snappy 作为软件平台的作用的误解。当您从 Ubuntu 存档安装软件时，这是对 Ubuntu 和 Debian 开发人员的信任声明。当您从各自的档案中安装 Google 的 Chrome 或 MongoDB 二进制文件时，这是对这些开发人员的信任声明（这些开发人员在您的系统上有根！）。Snappy 并没有消除对这种信任的需要，因为一旦您授予某个软件访问您的个人文件、网络摄像头、麦克风等的权限，您就需要相信它不会恶意使用这些权限。

Snappy 在这张图片中的限制点是启用一个软件生态系统，该生态系统能够以清晰和可观察的方式准确控制允许的内容以及允许的对象，此外还有我们在 Linux 世界中都学会欣赏的相同程序性关注，而不是它。阻止人们使用系统中的所有相关资源只会迫使他们通过不太安全的机制使用相同的软件，而不是解决问题。

而我们今天所拥有的只是一个开始。这些接口很快就会变得更丰富、更细粒度，包括资源选择（例如哪个串行端口？），其中一些将完全消失，以支持更安全的选择（例如 Unity 8）。