Linux 桌面被小孩随意攻破，程序员大神与官方人员展开 battle-低调大师

Linux 桌面被小孩随意攻破，程序员大神与官方人员展开 battle

2021-01-23 648

Linux Mint 项目已于近日修复了一个安全漏洞，该漏洞可能允许威胁参与者绕过操作系统的屏幕保护程序及其密码并访问锁定的桌面。

漏洞最初由一位昵称为 robo2bobo 的用户在 Linux Mint 的 bug 报告中提出。robo2bobo 用的桌面系统是 Cinnamon，他表示，自己两个没有任何技术背景的孩子在键盘和屏幕上乱按一通后，就导致了 Linux Mint 屏保程序崩溃；从而轻松绕过了安全密码，进入了被锁定的 Linux 系统桌面。

并且他还进行了复现，证明这不是一个偶然事件，“我以为这是一个独特的事件，但他们成功地做了第二次”。该 bug 一经提出，就引起了不少用户的同感；他们反馈自己遇到了同样的问题，并且用的桌面系统也是 Cinnamon。据悉，Cinnamon 4.2 以上的桌面系统，都会受到此 bug 的影响。

对此，Linux Mint 首席开发者 Clement Lefebvre 称，这个问题最终被追踪到 libcaribou，即 Linux Mint 使用的桌面界面 Cinnamon 所附带的屏幕键盘（OSK）组件。具体地说，当用户按下屏幕键盘上的 "ē "键时，就会出现这个 bug。

大多数情况下，这个 bug 应该会导致 Cinnamon 桌面进程崩溃；但如果在屏保程序下打开软键盘，该 bug 则会引发屏保崩溃，使用户可访问底层桌面。Lefebvre 表示，该漏洞是在 Linux Mint OS 于去年 10 月修补另一个漏洞（称为 CVE-2020-25712）时引入的。目前，Linux Mint 已经为这个漏洞推出了一个新补丁。

然而，事情到这里还不算结束。著名的程序员大神 JWZ 针对此事件专门发布了一篇名为“I told you so, 2021 edition ”的文章吐槽称，自己早在 17 年前（2004 年）就警告过了官方。“如果没有在 Linux 上运行 XScreenSaver，那么可以你的屏幕就相当于没有锁定。”

JWZ 指出，后来每隔几年他都会遇到此类 bug；然而每次当他反馈这个问题时，Linux Mint 方面都回复称“已经修复了”。他对相关的四次安全漏洞进行了记录，具体如下：

JWZ 认为，出现这一 bug 的原因有几个：

一是编写安全关键型代码很难，大多数人都做不到。
二是锁定和认证是一个操作系统级别的问题。而 X11 是 Linux 桌面计算机操作系统的核心，但它的设计没有任何安全性可言，因此锁定程序必须作为正常的、无权限的、用户级的应用程序运行。这样一来，问题就更难解决了。
还有就是 X11 架构存在着不可修复的严重问题。“X11 太老了、太僵化了，而且有太多的利益相关者陷入了泥潭，永远不可能再对它进行任何有意义的改变。这就是为什么人们一直在试图取代 X11 但却失败了，因为它太根深蒂固了。”

在文章的最后，JWZ 还表示，自己很迫切的想知道官方会如何解决这个问题。

紧接着，就有网友将 JWZ 的这一文章链接发布在了 Linux Mint 的 bug 报告下，并艾特了相关的官方人员，从而引来了 Lefebvre 的回复。对此，Lefebvre 丝毫不客气的表示，JWZ 的博文令人痛苦、没有丝毫建设性，还包含了一些废话；他虽然提出了问题，但没有给出任何解决方案。

同时，Lefebvre 也就 JWZ 提出的批评逐一进行了反驳。并喊话称，希望 JWZ 不要做一个只会口嗨的人，毕竟漂亮话谁都会说。与其这样，还不如双方携手共建一条最安全的道路；一起加入到代码审计和功能开发中来，做个能解决问题的人。

“比起一篇愚蠢的'I-told-u-so'博文，我更愿意接受您对 light-locker 的审核。不要苦恼，要成为解决方案的一部分。”

微信关注我们

原文链接：https://www.oschina.net/news/127538/linuxmint-cinnamon-screensaver

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

每日一博 | WidgetKit 入门指北

作者：zvving，iOS 开发者，现就职于字节跳动音乐团队本主题基于 https://developer.apple.com/videos/play/wwdc2020/10028/ 梳理概述 WidgetKit 是 WWDC20 备受关注的新特性，支持在 iOS、iPadOS 主屏幕，今日视图以及 macOS 通知栏展示动态信息和个性化内容。众所周知，Apple 对 iOS 主屏幕的改进一直保持克制，这次引入 Widget 是一次巨大的改动。Widget 如何提供一致的跨平台体验？如何提供实时的个性化内容？如何引入 Widget 同时最大可能减少主屏幕的性能、电量开销？本文作为 WidgetKit 速览，带你快速了解这些内容。优秀 Widget 的三要素设计优秀的 Widget，包含如下三个要素 Glanceable 一目了然 Relevant 高相关性 Personalized 个性化 Glanceable 一目了然 Widgets are not mini-apps Widget 并不是（常驻桌面的）微型应用程序，这句话被反复提起。在一闪而过的快速切换应用的主屏幕里，设...

2021-01-23

562

目前，微软开源的 win32metadata 项目和对应的 WIN32 语言项目已可在 GitHub 预览。众所周知，Win32 API 提供了强大的应用开发功能，然而官方只有C 和 C++ 版本，其他语言，比如 C# 和 Rust，则需要包装或绑定才能访问这些 API。这要求开发人员手工包装或绑定，所以容易出错，并且难以扩展。为了解决这一问题，微软创建了 win32metadata 项目并开源。 win32metadata项目的目标是在元数据中提供 Win32 API 的完整描述，以便用自动方式将其投影到任何语言，从而提高准确性并最大程度地减少维护开销。该项目的输出是兼容 ECMA-335 的 Windows 元数据文件（winmd），并且发布到 Nuget.org，其中包含描述整个 Win32 API 的元数据。通过在开源社区中开发此工具，现在已经催生了多个语言项目。 C#/Win32 C#/Win32项目由 .NET 上 PInvoke 项目的所有者 Andrew Arnott 合作构建，它解析元数据并生成调用所需 API 的 P/Invoke 包装器。首先从 NuGet.or...

2021-01-23

589

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。