Я обнаружил, что большинство программ аутентификации пользователей, которые используются в Ubuntu, не являются gksu, но это не проблема. Проблема в том, что эти программы не блокируют клавиатуру(в то время как gksu делает).
Например, программаxneur (аналоговый пунтопереключатель)может регистрировать нажатия клавиш. И когда я включил эту опцию, я обнаружил в этом журнале свой пароль, используемый для аутентификации приложений.
Почему Ubuntu использует такой небезопасный метод аутентификации? Есть ли конкретная причина, по которой приложения не используют gksuдля аутентификации? Если да, то почему, если нет, не следует ли принять меры для обеспечения того, чтобы приложения использовали gksuдля аутентификации?
решение1
sudo предоставляет доступ к командам. Если у вас есть доступ к shutdownкоманде, вы всегда можете завершить работу системы. PolicyKit предоставляет доступ к функциям. Например, вы можете сказать, что пользователю разрешено перезагружать систему, но только если нет других зарегистрированных пользователей. Правила PolicyKit можно создать практически для всего, что вы можете делать в своей системе. Например, может быть полезно сказать, что любому члену семьи должно быть разрешено устанавливать официально выпущенные обновления безопасности из официальных репозиториев, но не устанавливать новое программное обеспечение. Это выходит далеко за рамки sudo; если у вас есть доступ к apt-get, то у вас есть доступ к apt-get. Детализации нет.
Однако, почему диалог PolicyKit не захватывает входные данные, я не знаю. Вы можете подать заявку на ошибку на Launchpad.net.