staging.inyokaproject.org

user_unknown schrieb:

lightdm-gtk-greeter-settings-pkexec

@user-unknown

Ja, genau das ist ja das Programm, was Probleme verursacht. Ich komme bis zur Passworteingabe und dann bricht der Start ab, denn unter Prozesse ist auch nichts mehr zu finden.

Welches, pkexec oder synaptic-pkexec oder ein drittes?

Macht lightdm-gtk-greeter-settings-pkexec die gleichen Zicken?

Was hast Du denn kaputt gemacht? ☺

Das synaptic-pkexec. Das lightdm-gtk-greeter-settings-pkexec sagt so etwas:

lightdm-gtk-greeter-settings-pkexec
Invalid MIT-MAGIC-COOKIE-1 keyUnable to init server: Could not connect: Connection refused
Invalid MIT-MAGIC-COOKIE-1 keyUnable to init server: Verbindung ist gescheitert: Connection refused
/usr/bin/lightdm-gtk-greeter-settings-pkexec: Zeile 13:  4433 Speicherzugriffsfehler  (Speicherabzug geschrieben) pkexec "${APP_PATH}" "$@"

Das sieht auch nicht gut aus.

user_unknown schrieb:

Das sieht auch nicht gut aus.

Mir scheint auch, da ist etwas auf dem System faul. Ggf. erst mal sicher stellen, dass alle Pakete aktuell sind und dann booten. Also so etwas wie

1
2
3
4
5
6
7

(
set -e
sudo apt-get install -f --yes
sudo apt-get update
sudo apt-get dist-upgrade
sudo reboot
)

Kann man so in der Shell eingeben.

Bei meiner VM mit 17.10, GNOME, GDM3 und Wayland ist kein LightDM installiert und wenn ich

lightdm-gtk-greeter-settings-pkexec  

ausführe, kommt auch die Meldung, dass ich zuerst lightdm-gtk-greeter-settings installieren müsste. Ich nehme an, das können auch andere Nutzer mit Ubuntu 17.10 so bestätigen.

Auf meiner VM funktioniert übrigens auch meine Anleitung einwandfrei.

Dass pkexec in einer Wayland-Sitzung nicht funktioniert, ist normal und auch zu erwarten. Die Meldung lautet normalerweise in etwa so:

1
2
3
4
5

synaptic-pkexec 
No protocol specified
Unable to init server: Impossibile connettersi: Connessione rifiutata

(synaptic:2068): Gtk-WARNING **: cannot open display: :0 

, es wird also kein Speicherabzug geschrieben.

@rklm

Danke. Das ist, abgesehen von Fehlern durch eine Paketquelle, durchgelaufen nach deaktivieren der Quelle.

@apt-ghetto

Dann könnte ich trotz gnome am Login-Screen, was anderes als Wayland wählen ohne das meine Daten weg sind, oder?

Ich hatte nur schnell gesucht, ob noch andere Programme pkexec als Starter/Wrapper/Wasimmer nutzen, und gparted fand ich nicht so einladend, zum Testen:

1
2
3
4
5
6

locate pkexec
/usr/bin/gparted-pkexec
/usr/bin/lightdm-gtk-greeter-settings-pkexec
/usr/bin/pkexec
/usr/bin/synaptic-pkexec
# ... nicht ausführbares...

vielleicht gibt es unter 17.10 da ja anderes als unter 16.04 (xubuntu).

antishape schrieb:

Dann könnte ich trotz gnome am Login-Screen, was anderes als Wayland wählen ohne das meine Daten weg sind, oder?

Ja, das wechseln der Session von Wayland auf X hat keinen Einfluss auf deine Daten.

Und selbst wenn die Daten weg sind, hat man Backups, die man wieder einspielen kann. Hat man keine Backups, dann sind die Daten auch nicht wichtig. Das ist eine ganz einfache Grundregel der Informatik.

Mit X sollten dann auch deine Programme, die pkexec nutzen, wieder wie gewohnt funktionieren. Auf der anderen Seite sind dann auch wieder alle Schweinereien mit sudo möglich.

@user_unknown

Ich hab nur ein normales und das synaptic-pkexec, sowie eines mit .gz-Endung. Nichts ausführbares mehr.

@apt-ghetto

OK. Schweinereien? Die da wären? Alternative statt X und Wayland, ohne möglichen Schweinereien?

ps aux | grep pol

und

pkaction 

Gruß Taomon

antishape schrieb:

OK. Schweinereien? Die da wären?

Ganz beliebt ist beispielsweise das Starten von Gedit mit sudo. Auch Nautilus wird gerne mal mit sudo gestartet, oftmals sogar völlig unnötig. Aber der Fantasie sind keine Grenzen gesetzt, weswegen man auch jedes andere, grafische Programm gerne mal mit sudo startet, z.B. GParted oder Synaptic.

Dieses Problem wurde schon vor Jahren erkannt und die Lösung war/ist es, grafische Programme mit gksudo/kdesudo zu starten. Da allerdings der gemeine Linuxer auch nicht viel intelligenter ist, als der gemeine Windowsnutzer, nutzen viele nach wie vor einfach weiterhin sudo für alles. Es hat ja früher auch immer mit sudo funktioniert und über die Probleme, die früher, heute und in Zukunft dadurch entstanden sind, kann der gemeine Linuxer einfach hinwegsehen.

Es gibt neben sudo und gksudo/kdesudo noch eine dritte Möglichkeit, um grafische Programme mit den Rechten eines anderen Users auszuführen: PolicyKit. Als Beispiel sei hier synaptic-pkexec erwähnt.

Anhand diverser Designschwächen von X wurde dann, auch von ehemaligen X-Entwicklern, die Arbeit an Wayland begonnen. Mit der Konsequenz, dass gewisse Dinge (die Schweinereien) nicht mehr möglich sind.

Alternative statt X und Wayland, ohne möglichen Schweinereien?

Die Auswahl zwischen X und Wayland ist für viele schon zu gross.

@apt-ghetto

Ja, okay, aber was ist in Wayland dann die Alternativen, einen Workaround machen, die im schlimmsten Fall auch nicht viel sicherer ist als das, was in X gemacht wurde? Oder die Eingabe von Code im Terminal um so die Installation auszulösen? Aber letztendlich wird auch so die Passwortabfrage kommen bei einem entsprechenden Download, der es benötigt, oder?

Die Warnung im Wiki-Artikel zu PolicyKit ist ja auch nicht ohne Grund vorhanden. Wie genau ist "zu weit reichende Rechte" definiert? Ist das nicht eher ein subjektives Empfinden wenn es um den eigenen Rechner geht. Anders sieht es wahrscheinlich bei einem Server in einer Firma aus. Letztendlich auch das, was ich unter Workaround verstehen würde. Also, was wäre die optimale Lösung für ein Editieren der sources.list wenn nicht mit sudo oder gksudo? Wie verhält es sich bei dem Synaptic-Problem. Muss ich auf apt und Terminal umsteigen um eine gewisse Sicherheit zu haben? Denn ganz offensichtlich lässt sich das Synaptic selbst mit pkexec-Endung nicht mehr ausführen, alles andere wäre ein Workaround, was aus Deiner Sicht ja eine Unsicherheit mitbringt, die es so nicht unbedingt geben sollte.

@Taomon

Was soll das bewirken? Also, klar, das gibt aus - aber die weiteren Schritte für mich wären dann welche? Und was wäre das Ziel, wo Du mich damit hinführen möchtest?

Der 1. Befehl schaut nach ob überhaupts eine policykit-agent bei Dir läuft.

der 2. welche policy-kit-aktionen registriert sind.

und

dpkg -l | grep polk

was installiert ist.

Gruß Taomon

antishape schrieb:

Ja, okay, aber was ist in Wayland dann die Alternativen, einen Workaround machen, die im schlimmsten Fall auch nicht viel sicherer ist als das, was in X gemacht wurde?

Workarounds sind nur nötig, weil sehr viele Applikationen noch nicht auf Wayland portiert wurden. Das wird mit der Zeit besser werden.

Die Warnung im Wiki-Artikel zu PolicyKit ist ja auch nicht ohne Grund vorhanden.

Richtig. Allerdings wirst du als normaler Nutzer in den seltensten Fällen selbst solche Berechtigungen einstellen. Normalerweise nimmst du einfach die vom Entwickler und/oder Paketbetreuer, sofern vorhanden.

Wie genau ist "zu weit reichende Rechte" definiert? Ist das nicht eher ein subjektives Empfinden wenn es um den eigenen Rechner geht.

Es ist nicht immer einfach, zu wissen, welche Rechte man wirklich braucht, aber es gibt zum Beispiel das Principle_of_least_privilege.

Also, was wäre die optimale Lösung für ein Editieren der sources.list wenn nicht mit sudo oder gksudo?

Ich sage nicht, dass sudo schlecht ist. Im Gegenteil, ich finde sudo sogar richtig gut. Ich bemängle den übermässigen, falschen Gebrauch von sudo! Schauen wir uns mal das Beispiel /etc/apt/sources.list an:

Im besten Fall wird diese Datei mit einem nicht-grafischen Editor bearbeitet, also mit nano oder vim beispielsweise. Beide Editoren starten genau einen Prozess. Da die Datei nur vom Nutzer root oder von Nutzern der Gruppe root beschrieben werden kann, muss der Prozess also auch dementsprechend gestartet werden. Ein idealer Anwendungsfall für sudo.

Will der Nutzer einen grafischen Editor verwenden, sollte er gksudo/kdesudo verwenden, da ein Schreibvorgang nach wie vor erhöhte Rechte benötigt. Wenn ich mousepad (als normaler Nutzer) starte, sehe ich allerdings 4 Prozesse dafür. Diese 4 Prozesse würden dann natürlich auch alle mit erhöhten Rechten laufen, allerdings brauchst du nur für den Schreibvorgang erhöhte Rechte. Alles andere, also die Benutzeroberfläche, Plugins und so weiter müssen nicht mit erhöhten Rechten laufen.

Es gibt auch Nutzer, die aus Unkenntnis, Faulheit oder einfach mal präventiv den Dateimanager mit sudo starten. Es ist problemlos möglich, mit dem Dateimanager, der mit normalen Nutzerrechten gestartet wurde, zur sources.list zu navigieren. Falsch angewendet, laufen dann allerdings alle Prozesse, die zum Dateimanager gehören und alle Prozesse, die vom Dateimanager aus gestartet werden, mit erhöhten Nutzerrechten.

Hier setzt Wayland an und verhindert es, dass Programme, die nicht mit dem selben Nutzer laufen, auf den Displayserver des Nutzers zugreifen. Wenn du die sources.list unter Wayland bearbeiten willst, brauchst du aber trotzdem erhöhte Rechte. Unter GNOME gibt es dafür das admin:-Backend. Damit kannst du Gedit als normaler Nutzer starten (mehrere Prozesse, die unter deinem Nutzer laufen) und kannst die sources.list dennoch so bearbeiten, als ob du root wärst. In der Praxis sieht ein Aufruf so aus:

gedit admin:///etc/apt/sources.list  

Wie verhält es sich bei dem Synaptic-Problem. Muss ich auf apt und Terminal umsteigen um eine gewisse Sicherheit zu haben? Denn ganz offensichtlich lässt sich das Synaptic selbst mit pkexec-Endung nicht mehr ausführen, alles andere wäre ein Workaround, was aus Deiner Sicht ja eine Unsicherheit mitbringt, die es so nicht unbedingt geben sollte.

Im Prinzip musst du warten, bis die Synaptic-Entwickler ihr Programm Wayland-tauglich gemacht haben. Du kannst aber auch einfach zu X wechseln oder aber du workaroundest die nächsten paar Jahre oder du nutzt Synaptic nicht mehr. Welche Variante du wählst, ist ganz alleine deine Entscheidung.

apt-ghetto schrieb:

Es gibt auch Nutzer, die aus Unkenntnis, Faulheit oder einfach mal präventiv den Dateimanager mit sudo starten. Es ist problemlos möglich, mit dem Dateimanager, der mit normalen Nutzerrechten gestartet wurde, zur sources.list zu navigieren. Falsch angewendet, laufen dann allerdings alle Prozesse, die zum Dateimanager gehören und alle Prozesse, die vom Dateimanager aus gestartet werden, mit erhöhten Nutzerrechten.

Man könnte aber auch sagen, dass es ein Designfehler in der Programmierung des Dateimanagers ist.

Wenn ich im Dateimanager etwas tun will, wofür mir die Rechte fehlen, dann könnte dieser die Aktion versuchen auszuführen, den Fehler abfangen, und dann sagen: Aha, mangelnde Rechte. Dann könnte er schauen, ob ich in der adm Gruppe bin, und wenn ja, mir anbieten, diese Aktion mit einem sudo zu probieren, statt dass ich selbst einen Dateimanager als sudo starten muss, der dann mit den von Dir beschriebenen Generalvollmachten läuft.

Falls man größere Schweinereien vorhat kann man immer noch einen Dateimanager mit gksudo starten, oder es könnte einen Zwischenmodus geben, dass ich für die Dateisystemoperationen ab jetzt in den sudo-mode wechsle, bis auf Widerruf, schön ergonomisch dekoriert durch inverse Darstellung oder rote Fensterrahmen usw.

user_unknown schrieb:

apt-ghetto schrieb:

Es gibt auch Nutzer, die aus Unkenntnis, Faulheit oder einfach mal präventiv den Dateimanager mit sudo starten. Es ist problemlos möglich, mit dem Dateimanager, der mit normalen Nutzerrechten gestartet wurde, zur sources.list zu navigieren. Falsch angewendet, laufen dann allerdings alle Prozesse, die zum Dateimanager gehören und alle Prozesse, die vom Dateimanager aus gestartet werden, mit erhöhten Nutzerrechten.

Man könnte aber auch sagen, dass es ein Designfehler in der Programmierung des Dateimanagers ist.

Man könnte auch sagen, es ist nicht Aufgabe des Dateimanagers, Dinge zu tun, für die er keine Rechte hat. Aber ja, darüber kann man sicherlich diskutieren, ob es ein Designfehler ist oder nicht.

Wenn ich im Dateimanager etwas tun will, wofür mir die Rechte fehlen, dann könnte dieser die Aktion versuchen auszuführen, den Fehler abfangen, und dann sagen: Aha, mangelnde Rechte.

Bei Thunar wird mir eine Meldung angezeigt, wenn ich /root öffnen will.

Dann könnte er schauen, ob ich in der adm Gruppe bin, und wenn ja, mir anbieten, diese Aktion mit einem sudo zu probieren,

Ich bin mir nicht sicher, ob adm tatsächlich die richtige Gruppe ist. Es gibt unter Ubuntu auch die Gruppe sudo. Ausserdem nutzen andere Distributionen andere Gruppenbezeichnungen.

statt dass ich selbst einen Dateimanager als sudo starten muss, der dann mit den von Dir beschriebenen Generalvollmachten läuft.

Du müsstest allerdings definieren, was für Aktionen der Dateimanager mit erhöhten Rechten ausführen soll: Dateien verschieben? Dateien kopieren? Einen Editor öffnen?

[...] es könnte einen Zwischenmodus geben, dass ich für die Dateisystemoperationen ab jetzt in den sudo-mode wechsle, bis auf Widerruf, schön ergonomisch dekoriert durch inverse Darstellung oder rote Fensterrahmen usw.

Diese grafische Unterscheidung fände ich auch sinnvoll. Und dein sudo-mode ist unter GNOME mit Wayland mit dem admin:-Backend eigentlich auch schon umgesetzt. Ich kann dort ein Verzeichnis in Nautilus mit admin:///etc/default öffen. Wenn ich dann beispielsweise grub doppelklicke, dann öffnet sich Gedit mit zwei Passwortabfragen. Kontrolliere ich dann mit htop laufen sowohl Nautilus als auch Gedit nach wie vor mit meinem Nutzer.