Linux Display Server Mimarilerinde Input İzolasyonu: Wayland ve X11

Bir klavye girdisi yakalama denemesi yapmak istedim. Teknik olarak bu, klavye input olaylarını alıp loglamaya çalışan, keylogging tekniğini kullanan basit bir kullanıcı alanı uygulamasıydı. Ancak beklemediğim bir durumla karşılaştım: Wayland ortamında uygulama herhangi bir input verisi alamazken, aynı uygulama X11 tabanlı bir oturumda sorunsuz şekilde çalıştı.

Bu durum bir hata değil; aksine Wayland’ın bilinçli bir güvenlik tasarımının doğal bir sonucudur. Bu yazı, keylogging tekniğinin potansiyel bir saldırı vektörü olarak neden Wayland mimarisinde etkisiz kaldığını, X11’de ise mimari olarak mümkün olduğunu açıklamaktadır.

Keylogger’lar Temelde Nasıl Çalışır?

Bir keylogger’ın çalışabilmesi için şu yeteneklere ihtiyacı vardır:

• Global klavye olaylarını dinleyebilme
• Aktif pencereye odaklı olmadan input yakalayabilme
• İşletim sistemi tarafından girdi olaylarına geniş erişim.

Display Server (Ekran Sunucusu)

Display Server (Ekran Sunucusu), işletim sistemi ile grafiksel kullanıcı arayüzü (GUI) arasında konumlanan; ekran çıktısını, klavye ve fare girdilerini ve pencere yönetimiyle ilgili temel iletişimi yöneten yazılım katmanıdır. Wayland ve X11 (X Window System), Linux ekosisteminde kullanılan başlıca display server mimarileridir.

X11 Mimarisi

X11, tasarım felsefesi gereği güvenlikten ziyade esneklik ve genişletilebilirlik öncelenerek geliştirilmiştir.

Klavye ve fare olayları merkezi bir X Server üzerinden iletilir. Aynı kullanıcı yetkisi altında çalışan tüm istemci uygulamalar, bu input olaylarına erişim sağlayabilir. Uygulamalar arasında güçlü bir izolasyon mekanizması bulunmaz.Bu durum şu anlama gelir:

• Bir uygulama odaklı (focused) olmasa bile
• Klavye ve mouse girdilerini dinleyebilir
• Global input erişimi mümkündür

Bu mimari yaklaşım, keylogging gibi saldırı senaryolarını teknik olarak mümkün kılar.

Wayland Mimarisi

Wayland, X11’in bu mimari zayıflıklarını gidermek amacıyla tasarlanmış daha modern bir display server protokolüdür.

Wayland’ın temel prensibi şudur: Bir uygulama yalnızca kendisine ait input olaylarını görebilir.

Bu modelde:

• Input olayları yalnızca aktif (focused) surface’a iletilir
• Uygulamalar birbirlerinin input verilerine erişemez
• Yetkisiz input dinleme tasarımsal olarak engellenir

Bu sayede Wayland, keylogger benzeri saldırı vektörlerine karşı doğal bir direnç sağlar.

Sonuç olarak, aynı kullanıcı alanı uygulamasının farklı display server’lar altında farklı davranışlar sergilemesi, güvenliğin uygulama seviyesinde değil mimari seviyede ele alındığını göstermektedir.