KDE su koristi sistemsku su za dobavljanje ovlašćenja. U ovoj sekciji objasnićemo kako KDE su to radi.

Pošto neke izvedbe naredbe su (tj. ona RedHatova) neće da čitaju lozinku sa stdul., KDE su stvara par PTY/TTY i izvršava su sa standardnim fajl opisnicima povezanim na TTY.

Za izvršenje zadate naredbe, umesto interaktivne školjke KDE su koristi opciju -c sa argumentom naredbe su. Ovaj argument razume svaka školjka za koju znamo, pa bi trebao da bude prenosivo. su prosleđuje argument -c školjci ciljnog korisnika, a ona izvršava program. Primer: suroot -c naredba.

Umesto neposrednog izvršenja zadate naredbe kroz su, KDE su izvršava mali program zametak kdesu_stub. Ovaj zametak (radi pod ciljnim korisnikom) dobavlja nešto podataka od KDE sua preko PTY/TTY kanala (zametkovog stdul. i stdiz.), a zatim izvršava zadatu naredbu. Podaci koji se prosleđuju: X prikaz, X autentifikacioni kolačić (ako je raspoloživ), promenljiva PATH i naredba za pokretanje. Upotreba zametka je neophodna zato što je X kolačić privatan podatak, te se ne može proslediti kroz komandnu liniju.

KDE su će proveriti unetu lozinku, i ako nije ispravna, izdati poruku o grešci. Provera se sprovodi probnim izvršavanjem /bin/true: ako uspe, pretpostavlja se da je lozinka ispravna.

Radi vaše udobnosti, KDE su izvodi mogućnost pamćenja lozinki. Ako vas zanima bezbednost toga, treba da pročitate naredne pasuse.

Dozvoljavanje KDE suu da pamti lozinke otvara (malu) bezbednosnu rupu na sistemu. Očigledno, KDE su neće dozvoliti nijednom osim vašem korisničkom ID‑u da koristi lozinke, ali, ako se ovo neoprezno izvede, spušta bezbednosni nivo korena na onaj normalnog korisnika (vas); provalnik koji bi upao u vaš nalog dobio bi i koreni pristup. KDE su pokušava ovo da spreči, bezbednosnom šemom koja je, barem po našem mišljenju, razumno sigurna i izložena ispod.

KDE su koristi demon, kdesud, koji osluškuje za naredbama na Unix soketu u /tmp. Režim soketa je 0600, tako da se na njega može povezati samo vaš korisnički ID. Ako je uključeno pamćenje lozinki, KDE su izvršava naredbe preko ovog demona: upiše naredbu i korenu lozinku u soket, a demon je izvrši kroz su kao što je prethodno opisano. Naredba i lozinka se potom ne odbacuju, već se zadržavaju određeno vreme, tj. do prekovremena zadatog u kontrolnom modulu. Ako stigne još jedan zahtev za istu naredbu tokom ovog vremenskog perioda, klijent ne mora da navodi lozinku. Da bi se sprečili provalnici koji upadnu na vaš nalog da pokradu lozinke iz demona (npr. priključivanjem ispravljača), demon se instalira sa sUID‑om nogroup. Ovo bi trebalo da spreči sve obične korisnike (uključujući i vas) u dobavljanju lozinki iz procesa kdesud. Demon takođe postavlja promenljivu okruženja DISPLAY na vrednost koju je imala kad je bio pokrenut. Jedino što provalnik može da uradi jeste da pokrene program na vašem X prikazu.

Jedna slaba tačka u ovoj šemi je u tome što programi koje izvršavate verovatno nisu pisani sa bezbednošću na umu (poput programa sa sUID‑om root). Mogli bi imati prekoračenja bafera ili druge probleme koje bi provalnik mogao da iskoristi.

Mogućnost pamćenja lozinki je trampa između bezbednosti i udobnosti. Ohrabrujemo vas da ovo razmotrite i sami donesete odluku da ćete je koristiti.