KDE su, yetki almak için sistemin su komutunu kullanır. Bu bölümde, KDE su'nun bunu nice yaptığı anlatılır.

Bazı su uygulamaları (örn. Red Hat®), parolaları stdin'den okumak istemez; KDE su bir pty/tty çifti oluşturur ve su komutunu kendi dosya tanımlayıcıları tty'ye iliştirilmiş bir biçimde yürütür.

Etkileşimli bir kabuk yerine kullanıcının seçtiği komutu yürütmek için KDE su, su komutunu -c argümanıyla kullanır. Bu argüman bilinen her kabukla çalışır, bu yüzden sıkıntı çıkarmaması gerekir. su, bu -c argümanını hedef kullanıcının kabuğuna geçiriri ve kabuk programı yürütür. Örnek komut: su root -c program.

Kullanıcı komutunu doğrudan su ile yürütmek yerine, KDE su kdesu_stub denen ufak bir yalancı program yürütür. Bu program (hedef kullanıcı olarak çalışır), KDE su'dan pty/tty kanalı üzerine bilgi ister (programcığın stdin'i ve stdout'u) ve sonrasında kullanıcının programını yürütür. Diğer yana geçirilen bilgi X ekranı, bir X yetkilendirme çerezi (varsa), PATH ve çalıştırılacak komuttur. Yalancı bir programın kullanılma nedeni, X çerezinin gizli bilgi olması ve komut satırında geçirilememesidir.

KDE su girdiğiniz parolaları denetler ve yanlışsa bir hata iletisi verir. Denetim, bir sınama programı yürütülerek yapılır: /bin/true. Bu başarılı olursa parola doğru varsayılır.

Konforunuz için KDE su bir “parolayı tut” özelliği içerir. Güvenlik konusunda ilgiliyseniz bu paragrafı okumalısınız.

KDE su'nun parolaları anımsamasına izin vermek sisteminizde (ufak) bir güvenlik açığı doğurur. Tabii ki KDE su sizin kullanıcı kimliğiniz dışındaki kimsenin parolanızı kullanmasına izin vermez; ancak dikkatli kullanılmazsa bu yönetici'nin güvenlik düzeyini normal bir kullanıcının düzeyine (sen) düşürür. Hesabınızı kıran bir deşici, yönetici erişimi alabilir. KDE su bunu engellemeye çalışır. Kullandığı güvenlik şeması görece güvenlidir ve burada açıklanmıştır.

KDE su, kdesud denen bir ardalan süreci kullanır. Süreç, komutlar için /tmp içindeki bir UNIX® yuvasını dinler. Yuvanın kipi 0600'dır; böylece yalnızca sizin kullanıcı kimliğiniz ona bağlanabilir. Parolayı tutma etkinleştirilmişse KDE su komutları bu ardalan süreci üzerinden yürütür. Komutu ve yönetici'nin parolasını yuvaya yazar ve ardalan komutu daha önce açıklandığı üzere su ile yürütür. Sonrasında komut ve parola atılmaz. Bunun yerine belirli bir süre tutulurlar. Bu, denetim modülündeki zaman aşımı değeridir. Bu süre içinde aynı komut için bir istek gelirse istemcinin parolayı sağlamasına gerek kalmaz. Deşicilerin ardalan sürecinden parolaları çıkarmasına engel olmak için (örneğin bir hata ayıklayıcı iliştirerek) ardalan süreci set-group-id nogroup olarak kurulmuştur. Bu, tüm normal kullanıcıların (sen de dahil olmak üzere) parolaları kdesud sürecinden almasına engel olmalıdır. Ayrıca, ardalan süreci DISPLAY çevre değişkenini başlatıldığındaki değere geri ayarlar. Bir deşicinin yapabileceği tek şey ekranınızda bir program yürütmek olabilir.

Bu şemadaki bir olası zayıf nokta ise yürüttüğünüz programların güvenlik temel alınarak yazılmamış olmasıdır (setuid yönetici programları gibi). Bu, önbellek taşmaları veya başka sorunların olabileceği ve bir deşicinin bunları kullanabileceği anlamına gelir.

Parola tutma özelliği güvenlik ve konfor arasında bir feragattir. Buna göre kullanmak isteyip istemediğinizi bir düşünün.