Update PKGBUILD version / update-pkgver (push) Successful in 1s

Details

fix: audit fixes — CString zeroize, FP account check, PAM timeout, blur downscale (v0.6.5)

Address findings from second triple audit (quality, performance, security):

- Wrap PAM CString password in Zeroizing<CString> to wipe on drop (S-H1)
- Add check_account() for pam_acct_mgmt after fingerprint unlock,
  with resume_async() to restart FP on transient failure (S-M1)
- 30s PAM timeout with generation counter to prevent stale result
  interference from parallel auth attempts (S-M3)
- Downscale wallpaper to max 1920px before GPU blur, reducing work
  by ~4x on 4K wallpapers (P-M1)
- exit(1) instead of return on no-monitor after lock.lock() (Q-2.1)

2026-03-30 00:24:43 +02:00

4.0 KiB

Raw Blame History

Moonlock

Name: Nyx (Göttin der Nacht — passend zum Lockscreen, der den Bildschirm verdunkelt)

Projekt

Moonlock ist ein sicherer Wayland-Lockscreen, gebaut mit Rust + gtk4-rs + ext-session-lock-v1. Teil des Moonarch-Ökosystems.

Tech-Stack

Rust (Edition 2024), gtk4-rs 0.11, glib 0.22
gtk4-session-lock 0.4 für ext-session-lock-v1 Protokoll
PAM-Authentifizierung via Raw FFI (libc, libpam.so)
fprintd D-Bus Integration (gio::DBusProxy) für Fingerabdruck-Unlock
zeroize für sicheres Passwort-Wiping
cargo test für Unit-Tests

Projektstruktur

src/ — Rust-Quellcode (main.rs, lockscreen.rs, auth.rs, fingerprint.rs, config.rs, i18n.rs, users.rs, power.rs)
resources/ — GResource-Assets (style.css, default-avatar.svg)
config/ — PAM-Konfiguration und Beispiel-Config

Kommandos

# Tests ausführen
cargo test

# Release-Build
cargo build --release

# Lockscreen starten (zum Testen)
LD_PRELOAD=/usr/lib/libgtk4-layer-shell.so ./target/release/moonlock

Architektur

auth.rs — PAM-Authentifizierung via Raw FFI (unsafe extern "C" conv callback, msg_style-aware, Zeroizing<Vec> + Zeroizing), check_account() für pam_acct_mgmt-Only-Checks nach Fingerprint-Unlock
fingerprint.rs — fprintd D-Bus Listener, async init/claim/verify via gio futures, sender-validated signal handler, cleanup_dbus() für sauberen D-Bus-Lifecycle, running_flag für Race-Safety in async restarts, on_exhausted callback after MAX_FP_ATTEMPTS, resume_async() für Neustart nach transientem Fehler
users.rs — Aktuellen User via nix getuid, Avatar-Loading mit Symlink-Rejection
power.rs — Reboot/Shutdown via /usr/bin/systemctl
i18n.rs — Locale-Erkennung (OnceLock-cached) und String-Tabellen (DE/EN), faillock_warning mit konfigurierbarem max_attempts
config.rs — TOML-Config (background_path, background_blur, fingerprint_enabled als Option) + Wallpaper-Fallback + Symlink-Rejection für background_path + Parse-Error-Logging
lockscreen.rs — GTK4 UI via LockscreenHandles, PAM-Auth via gio::spawn_blocking mit 30s Timeout und Generation Counter, FP-Label/Start separat verdrahtet mit pam_acct_mgmt-Check und auto-resume, Zeroizing für Passwort, Power-Confirm, GPU-Blur via GskBlurNode (Downscale auf max 1920px), Blur/Avatar-Cache für Multi-Monitor
main.rs — Entry Point, Panic-Hook (vor Logging), Root-Check, ext-session-lock-v1 (Pflicht in Release), Multi-Monitor mit shared Blur/Avatar-Caches, systemd-Journal-Logging, Debug-Level per MOONLOCK_DEBUG Env-Var, async fprintd-Init nach window.present()

Sicherheit

ext-session-lock-v1 garantiert: Compositor sperrt alle Surfaces bei lock()
Release-Build: Ohne ext-session-lock-v1 wird exit(1) aufgerufen — kein Fenster-Fallback
Panic-Hook: Bei Crash wird geloggt, aber NIEMALS unlock() aufgerufen — Screen bleibt schwarz. Hook wird vor Logging installiert.
PAM-Callback: msg_style-aware (Passwort nur bei PAM_PROMPT_ECHO_OFF), strdup-OOM-sicher, num_msg-Guard gegen negative Werte
fprintd: D-Bus Signal-Sender wird gegen fprintd's unique bus name validiert (Anti-Spoofing)
Passwort: Zeroizing ab GTK-Entry-Extraktion, Zeroizing<Vec> + Zeroizing im PAM-FFI-Layer (bekannte Einschränkung: GLib-GString und strdup-Kopie in PAM werden nicht gezeroized — inhärente GTK/libc-Limitierung)
Fingerprint-Unlock: pam_acct_mgmt-Check nach verify-match erzwingt Account-Policies (Lockout, Ablauf), resume_async() startet FP bei transientem Fehler neu
PAM-Timeout: 30s Timeout verhindert permanentes Aussperren bei hängenden PAM-Modulen, Generation Counter verhindert Interferenz paralleler Auth-Versuche
Root-Check: Exit mit Fehler wenn als root gestartet
Faillock: UI-Warnung nach 3 Fehlversuchen, aber PAM entscheidet über Lockout (Entry bleibt aktiv)
Kein Schließen per Escape/Alt-F4 — nur durch erfolgreiche PAM-Auth oder Fingerprint
Kein Peek-Icon am Passwortfeld (Shoulder-Surfing-Schutz)
GResource-Bundle: CSS/Assets in der Binary kompiliert

4.0 KiB Raw Blame History