Расширение SECURITY (X11)
Запоздалая попытка X11 отделить доверенные клиенты от недоверенных — и причина, по которой ssh -X и ssh -Y не одно и то же.
В базовом протоколе все клиенты дисплея равны: любой может читать любое окно, подслушивать клавиатуру и посылать другой программе поддельные нажатия. Расширение появилось в X11R6.3 в 1996 году в рамках проекта Broadway, задуманного для запуска X-программ из веба, и ввело два класса. Недоверенный клиент подключается с особым cookie xauth и после этого не вправе читать содержимое чужих окон, подглядывать за их свойствами, делать захваты и пользоваться большинством других расширений.
OpenSSH сделал недоверенный режим умолчанием для -X в 2004 году и добавил -Y для тех, кому нужно прежнее поведение. Беда в том, что множество программ рассчитывало на полный доступ и вместо приспособления падало с BadAccess, поэтому Debian и ряд других дистрибутивов прописали в конфигурации по умолчанию ForwardX11Trusted yes — и разница между ключами стала чисто декоративной. Настоящая изоляция программ дождалась Wayland, где она заложена изначально.