Песочница sandbox windows 10

Windows Sandbox Config Files

By default, Windows Sandbox spins up a default image. However, in many cases, you want to spin up a customized environment, with already preinstalled tools or access to local files. For that, you can use config files which allow you to customize the sandbox during startup. The sandbox configuration files are formatted as XML and use the .wsb file extension. Today, you can configure four different settings to configure the Windows Sandbox.

• Enable or Disable the virtualized GPU.
• Enable or Disable network access
• Shared Folders – Share folders from the host with read or write access
• Startup Script – allows you to run different commands at startup

Settings Overview

Here is a quick overview of the different settings you can use in the config files.

Name	Setting	SubSetting	Value
Virtual GPU	vGPU		Disable — Disables vGPU
			Default — vGPU enabled
Networking	Networking		Disable — disables Networking
			Default — Networking enabled
Shared Folder	MappedFolder	HostFolder	Path to the host folder
		ReadOnly	True/False
Startup Script	LogonCommand	Command	Command which gets executed

Что такое песочница

Это инструмент, позволяющий выполнять приложения и скрипты в изолированном виртуальном пространстве, создаваемом специально для этой цели. Также позволяет заходить в интернет. Программное обеспечение будет функционировать, как и задумано разработчиком, однако не повлияет на основную (хостовую) операционную систему.

В Десятке данный инструмент называется Windows Sandbox. Построен на основании так называемых контейнеров — отточенная Microsoft в OneDrive функция, без видимых изменений взята оттуда.

Microsoft разрешают держать запущенной только одну версию Песочницы. Она хоть и работает как приложение, а не полноценная виртуальная машина, потребляет физические ресурсы вашего компьютера. Это может замедлить ПК, если он медленный либо значительная часть ресурсов уже задействованы. Её основное удобство для пользователей — возможность копировать файлы из хостовой ОС и вставлять их на Рабочий стол виртуальной среды.

Особенности Windows Sandbox:

1. Является составной частью операционной системы редакции Pro и Enterprise;
2. Динамически создаваемый образ — генерируется на лету, беря ядро и файлы работающей Windows 10 за основу;
3. После запуска представляет собой чистую ОС сразу после инсталляции;
4. Не оставляет следов — что бы пользователь не делал в виртуальном пространстве, после закрытия Sandbox после него не останется никаких следов: файлы, программы будут удалены без возможности восстановления. Никто ничего не узнает о содержимом Песочницы;
5. Благодаря использованию гипервизора для запуска ядра виртуальной ОС она будет всегда изолирована от основной Windows 10;
6. Оптимизированный движок эффективно использует выделенную память, мощность видеокарты, процессора;
7. Виртуальный планировщик — решает, когда и какое количество ресурсов можно выделить Sandbox;
8. Умное использование оперативной памяти — позволяет Windows 10 и Песочнице совместно использовать одни и те же страницы памяти;
9. Использование снимков — можно стартовать Sandbox в определенном состоянии, предварительно сохранив его в файл;
10. Виртуализация графики — использовании аппаратного ускорения в виртуальном пространстве благодаря получению полноценного доступа к аппаратно ускоряемой графике.

Пара предупреждений

Сегодня мы попробуем сделать свой собственный анализатор на основе «песочницы», а именно утилиты Sandboxie. Эта программа доступна как условно-бесплатная на сайте автора www.sandboxie.com. Для нашего исследования вполне подойдет ограниченная бесплатная версия. Программа запускает приложения в изолированной среде, так что они не производят вредоносных изменений в реальной системе. Но тут есть два нюанса:

Sandboxie позволяет отслеживать только программы на уровне user mode. Вся деятельность вредоносного кода в режиме ядра не отслеживается. Поэтому максимум, что удастся узнать при изучении руткитов — это каким образом вредонос внедряется в систему. Проанализировать само поведение на уровне kernel mode, к сожалению, невозможно.
В зависимости от настроек Sandboxie может блокировать выход в Сеть, разрешать полный доступ или доступ только для отдельных программ. Понятно, что, если для нормального запуска вредоносу нужен выход в интернет, необходимо его предоставить

С другой стороны, если у тебя на флешке валяется Pinch, который запускается, собирает все пароли в системе и отправляет их на ftp злоумышленнику, то Sandboxie с открытым доступом в интернет не защитит тебя от потери конфиденциальной информации! Это очень важно, и об этом следует помнить.

Песочницы Sandboxie
Другие статьи в выпуске:

Определение работы в песочнице

Мы написали небольшую программку на Python с использованием PowerShell, оценивающую «реальность» машины, на которой она запущена. В зависимости от условий большинству использованных в программе методов достаточно прав пользователя, однако некоторым для достоверного результата нужны привилегии администратора. Сразу оговоримся, что тесты мы проводили на Windows-платформах — они популярнее всего, и их чаще заражают. Для простоты мы использовали запросы к WMI (Windows Management Instrumentation, инструментарий управления Windows, то есть технология для обращения к объектам в системе). Запросы к WMI для унификации и наглядности мы выполняли с использованием PowerShell.

Исследовав в общей сложности порядка 70 машин, мы выделили ряд методов, позволяющих выявить средства виртуализации. Условно все методы определения работы в виртуальной среде мы разделили на четыре уровня, начиная с простого поиска строковых признаков виртуализации и заканчивая определением физических параметров системы, от которых будет сложно избавиться на виртуальной машине.

Level 1 — поиск характерных строковых идентификаторов

Самое простое, что может сделать программа, запустившись на новой машине, — проверить, что это за компьютер. Если название модели (или производителя некоторых составляющих) содержит virt либо где-то присутствуют ссылки на известных вендоров технологий виртуализации, это уже первый тревожный звоночек.

Параметры производителя и модель компьютера (Manufacturer и Model) легко поддаются правке, поэтому их значения остаются на совести создателей песочниц. Вот как можно отправить запрос к WMI через командную строку:

А вот так выглядит запрос в PowerShell:

В результате обработки запроса мы получим следующий отчет — сравни первые три вывода команды для виртуальных машин с показаниями реальной:

Manufacturer: innotek GmbH
Model: VirtualBox

Manufacturer: Parallels Software International Inc.
Model: Parallels Virtual Platform

Manufacturer: VMware, Inc.
Model: VMware Virtual Platform

Manufacturer: ASUSTeK Computer Inc.
Model: K53SV (реальная машина. — Прим. авт.)

В официальной документации к гипервизору может встречаться указание на список доступных для подмены параметров. Так, для гипервизора можно поменять ряд параметров. Перечислим некоторые:

• DmiBIOSVendor (производитель BIOS’a);
• DmiBIOSVersion (его версия);
• DmiBIOSReleaseDate (и его дата релиза);
• DmiSystemVendor (производитель ОС);
• DmiSystemProduct (название ОС);
• DmiSystemVersion (версия ОС);
• DmiSystemSerial (серийный номер установки ОС);
• DmiSystemFamily (семейство ОС);
• Disk SerialNumber (серийник HDD);
• Disk FirmwareRevision (его номер прошивки);
• Disk ModelNumber (модель HDD).

INFO

DMI (Desktop Management Interface) — программный интерфейс (API), позволяющий программному обеспечению собирать данные о характеристиках аппаратуры компьютера.

Для начала можно проверить серийный номер BIOS. Это срабатывает часто, поскольку при создании ВМ никого не волнует тонкая настройка базовой подсистемы ввода-вывода, поэтому, если нам удастся получить правдоподобные сведения, скорее всего, машина реальная. Попробуй набить данную команду в PowerShell или даже PowerShell ISE (кстати, дальше мы развлекаемся только на PowerShell и не понимаем, почему ты еще не вошел в консоль):

Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», увеличит личную накопительную скидку и позволит накапливать профессиональный рейтинг Xakep Score!
Подробнее

Вариант 2. Открой один материал

Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя!
Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.

Я уже участник «Xakep.ru»

Настройка песочницы в Windows 10

Ранее для настройки было необходимо вручную создавать файлы конфигурации, что было неудобно для большинства пользователей. Но не так давно появилась программа, представляющая собой компилятор этих конфигурационных файлов, которые можно создать в удобном графическом интерфейсе. Правда, на английском языке.

Программа называется Windows Sandbox Editor, и скачать её можно по прямой ссылке ниже, либо на официальном сайте разработчика.

Программа не требует установки и представляет собой Portable версию. Скачайте архив и распакуйте на компьютере. На момент написания этой статьи в архиве есть две версии программы, которые можно запустить из папки EXE. Далее я буду показывать всё на версии 2, то есть запустив файл EXE / Windows Sandbox Editor v2.exe.

Итак, откройте файл программы. Вы увидите, что её интерфейс состоит из четырёх вкладок. Настройка песочницы в Windows 10 начинается с «Basic infos», в которой находятся основные опции конфигурации песочницы:

• Sandbox name — имя файла конфигурации.
• Sandbox path — место сохранения файла на компьютере.
• Networking status — статус сети.
• VGPU status — статус виртуального графического адаптера. Отвечает за скорость графики.
• Run sandbox after change — запустит песочницу после завершения создания конфигурации.

Вторая вкладка называется «Mapped folder» и используется она для того, чтобы создать в песочнице общие с основной системой папки.

Нажмите кнопку «Browse folder», и выберите папку на компьютере, которая будет доступна через песочницу. А с помощью переключателя «Read only» выберите права доступа — только для чтения или нет.

Третья вкладка называется «Startup Commands» и в ней можно задавать действия, которые будут выполняться при загрузке системы в песочнице. В качестве команды можно задать файл Power Shell, Visual Basic или приложения .exe и .msi. Выполняться будут только те команды, к которым песочница будет иметь доступ. Например, к программам на основном компьютере она доступа по-умолчанию не имеет.

Четвёртая вкладка называется «Overvirew». На ней можно увидеть код файла конфигурации.

Нажмите на кнопку «Create Sandbox», чтобы создать из кода файл для запуска песочницы с заданными параметрами.

Если всё в порядке, вы увидите сообщение об успехе, и в папке, которую указали в «Basic infos» появится файл. Откройте его, и запуститcя песочница Windows с параметрами, которые вы задали.

Если в будущем вам нужно будет изменить параметры созданного файла конфигурации, то для этого загрузите его в Sandbox Editor с помощью кнопки «Load existing sandbox». После внесения необходимых изменений, создайте файл заново кнопкой «Create Sandbox».

С Sandbox Editor настройка песочницы в Windows 10 становится простой задачей. Можно создать любое количество конфигураций и запускать их в зависимости от поставленных задач.

Windows Sandbox встроенная песочница Windows 10

Windows Sandbox позволяет запускать подозрительные приложения в изолированной среде, чтобы не было возможности внести изменения в основную хост-систему. После закрытия сеанса песочницы, все файлы и приложения «засасывает чёрная дыра» и на ум приходит следующее:

Пошла бабка на базар, чтоб купить мочало… Наша песняхороша, начинай сначала!

Создал ролик на тему встроенной песочницы Windows и понял, что это изолированное виртуальное пространство не для меня. Мой Хью́летт-Па́ккард хоть и имеет довольно не плохие показатели, всё равно при тестирование наблюдалось зависание и «тормознутость». Что безусловно раздражало…

Системные требования для Windows Sandbox

Windows 10 Pro или Enterprise – Windows 10 (версия 1903) и чтобы не было ошибки 0x80070002, у вас должно стоять обновление KB4512941. Архитектура x86-64 (также AMD64/Intel64/EM64T). Включение виртуализации в BIOS. Если вы используете виртуальную машину, включите встроенную виртуализацию с помощью командлета PowerShell:Set-VMProcessor -VMName {VMName} -ExposeVirtualizationExtensions $true 4 ГБ ОЗУ (рекомендуется 8 ГБ ОЗУ). 1 ГБ свободного дискового пространства (рекомендуется SSD). Минимум двухядерный процессор (рекомендуется четырехядерный процессор с поддержкой технологии Hyperthreading).

Ролик

Вкл.\\\выкл. Windows 10 Sandbox Home

Введите в PowerShell следующее:dir /b %SystemRoot%\servicing\Packages\*Containers*.mum >sandbox_cont.txtfor /f %%i in (‘findstr /i . sandbox_cont.txt 2^>nul’) do dism /online /norestart /add-package:»%SystemRoot%\servicing\Packages\%%i»del sandbox_cont.txtDism /online /enable-feature /featurename:Containers-DisposableClientVM /LimitAccess /ALLpause

Отключить:Disable-WindowsOptionalFeature –FeatureName «Containers-DisposableClientVM» -Online

✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿ ✿✿

Вкл.\\\выкл. Песочницу Windows из меню Компоненты Windows

Панель управления → Программы → Программы и компоненты → Включение и отключение компонентов Windows → выберите Песочница Windows → Нажмите OK и установите песочницу → Перезагрузка компьютера.

✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿ ✿✿

Вкл.\\\выкл. Windows Sandbox из Командной строки

Запустите cmd от имени администратора. Команда, чтобы вкл. Песочницу Windows:Dism /online /Enable-Feature /FeatureName:»Containers-DisposableClientVM» -All

Отключить:Dism /online /Disable-Feature /FeatureName:»Containers-DisposableClientVM»

✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿✿ ✿✿

Вкл.\\\выкл. Windows Sandbox из PowerShell

Включить Песочницу Windows:Enable-WindowsOptionalFeature –FeatureName «Containers-DisposableClientVM» -All -Online

Отключить:

Disable-WindowsOptionalFeature –FeatureName «Containers-DisposableClientVM» -Online

Для запуска песочницы с заданными параметрами, можно использовать утилиту Windows Sandbox Editor.

Как создать файл конфигурации, подробно описал с этого момента: Тык-Пык.

Сам пользуюсь Macrium Reflect, который можно запустить с диска Strelec, диск Сергея Стрельца записан на мультизагрузочной флешке, созданной программой AIO Boot.

Ролики по AIO BOOT

Первая часть — https://www.youtube.com/watch?v=-bhzoLVhCXsВторая часть — https://www.youtube.com/watch?v=CdGsSiV__rIТретья часть — https://www.youtube.com/watch?v=bFSMvNReKiwЧетвёртая часть — https://www.youtube.com/watch?v=urgQywTJc5U

Песочница Windows Sandbox в Windows 10 1903: тестируем сомнительный софт без риска для системы

Windows Sandbox: что это такое

Windows Sandbox – это виртуальная, изолированная от основной Windows среда запуска сомнительных, непроверенных и заведомо проблемных EXE-файлов и программ Windows. В песочнице можем устанавливать программы, скачанные с левых сайтов, тестировать их,

кастомизировать интерфейс системы,

внедрять различные надстройки,

экспериментировать с настройками самой Windows, запускать браузер и ходить по сомнительным сайтам.

Песочница являет собой обычное приложение, но внутри него на базе технологии Hyper-V реализована виртуальная Windows 10 1903. Но не полноценная виртуальная операционная система, а урезанная: в ней есть только классическая часть Windows 10 — проводник, панель управления, диспетчер задач, командная строка, PowerShell и прочие административные утилиты. И реализован доступ к Интернету. 

В песочнице нет Microsoft Store и его приложений, из штатных UWP-приложений — только браузер Microsoft Edge, «Безопасность Windows», «Параметры».

Песочница не функционирует по принципу программ типа «Неубиваемая Windows». Мы, как упоминалось, не работаем в среде реальной системы, которая потом возвращается к снимку, запечатлёному в момент активации защиты в виде неприменения вносимых изменений. Мы работаем полностью в виртуальной среде с единственным системным разделом С, муляжом реального раздела С.

Муляжа других разделов физического жёсткого диска у нас нет, а всё сообщение с основной операционной системой осуществляется через буфер обмена. Копируем файл в среде реальной системы, вставляем его в среде песочницы.

Мы даже не являемся пользователями виртуальной системы песочницы. Её пользователь – это предустановленная техническая локальная учётная запись с правами администратора.

Для удобства погружения в среду виртуальной Windows с песочницей можно работать в полноэкранном режиме.

Windows Sandbox – это, по сути, чистая Windows 10 1903, и таковой она будет каждый раз после закрытия и открытия приложения вновь. Все проделанные в такой виртуальной системе изменения не сохраняются и действуют только на протяжении одной сессии работы песочницы.

И, увы, такой расклад позволит нам проводить эксперименты только с софтом и настройками, которые не требуют процедуры перезагрузки.

Как активировать Windows Sandbox

Для активации песочницы в Windows 10 1903, как упоминалось, необходима редакция от Pro и выше. А также соответствие компьютера минимальным аппаратным характеристикам работе с гипервизорами, это:   

• Поддержка аппаратной виртуализации процессором и включение её в BIOS; 
• Сам процессор желательно с двумя ядрами; 
• Хотя бы 4 Гб оперативной памяти.

Как видим, друзья, вполне сносные требования. Если с этим всё в порядке, отправляемся в панель управления. Кликаем «Программы».

Далее – «Программы и компоненты». В появившемся окошке ищем пункт «Песочница Windows», ставим галочку, жмём «Ок».

Ждём немного и перезагружаем компьютер. После перезагрузки ищем ярлык приложения Windows Sandbox в меню «Пуск». Вот так вот всё просто, казалось бы, если бы не одно «Но».

Ошибка запуска Windows Sandbox в русскоязычном дистрибутиве

Парадоксально, но именно самой толковой новинки Windows 10 1903 коснулись недоработки майского накопительного обновления. У многих Windows Sandbox в русскоязычном дистрибутиве операционной системы при запуске слетает с ошибкой. Известно, что в процессе инсайдерской обкатки песочница до определённого момента работала нормально, но после внедрения подборки обнов стала выдавать ошибку запуска.

Как быть в этой ситуации? Можно подождать, пока Microsoft решит этот вопрос. А можно всё же попытаться запустить Windows Sandbox. Первый вариант – в «Программах и компонентах» попробовать деактивировать песочницу, активировать компонент «Платформа виртуальной машины». Перезагрузиться и потом снова активировать песочницу.

Примечание: активация платформы виртуальной машины может привести к конфликту запуска в системе сторонних гипервизоров — VMware и VirtualBox. Если вы столкнётесь с этой ситуацией, деактивируйте платформу виртуальной машины, но не перезагружайтесь. Прежде запустите командную строку от администратора, введите:

bcdedit /set hypervisorlaunchtype off

И только теперь делайте перезагрузку.

Второй вариант – установить с нуля англоязычный дистрибутив Windows 10 1903 и русифицировать его, но только в части основного интерфейса, не применяя русский к административным параметрам. Подробнее об этом варианте читаем в статье «Windows Sandbox не запускается: устанавливаем англоязычную Windows 10 1903 и русифицируем её».

Установка Песочницы в Windows 10 Home

y http-equiv=»Content-Type» content=»text/html;charset=UTF-8″>le=»text-align: justify;»>Внимание: при тестах данного способа установки песочницы я столкнулся с тем, что её удаление и откат сделанных изменений оказывается затруднительным (точнее — не удалось полностью удалить все следы). Возможно, помогут заранее созданные точки восстановления, но гарантий дать не могу

Для установки песочницы Windows 10 можно использовать простой bat-файл, который, с помощью DISM установит все необходимые компоненты в домашней версии системы. Такой файл можно сделать самостоятельно, используя код, приведенный ниже (см. Как создать bat файл).

@echo off

echo Checking for permissions
>nul 2>&1 "%SYSTEMROOT%\system32\cacls.exe" "%SYSTEMROOT%\system32\config\system"

echo Permission check result: %errorlevel%

REM --> If error flag set, we do not have admin.
if '%errorlevel%' NEQ '0' (
echo Requesting administrative privileges...
goto UACPrompt
) else ( goto gotAdmin )

:UACPrompt
echo Set UAC = CreateObject^("Shell.Application"^) > "%temp%\getadmin.vbs"
echo UAC.ShellExecute "%~s0", "", "", "runas", 1 >> "%temp%\getadmin.vbs"

echo Running created temporary "%temp%\getadmin.vbs"
timeout /T 2
"%temp%\getadmin.vbs"
exit /B

:gotAdmin
if exist "%temp%\getadmin.vbs" ( del "%temp%\getadmin.vbs" )
pushd "%CD%"
CD /D "%~dp0"

echo Batch was successfully started with admin privileges
echo .
cls
Title Sandbox Installer

pushd "%~dp0"

dir /b %SystemRoot%\servicing\Packages\*Containers*.mum >sandbox.txt

for /f %%i in ('findstr /i . sandbox.txt 2^>nul') do dism /online /norestart /add-package:"%SystemRoot%\servicing\Packages\%%i"

del sandbox.txt

Dism /online /enable-feature /featurename:Containers-DisposableClientVM /LimitAccess /ALL

pause

А при желании его можно скачать с сайта автора скрипта: https://www.deskmodder.de/blog/2019/04/20/windows-10-home-windows-sandbox-installieren-und-nutzen/ (сайт на немецком, ссылка на загрузку — Sandbox Installer.zip на указанной странице).

После завершения установки компонентов вам будет предложено перезагрузить компьютер, сделайте это.

При перезагрузке будет проведена настройка системы и новых компонентов, а после неё вы увидите новый пункт в меню «Пуск» — Windows Sandbox, запускающий песочницу.

О возможных ошибках (например, 0x80070002 «Не удается найти указанный файл») при запуске, их исправлении и возможностях настройки песочницы в упоминавшейся выше инструкции про использование песочницы Windows 10.

А вдруг и это будет интересно:

Как настроить и использовать программу-песочницу

Теперь давайте попробуем понять как с этим работать. Для начала Вы можете попробовать запустить, скажем, браузер, в «песочнице». Чтобы это сделать, собственно, либо воспользуйтесь ярлыком, который появился у Вас на рабочем столе, либо используйте в главном окне программы, элементы меню: «DefaultBox — Запустить в песочнице — Запустить Web-браузер», либо, если Вы хотите запустить браузер, который не установлен в системе как браузер по умолчанию, то используйте пункт «Запустить любую программу» и укажите путь к браузеру (или программе).

После этого, собственно, браузер будет запущен в «песочнице» и Вы увидите его процессы в окне Sandboxie. С этого момента всё происходящее происходит в, как уже неоднократно говорилось, изолированной среде и, допустим, вирус, использующий кеш браузера как элемент для проникновения в систему, собственно, не сможет толком ничего сделать, т.к по завершению работы с изолированной средой.. Вы можете её очистить, выкинув, как говорилось в метафоре, исписанный лист и перейдя к новому (при этом никак не трогая целостность компьютера как такового).

Для очистки содержимого песочницы (если оно Вам не нужно), в главном окне программе или в трее (это где часы и прочие иконки) используйте пункт «DefaultBox — Удалить содержимое».

При этом Вы можете сохранить необходимые Вам данные (допустим, если Вы что-то скачивали браузером и тп), либо просто избавиться от всего одним махом.

Внимание! Удалится лишь та часть, что писалась и работала в изолированной среде, т.е, допустим, сам браузер, удалён с компьютера не будет, а вот перенесенная в него.. ммм.

условно говоря, копия процесса, созданный кеш, сохраненные данные (вроде скаченных/созданных файлов) и тп, будут удалены, если Вы их не сохраните.

Чтобы глубже понять принцип работы, попробуйте несколько раз позапускать браузер и другой софт в песочнице, скачивая различные файлы и удаляя/сохраняя содержимое по завершению работы с этой самой песочницей, а потом, допустим, запуская тот же браузер или программу уже непосредственно на компьютере. Поверьте, Вы поймете суть на практике лучше, чем её можно объяснить словами.

Кстати говоря, по нажатию на правую кнопку мышки на процессе в списке процессов окна Sandboxie Вы можете управлять доступом к разного рода ресурсам компьютера в в обход песочницы, выбрав пункт «Доступ к ресурсам».

Грубо говоря, если Вы хотите рискнуть и дать, например, тому же Google Chrome, прямой доступ к какой-либо папке на компьютере, то Вы можете сделать это на соответствующей вкладке (Доступ к файлам — Прямой/полный доступ) с использованием кнопки «Добавить».

Логично, что песочница предназначена не только и не столько для работы с браузером и хождению по разного рода сомнительным сайтам, но и для запуска приложений, которые кажутся Вам подозрительными (особенно, например, на работе (где зачастую плохо настроены права для запуска приложений), запускают сомнительные файлы из почты или флешек) и/или, не должны иметь доступа к основным ресурсам компьютера и/или оставлять там лишних следов.

Кстати говоря, последнее может быть хорошим элементом для защиты конфиденциальности, т.е для запуска какого-либо приложения, данные которого, должны быть начисто изолированы и удалены по завершению работы.

Конечно данные из песочницы не обязательно удалять по завершению и работать с некоторыми программами только в изолированной среде (прогресс запоминается и существует возможность быстрого восстановления), но делать это или нет, — дело Ваше.

При попытке запуска некоторых программ Вы можете столкнуться с вышепоказанной проблемой. Не стоит её пугаться, достаточно, для начала, просто нажать в «ОК», а, в дальнейшем, открыть настройки песочницы методом «DefaultBox — Настройки песочницы» и на вкладке «Перенос файлов» задать чуть больший размер для опции переноса файлов.

На сим, пожалуй, можно переходить к послесловию.

Sandbox

Если среди 95 профилей Firejail нет нужных тебе приложений, а идея писать профили самому не слишком тебя радует, то Sandbox — это твой выбор. Данный вид песочницы технически сильно отличается от двух уже описанных инструментов (он использует правила SELinux вместо seccomp и Namespaces), но в плане функциональности представляет собой нечто среднее.

Как и Mbox, Sandbox полностью отрезает приложение от внешнего мира, позволяя читать только stdin (то есть на вход запущенного в песочнице приложения можно передать данные другого приложения), а писать только в stdout (выводить данные на экран или перенаправлять другому приложению). Все остальное, включая доступ к файловой системе, сигналам, другим процессам и сети, запрещено. Простейший пример использования:

Данная команда читает файл /etc/passwd, извлекает из него имена пользователей и записывает их в файл /tmp/users. Пользы от нее никакой, но она отлично демонстрирует принципы работы Sandbox. В песочнице запускается только команда cut, а сам файл /etc/passwd передается ей с помощью внешней команды. Вывод, с другой стороны, реализуется с помощью обычного перенаправления stdout.

Сообщение SELinux при попытке «свернуть» Vim с помощью Ctrl-Z

Красота Sandbox в том, что с его помощью довольно легко расширить доступные приложению возможности. Например, ты можешь создать для него временные домашний каталог и каталог /tmp, передав команде всего один флаг:

После завершения работы программы эти каталоги будут уничтожены, что весьма удобно при запуске не вызывающего доверия софта. Но что, если домашний каталог нужно сохранять между запусками (ну, допустим, для того, чтобы протестировать софт, работающий с множеством файлов)? Для этого достаточно создать каталог, который станет домашним для песочницы, и добавить еще одну опцию:

Теперь у mc есть свой собственный домашний каталог, куда он может сохранять конфиги и откуда может читать файлы. Также Sandbox позволяет запускать графический софт (с помощью виртуального X-сервера Xephyr). Для этого достаточно передать еще один флаг:

Но и это еще не все. Sandbox имеет встроенные политики безопасности для запуска браузеров. Все, что нужно сделать, — выполнить такую команду:

Причем, как ты уже должен был понять, ты можешь использовать разные домашние каталоги для запуска разных сессий браузера или использовать «одноразовый» домашний каталог для походов по злачным местам. Еще один полезный флаг, о котором стоит упомянуть, — -w, с его помощью можно указать размер окна для графического софта. Он тебе определенно пригодится, так как динамически менять размер окна нельзя (это техническое ограничение Xephyr).

В целом Sandbox — очень удобный инструмент, единственная проблема которого — поддержка в дистрибутивах. Фактически прямо из коробки Sandbox работает только в Fedora, основанных на нем RHEL/CentOS и, возможно, в других дистрибутивах с активированным по умолчанию SELinux.