Le sandboxing est une technique de sécurité importante qui isole les programmes, empêchant les programmes malveillants ou défectueux d'endommager ou d'espionner le reste de votre ordinateur. Le logiciel que vous utilisez transforme déjà en sandbox une grande partie du code que vous exécutez chaque jour.
Vous pouvez également créer vos propres bacs à sable pour tester ou analyser des logiciels dans un environnement protégé où ils ne pourront pas endommager le reste de votre système.
Comment les bacs à sable sont essentiels pour la sécurité
Un bac à sable est un environnement étroitement contrôlé dans lequel des programmes peuvent être exécutés. Les bacs à sable restreignent ce qu'un morceau de code peut faire, en lui donnant autant d'autorisations que nécessaire sans ajouter d'autorisations supplémentaires qui pourraient être abusées.
Par exemple, votre navigateur Web exécute essentiellement les pages Web que vous visitez dans un bac à sable. Ils ne peuvent pas s'exécuter dans votre navigateur et accéder à un ensemble limité de ressources. Ils ne peuvent pas afficher votre webcam sans autorisation ni lire les fichiers locaux de votre ordinateur. Si les sites Web que vous visitez n’étaient pas mis en bac à sable et isolés du reste de votre système, visiter un site Web malveillant serait aussi grave que d’installer un virus.
D'autres programmes sur votre ordinateur sont également mis en bac à sable. Par exemple, Google Chrome et Internet Explorer s'exécutent eux-mêmes dans un bac à sable. Ces navigateurs sont des programmes exécutés sur votre ordinateur, mais ils n’ont pas accès à l’ensemble de votre ordinateur. Ils fonctionnent en mode à faible autorisation. Même si la page Web découvrait une faille de sécurité et réussissait à prendre le contrôle du navigateur, elle devrait alors s'échapper du bac à sable du navigateur pour causer de réels dommages. En exécutant le navigateur Web avec moins d'autorisations, nous gagnons en sécurité. Tristement, Mozilla Firefox ne fonctionne toujours pas dans un bac à sable .
Ce qui est déjà en bac à sable
Une grande partie du code que vos appareils exécutent chaque jour est déjà en bac à sable pour votre protection:
- Web Pages : Votre navigateur met essentiellement en sandbox les pages Web qu'il charge. Les pages Web peuvent exécuter du code JavaScript, mais ce code ne peut pas faire quoi que ce soit. Si le code JavaScript tente d'accéder à un fichier local sur votre ordinateur, la demande échouera.
- Contenu du plug-in de navigateur : Le contenu chargé par des plug-ins de navigateur, tels qu'Adobe Flash ou Microsoft Silverlight, est également exécuté dans un bac à sable. Jouer à un jeu flash sur une page Web est plus sûr que de télécharger un jeu et de l'exécuter en tant que programme standard car Flash isole le jeu du reste de votre système et restreint ce qu'il peut faire. Plug-ins de navigateur, en particulier Java , sont une cible fréquente d'attaques qui utilisent des vulnérabilités de sécurité pour échapper à ce bac à sable et causer des dégâts.
- PDF et autres documents : Adobe Reader exécute désormais les fichiers PDF dans un bac à sable, ce qui les empêche d'échapper à la visionneuse PDF et d'altérer le reste de votre ordinateur. Microsoft Office dispose également d'un mode sandbox pour empêcher les macros non sécurisées d'endommager votre système.
- Navigateurs et autres applications potentiellement vulnérables : Les navigateurs Web fonctionnent en mode bac à sable à faible autorisation pour s'assurer qu'ils ne peuvent pas faire beaucoup de dégâts s'ils sont compromis:
- Mobile Apps : Les plates-formes mobiles exécutent leurs applications dans un bac à sable. Les applications pour iOS, Android et Windows 8 ne peuvent pas effectuer de nombreuses tâches que les applications de bureau standard peuvent faire. Ils doivent déclarer des autorisations s'ils veulent faire quelque chose comme accéder à votre emplacement. En retour, nous gagnons en sécurité - le bac à sable isole également les applications les unes des autres, afin qu'elles ne puissent pas se falsifier les unes les autres.
- Programmes Windows : Contrôle de compte d'utilisateur fonctionne un peu comme un bac à sable, empêchant essentiellement les applications de bureau Windows de modifier les fichiers système sans vous demander au préalable la permission. Notez qu'il s'agit d'une protection très minimale - n'importe quel programme de bureau Windows peut choisir de rester en arrière-plan et d'enregistrer toutes vos frappes au clavier, par exemple. Le contrôle de compte d'utilisateur limite simplement l'accès aux fichiers système et aux paramètres à l'échelle du système.
Comment mettre en bac à sable n'importe quel programme
Les programmes de bureau ne sont généralement pas mis en bac à sable par défaut. Bien sûr, il y a UAC - mais comme nous l'avons mentionné ci-dessus, c'est un bac à sable très minimal. Si vous souhaitez tester un programme et l'exécuter sans qu'il puisse interférer avec le reste de votre système, vous pouvez exécuter n'importe quel programme dans un bac à sable.
- Virtual Machines : Un programme de machine virtuelle comme VirtualBox ou VMware crée des périphériques matériels virtuels qu'il utilise pour exécuter un système d'exploitation. L'autre système d'exploitation s'exécute dans une fenêtre sur votre bureau. L'ensemble de ce système d'exploitation est essentiellement mis en bac à sable, car il n'a accès à rien en dehors de la machine virtuelle. Vous pouvez installer un logiciel sur le système d'exploitation virtualisé et exécuter ce logiciel comme s'il s'exécutait sur un ordinateur standard. Cela vous permettrait d'installer des logiciels malveillants et de les analyser, par exemple - ou simplement d'installer un programme et de voir s'il fait quelque chose de mal. Les programmes de machine virtuelle contiennent également des fonctionnalités de snapshot afin que vous puissiez "Restaurer" votre système d'exploitation invité à l'état dans lequel il se trouvait avant d'installer le mauvais logiciel.
- Sandboxie : Sandboxie est un programme Windows qui crée des sandbox pour les applications Windows. Il crée des environnements virtuels isolés pour les programmes, les empêchant d'apporter des modifications permanentes à votre ordinateur. Cela peut être utile pour tester le logiciel. Consultez notre introduction à Sandboxie pour plus de détails.
Le sandboxing n'est pas quelque chose dont l'utilisateur moyen doit se soucier. Les programmes que vous utilisez font le travail de bac à sable en arrière-plan pour vous protéger. Cependant, vous devez garder à l'esprit ce qui est sandbox et ce qui ne l'est pas - c'est pourquoi il est plus sûr de charger n'importe quel site Web que d'exécuter n'importe quel programme.
Cependant, si vous souhaitez mettre en bac à sable un programme de bureau standard qui ne serait normalement pas en bac à sable, vous pouvez le faire avec l'un des outils ci-dessus.
