Il sandboxing è un'importante tecnica di sicurezza che isola i programmi, impedendo a programmi dannosi o malfunzionanti di danneggiare o spiare il resto del computer. Il software che utilizzi esegue già il sandboxing di gran parte del codice che esegui ogni giorno.
Puoi anche creare sandbox personalizzati per testare o analizzare il software in un ambiente protetto in cui non sarà in grado di danneggiare il resto del sistema.
In che modo i sandbox sono essenziali per la sicurezza
Una sandbox è un ambiente strettamente controllato in cui è possibile eseguire i programmi. I sandbox limitano ciò che può fare un pezzo di codice, dandogli tutte le autorizzazioni necessarie senza aggiungere autorizzazioni aggiuntive che potrebbero essere utilizzate in modo improprio.
Ad esempio, il tuo browser web esegue essenzialmente le pagine web che visiti in una sandbox. Sono limitati a essere eseguiti nel tuo browser e ad accedere a un insieme limitato di risorse: non possono visualizzare la tua webcam senza autorizzazione o leggere i file locali del tuo computer. Se i siti web che visiti non fossero in modalità sandbox e isolati dal resto del sistema, visitare un sito web dannoso sarebbe dannoso come installare un virus.
Anche altri programmi sul tuo computer sono in modalità sandbox. Ad esempio, Google Chrome e Internet Explorer vengono eseguiti entrambi in una sandbox. Questi browser sono programmi in esecuzione sul tuo computer, ma non hanno accesso all'intero computer. Funzionano in una modalità a bassa autorizzazione. Anche se la pagina web trovasse una vulnerabilità di sicurezza e riuscisse a prendere il controllo del browser, dovrebbe quindi sfuggire alla sandbox del browser per fare danni reali. Eseguendo il browser web con meno autorizzazioni, otteniamo sicurezza. Purtroppo, Mozilla Firefox non funziona ancora in una sandbox .
Che cosa è già in fase di sandbox
Gran parte del codice che i tuoi dispositivi eseguono ogni giorno è già sandbox per la tua protezione:
- Web Pages : Il tuo browser essenzialmente sandbox le pagine web che carica. Le pagine web possono eseguire codice JavaScript, ma questo codice non può fare tutto ciò che vuole: se il codice JavaScript tenta di accedere a un file locale sul tuo computer, la richiesta non andrà a buon fine.
- Contenuto plug-in del browser : Il contenuto caricato dai plug-in del browser, come Adobe Flash o Microsoft Silverlight, viene eseguito anche in una sandbox. Giocare a un gioco in flash su una pagina Web è più sicuro che scaricare un gioco ed eseguirlo come programma standard perché Flash isola il gioco dal resto del sistema e limita ciò che può fare. Plug-in del browser, in particolare Java , sono un obiettivo frequente di attacchi che utilizzano vulnerabilità della sicurezza per sfuggire a questa sandbox e causare danni.
- PDF e altri documenti : Adobe Reader ora esegue i file PDF in una sandbox, impedendo loro di sfuggire al visualizzatore PDF e di manomettere il resto del computer. Microsoft Office dispone anche di una modalità sandbox per evitare che macro non sicure danneggino il sistema.
- Browser e altre applicazioni potenzialmente vulnerabili : I browser web vengono eseguiti in modalità sandbox a bassa autorizzazione per garantire che non possano fare molti danni se vengono compromessi:
- App mobili : Le piattaforme mobili eseguono le proprie app in una sandbox. Le app per iOS, Android e Windows 8 non possono eseguire molte delle cose che le applicazioni desktop standard possono fare. Devono dichiarare le autorizzazioni se vogliono fare qualcosa come accedere alla tua posizione. In cambio, otteniamo un po 'di sicurezza: la sandbox isola anche le app l'una dall'altra, in modo che non possano alterarsi a vicenda.
- Programmi Windows : Controllo dell'account utente funziona come una sorta di sandbox, essenzialmente limitando le applicazioni desktop di Windows a modificare i file di sistema senza prima chiederti il permesso. Nota che questa è una protezione minima: qualsiasi programma desktop di Windows potrebbe scegliere di rimanere in background e registrare tutte le tue battiture, ad esempio. Il controllo dell'account utente limita semplicemente l'accesso ai file di sistema e alle impostazioni a livello di sistema.
Come sandbox qualsiasi programma
I programmi desktop non vengono generalmente sottoposti a sandbox per impostazione predefinita. Certo, c'è UAC, ma come accennato in precedenza, si tratta di sandboxing minimo. Se vuoi testare un programma ed eseguirlo senza che sia in grado di interferire con il resto del tuo sistema, puoi eseguire qualsiasi programma in una sandbox.
- Macchine virtuali : Un programma per macchina virtuale come VirtualBox o VMware crea dispositivi hardware virtuali che utilizza per eseguire un sistema operativo. L'altro sistema operativo viene eseguito in una finestra sul desktop. L'intero sistema operativo è essenzialmente sandbox, poiché non ha accesso a nulla al di fuori della macchina virtuale. È possibile installare il software sul sistema operativo virtualizzato ed eseguirlo come se fosse in esecuzione su un computer standard. Ciò ti consentirebbe di installare malware e analizzarlo, ad esempio, o semplicemente installare un programma e vedere se fa qualcosa di male. I programmi della macchina virtuale contengono anche funzionalità di snapshot, quindi puoi farlo "Ripristinare" il sistema operativo guest allo stato in cui si trovava prima di installare il software danneggiato.
- Sandboxie : Sandboxie è un programma Windows che crea sandbox per applicazioni Windows. Crea ambienti virtuali isolati per i programmi, impedendo loro di apportare modifiche permanenti al tuo computer. Questo può essere utile per testare il software. Consulta il nostro introduzione a Sandboxie per ulteriori dettagli.
Il sandboxing non è qualcosa di cui l'utente medio deve preoccuparsi. I programmi che utilizzi eseguono il sandboxing in background per mantenerti al sicuro. Tuttavia, dovresti tenere a mente cosa è sandbox e cosa no: ecco perché è più sicuro caricare qualsiasi sito web che eseguire qualsiasi programma.
Tuttavia, se desideri eseguire il sandbox di un programma desktop standard che normalmente non verrebbe sottoposto a sandbox, puoi farlo con uno degli strumenti di cui sopra.
