Как сделать песочницу для приложений?

Полная виртуализация / эмуляция (VirtualBox)

Одним из возможных решений является программное обеспечение для виртуализации, такое как VirtualBox, которое вы можете найти в центре программного обеспечения.

• Установить виртуальную коробку
• Создать виртуальную машину с включенной сетью
• Установить Ubuntu или, возможно, более легкий рабочий стол, такой как Lubuntu
• Полностью обновить установленную ОС ( изнутри Virtual Box)
• Отключить сеть на виртуальной машине
• Сделать снимок

Теперь вы можете установить программное обеспечение, которому вы не доверяете, чтобы увидеть, что оно делает , Он не может расстроить внешний мир или вы размещаете ОС, поскольку у него нет доступа.

Однако, это может привести к повреждению вашей виртуальной машины, но если это так, вы можете просто восстановить из своего снимка.

Могут быть и другие методы ограничения разрушительной силы ненадежного программного обеспечения, но это самый надежный метод, который я могу себе представить.

Виртуализация на основе контейнеров (Docker / LXC)

Другой вариант может быть LXC Подробнее здесь

LXC - это пакет управления пользовательского пространства для контейнеров Linux - легкий механизм виртуальной системы, который иногда называют «chroot на стероидах».

LXC собирается из chroot для реализации законченных виртуальных систем, добавляя механизмы управления ресурсами и изоляции в существующую инфраструктуру управления процессами в Linux.

Это доступно в программном центре. Однако у меня нет опыта.

mbox

Mbox - это легкий механизм песочницы, который любой пользователь может использовать без особых привилегий в обычных операционных системах.

• Источник репо

Я использовал его для нескольких вещей надежно.

subuser

Вы можете использовать subuser для песочницы ваших приложений с Docker. Это позволяет вам делать такие вещи, как приложения для песочницы с графическим интерфейсом, что непросто сделать напрямую с Docker.

sudo apt install subuser

• Использование subuser - краткое руководство

Docker поможет вам настроить контейнеры, которые вы можете запускать из своего текущего ядра, но хранить вдали от остальной части вашей системы. Это кажется довольно современным, но в Ubuntu есть хорошая документация.

Я думаю, возможное решение - создать отдельного пользователя для целей тестирования и ограничить его привилегии. Таким образом, вы не потеряете в производительности, что определенно произойдет в виртуальной машине, но я думаю, что это менее безопасно, если не настроено очень правильно, что я не могу посоветовать, как это сделать.

DoSH - Docker SHell

В случае, если вы просто хотите изолировать активность пользователей, вы можете использовать «DoSH»

DoSH ( что означает Docker SHell) - это разработка для создания контейнеров Docker, когда пользователи входят в систему Linux и запускают в них оболочку вместо простого создания оболочки.

Если они действительно не заслуживают доверия, и вы хотите быть уверены, вы должны установить отдельную коробку. Либо действительно, либо виртуально.

Кроме того, вы не хотите, чтобы этот ящик находился в той же сети, что и ваши важные вещи, если вы достаточно параноидальны. Во всех решениях вы бы создали отдельного пользователя без прав, чтобы не открывать слишком много инструментов для потенциального компромиссного решения.

• Поэтому самым безопасным вариантом будет отдельное поле, физически удаленное из вашей сети.
• Вы могли бы немного уступить, добавив его в физическую сеть, но в другой подсети: нет «реального» соединения внутри
• Виртуальная машина была бы вариантом, но, возможно, придется отказаться от некоторых Производительность

Если вы собираетесь запустить его на одном и том же компьютере, у вас есть, например, эта опция

• chroot. Это вариант по умолчанию для многих людей, и для неспецифических угроз это может даже сработать. Но это НЕ вариант безопасности, и его можно легко взломать. Я бы предложил использовать это по назначению, то есть не для безопасности.

В конце вам может понадобиться настроить конкретную модель песочницы без хлопот виртуализации или отдельных блоков, или ситуации все еще подверженной риску chroot. Я сомневаюсь, что это то, что вы имели в виду, но посмотрите на эту ссылку для получения более подробной информации.