Uygulamaları nasıl zımparalayabilirim?

Güvenilmeyen küçük programlar çalıştırmak istiyorum, ancak klasörlerinin dışındaki herhangi bir dosyaya, ağ erişimine ve gerçekten ihtiyaç duymadıkları her şeye erişmelerini engellemek istiyorum. Bunu başarmanın en basit yolu nedir?

Gerçekten güvenilmezlerse ve emin olmak istiyorsanız, ayrı bir kutu hazırladınız. Ya gerçekten ya da neredeyse.

Dahası, yeterince paranoyak olmanız durumunda, bu kutunun önemli şeylerinizle aynı ağda olmasını istemezsiniz. Tüm çözümlerde, hak sahibi olmayan ayrı bir kullanıcı kurdunuz, bu yüzden olası müşteri adayına çok fazla araç açmamak için.

• Bu yüzden en güvenli seçenek ağınızdan fiziksel olarak çıkartılmış ayrı bir kutu olacaktır.
• Fiziksel ağa ekleyerek biraz verebilirsiniz, ancak farklı bir alt ağda: içinde 'gerçek' bağlantı yok
• Sanal bir makine bir seçenek olabilir, ancak performanstan vazgeçmek zorunda kalabilir

Aynı kutu üzerinde çalıştırma zorunluluğu varsa, örneğin, bu seçenek

• chroot. Bu, birçok insan için bunu yapmak için varsayılan bir seçenektir ve spesifik olmayan tehditler için bile işe yarayabilir. Ancak bu bir güvenlik seçeneği DEĞİLDİR ve oldukça kolay bir şekilde kırılabilir. Bunu, güvenlik için değil, amaçlandığı şekilde kullanmanızı öneririm.

Sonunda, sanallaştırma zorluğu veya ayrı kutular veya risk altındaki hal durumu olmadan belirli bir sanal alan modeli kurmanız gerekebilir chroot. Bunun ne demek istediğinden şüpheliyim ama daha ayrıntılı bilgi için bu bağlantıya bakın.

Firejail oldukça yeni ve sürekli gelişim içinde. Kullanımı kolay.

Basitçe:

sudo apt-get install firejail
firejail app

Docker , mevcut çekirdeğinizden kaçabileceğiniz kapları ayarlamanıza yardımcı olur, ancak sisteminizin geri kalanından uzak durun. Oldukça yeni görünüyor ama Ubuntu'da iyi bir dokümantasyon var.

Tam sanallaştırma / öykünme (VirtualBox)

Olası bir çözüm, yazılım merkezinde bulabileceğiniz VirtualBox gibi sanallaştırma yazılımıdır.

• Sanal kutu yükle
• Ağ etkinleştirilmiş bir sanal makine oluşturun
• Ubuntu'yu veya Lubuntu gibi daha hafif bir masaüstünü kurun.
• Yüklü işletim sistemini tamamen güncelle (Sanal kutu içinde)
• Sanal makinede ağ bağlantısını devre dışı bırak
• Anlık görüntü al

Artık ne yaptığını görmek için güvenmediğiniz yazılımı yükleyebilirsiniz. Dış dünyayı altüst edemez ya da erişimi olmayan bir işletim sistemi barındırırsınız.

Bununla birlikte, sanal makinenizi çöpe atabilir, ancak çıkarırsa, yalnızca anlık görüntünüzden geri yükleyebilirsiniz.

Güvenilmeyen yazılımların yıkıcı gücünü sınırlamak için başka yöntemler olabilir, ancak bu düşünebildiğim en sağlam yöntem.

Konteyner tabanlı sanallaştırma (Docker / LXC)

Başka bir seçenek burada LXC daha fazla bilgi olabilir

LXC, bazen “steroidler üzerinde chroot” olarak tanımlanan hafif bir sanal sistem mekanizması olan Linux Containers için kullanıcı kontrol paketidir.

LXC, Linux'un mevcut süreç yönetimi altyapısına kaynak yönetimi ve izolasyon mekanizmaları ekleyerek eksiksiz sanal sistemleri uygulamak için chroot'tan inşa edilmiştir.

Yazılım merkezinde mevcut. Bununla birlikte hiçbir deneyimim yok.

mbox

Mbox, herhangi bir kullanıcının emtia işletim sistemlerinde özel imtiyazlar olmadan kullanabileceği hafif bir kumlama mekanizmasıdır.

• Kaynak repo

Birkaç şey için güvenilir bir şekilde kullandım.

subuser

Docker ile uygulamalarınızı zımparalamak için alt kullanıcı kullanabilirsiniz. Bu, doğrudan Docker ile yapması kolay olmayan sanal alan GUI uygulamaları gibi şeyler yapmanızı sağlar.

sudo apt install subuser

• Alt kullanıcı kullanımı - hızlı bir eğitim

Bence, olası bir çözüm, test amacıyla ayrı bir kullanıcı oluşturmak ve ayrıcalıklarını sınırlamaktır. Bu şekilde performans kaybetmezsiniz, sanal makinede kesinlikle ne olur, ama bence daha doğru kurulmazsa, bunun nasıl yapılacağı konusunda tavsiyem edemediğim için daha az güvenli.

DoSH - Docker Kabuğu

Kullanıcıların aktivitelerini sanallaştırmak istiyorsanız, "DoSH" kullanabilirsiniz.

DoSH (Docker SHell anlamına gelir), kullanıcılar Linux sisteminde oturum açtığında ve içine bir kabuk koyduklarında, kabuk oluşturmak yerine Docker kapları oluşturmak için bir gelişmedir.