O sandbox é uma importante técnica de segurançaque isola os programas, impedindo que programas maliciosos ou com mau funcionamento danifiquem ou bisbilhotem o resto do seu computador. O software que você usa já está protegendo grande parte do código que você executa todos os dias.
Você também pode criar suas próprias caixas de areia para testar ou analisar o software em um ambiente protegido, onde ele não poderá causar danos ao restante do sistema.
Como as caixas de areia são essenciais para a segurança
Uma caixa de areia é um ambiente fortemente controladoonde os programas podem ser executados. As caixas de areia restringem o que um pedaço de código pode fazer, fornecendo quantas permissões forem necessárias, sem adicionar permissões adicionais que possam ser abusadas.
Por exemplo, seu navegador da web roda essencialmentepáginas da web que você visita em uma sandbox. Eles estão restritos à execução no navegador e ao acesso a um conjunto limitado de recursos - eles não podem visualizar sua webcam sem permissão ou ler os arquivos locais do seu computador. Se os sites visitados não estivessem na área restrita e isolados do resto do sistema, visitar um site mal-intencionado seria tão ruim quanto instalar um vírus.
Outros programas no seu computador também sãosandboxed. Por exemplo, o Google Chrome e o Internet Explorer são executados em uma caixa de areia. Esses navegadores são programas em execução no seu computador, mas não têm acesso a todo o computador. Eles são executados no modo de baixa permissão. Mesmo que a página da web encontrasse uma vulnerabilidade de segurança e conseguisse assumir o controle do navegador, ela teria que escapar da caixa de proteção do navegador para causar danos reais. Ao executar o navegador da web com menos permissões, obtemos segurança. Infelizmente, o Mozilla Firefox ainda não roda em uma caixa de areia.
O que já está sendo protegido por sandbox
Grande parte do código que seus dispositivos executam todos os dias já está na área restrita para sua proteção:
- Paginas web: Seu navegador basicamente coloca a web na caixa de areiapáginas carregadas. As páginas da Web podem executar o código JavaScript, mas esse código não pode fazer o que ele deseja. Se o código JavaScript tentar acessar um arquivo local no seu computador, a solicitação falhará.
- Conteúdo do plug-in do navegador: Conteúdo carregado pelos plug-ins do navegador - comoAdobe Flash ou Microsoft Silverlight - também é executado em uma sandbox. Jogar um jogo em flash em uma página da Web é mais seguro do que fazer o download de um jogo e executá-lo como um programa padrão, porque o Flash isola o jogo do restante do sistema e restringe o que ele pode fazer. Os plug-ins de navegador, principalmente Java, são um alvo frequente de ataques que usam vulnerabilidades de segurança para escapar dessa caixa de proteção e causar danos.
- PDFs e outros documentos: O Adobe Reader agora executa arquivos PDF em uma sandbox,impedindo-os de escapar do visualizador de PDF e violar o restante do seu computador. O Microsoft Office também possui um modo sandbox para impedir que macros inseguras danifiquem seu sistema.
- Navegadores e outros aplicativos potencialmente vulneráveis: Os navegadores da Web são executados no modo de baixa permissão e em área restrita para garantir que não causem muitos danos se forem comprometidos:
- Aplicativos móveis: Plataformas móveis executam seus aplicativos em uma sandbox. Os aplicativos para iOS, Android e Windows 8 não podem executar muitas das ações que os aplicativos de desktop padrão podem fazer. Eles precisam declarar permissões se quiserem algo como acessar sua localização. Em troca, ganhamos um pouco de segurança - a sandbox também isola aplicativos um do outro, para que eles não possam mexer um com o outro.
- Programas do Windows: O controle de conta de usuário funciona como um poucosandbox, restringindo essencialmente os aplicativos da área de trabalho do Windows de modificar os arquivos do sistema sem primeiro pedir permissão. Observe que essa é uma proteção muito mínima - qualquer programa da área de trabalho do Windows pode optar por ficar em segundo plano e registrar todas as teclas digitadas, por exemplo. O Controle de Conta de Usuário apenas restringe o acesso aos arquivos e configurações do sistema.
Como sandbox qualquer programa
Os programas para computador geralmente não são colocados na área restrita porpadrão. Claro, há UAC - mas, como mencionamos acima, esse é um sandbox muito mínimo. Se você deseja testar um programa e executá-lo sem que ele possa interferir com o restante do sistema, você pode executar qualquer programa em uma sandbox.
- Máquinas virtuais: Um programa de máquina virtual como o VirtualBox ouO VMware cria dispositivos de hardware virtual que ele usa para executar um sistema operacional. O outro sistema operacional é executado em uma janela na área de trabalho. Todo esse sistema operacional é essencialmente em área restrita, pois não tem acesso a nada fora da máquina virtual. Você pode instalar o software no sistema operacional virtualizado e executá-lo como se estivesse sendo executado em um computador padrão. Isso permitiria instalar malware e analisá-lo, por exemplo - ou apenas instalar um programa e ver se ele faz alguma coisa ruim. Os programas de máquina virtual também contêm recursos de captura instantânea para que você possa "reverter" o sistema operacional convidado para o estado em que estava antes de instalar o software incorreto.
- Sandboxie: Sandboxie é um programa do Windows que criacaixas de areia para aplicativos do Windows. Ele cria ambientes virtuais isolados para programas, impedindo-os de fazer alterações permanentes no seu computador. Isso pode ser útil para testar software. Consulte nossa introdução ao Sandboxie para obter mais detalhes.
O sandbox não é algo que o usuário médio precisapreocupar-se com. Os programas usados fazem o sandbox funcionar em segundo plano para mantê-lo seguro. No entanto, lembre-se do que é sandbox e do que não é, por isso é mais seguro carregar qualquer site do que executar qualquer programa.
No entanto, se você deseja colocar na caixa de areia um programa de área de trabalho padrão que normalmente não estaria na caixa de areia, faça-o com uma das ferramentas acima.
