In nur zehn Schritten zur Sandbox: Dan Walsh wählt "User Application" für die Sandbox, weil das Sicherheitstool ebenso für den Anwender wie den Administrator gedacht ist.
Das Sicherheits-Framework SE Linux bietet künftig auch einen Sandkasten (Sandbox), in dem nicht-sichere Applikationen abgeschottet von anderen Systembereichen ausgeführt werden können .
Die Red-Hat-Mitarbeiter Dan Walsh und Eric Paris haben das zusätzliche Sicherheitstool geschrieben, und der SE-Linux-Projektleiter Walsh beschreibt die Funktionsweise und Entstehung in einem ausführlichen Blogeintrag. Die Grundidee: Mittels SE Linux sollen die Aktionen eingeschränkt werden, die eine Anwendung ausführen kann. Damit könnten Anwender auch ungeprüfte Programme ausführen oder Daten bearbeiten, die nicht als sicher gelten.
Durch eine Anfrage auf der Linux-Kernelliste kamen die Entwickler auf die Idee, SE-Linux-Policies zu verwenden, um eine Sandbox herzustellen. Walsh beschreibt das so: “Im Bugreport ging es um Beschränkung für Grep, Awk, Ls. Die Idee dahinter: Könnten wir nicht das Grep- oder Mv-Kommando daran hindern, plötzliche eine Netzwerkverbindung zu öffnen und meine “/etc/shadow”-Datei an Unbekannte zu kopieren?“ Als weiteren Einsatzbereich der Sandbox nennt Walsh so genannte Grid-Jobs beim verteilten Rechnen. Er sieht hierbei die Gefahr, dass Grid Jobs möglicherweise zu Spam-Bots werden oder auf andere Weise das System angreifen.
Für das Schreiben der Policy brauchte er mit den GUI-Programm von Fedora 11 nur zehn Klicks, berichtet Rush. Er liefert Interessierten eine genaue Anleitung. Neben der Policy hat er auch das Tool “usr/bin/sandbox” geschrieben, das Inhalte in den Sandkasten befördert. Ein Problem hat Rush in der aktuellen Version noch nicht aufgegriffen: “Derzeit habe ich noch nicht die Absicht, X-Anwendungen in der Sandox zu nutzen, weil diese Programme das ganze Home-Verzeichnis, “~/.gconf”, “~/.gnome”, “~/.config” … und alles aus “/tmp” überschreiben wollen []“, so Rush. Ideen für eine Lösung habe er allerdings schon.
In nur zehn Schritten zur Sandbox: Dan Walsh wählt “User Application” für die Sandbox, weil das Sicherheitstool ebenso für den Anwender wie den Administrator gedacht ist.
In einer Mail an die Linux-Kernelliste stellt Mitentwickler Eric Paris die SE-Linux-Sandbox mit einem einfachen Anwendungsbeispiel vor und bittet um Erfahrungsberichte. Er schreibt: “Probierts aus, SE-Linux-Beschränkungen leicht gemacht.”
