Abo
  • Services:
Anzeige
David Mirza Ahmad ist Chefentwickler von Subgraph OS.
David Mirza Ahmad ist Chefentwickler von Subgraph OS. (Bild: Hauke Gierow/Golem.de)

Sandboxing per Namespace-Restriktion

Der eigentliche Clou von Subgraph aber ist ein selbst entwickeltes Sandboxing-Konzept, das auf dem ebenfalls selbst entwickelten Wrapper Oz basiert. "Ein normales Linux-Programm hat rund 300 Schnittstellen, die System Calls, um mit dem Kernel zu kommunizieren", sagt Ahmad. Darunter seien aber zahlreiche Berechtigungen aktiviert, die zur Ausführung bestimmter Programme nicht notwendig seien - und so eine unnötige Angriffsfläche böten. Der PDF-Viewer brauche zum Beispiel in der Regel keinen Zugriff auf die Audioschnittstellen, selbst wenn der PDF-Standard entsprechende Funktionen unterstütze.

Anzeige

Öffnet der Nutzer ein einzelnes PDF, sei es außerdem nicht notwendig, dass der PDF-Viewer Schreibrechte für das gesamte Home-Verzeichnis bekomme, sagt Ahmad. Diese Berechtigungen beschränkt Subgraph auf ein jeweils sinnvolles Maß. In der derzeit vorliegenden Alphaversion sind entsprechende Konfigurationen für eine Reihe von Applikationen implementiert: der Tor-Browser, das Chat-Programm Coy, Libreoffice, VLC, der Dateimanager Nautilus und der Mailclient Icedove. Eine detaillierte Analyse der Konzepte hinter Oz werden wir zu einem späteren Zeitpunkt vornehmen.

Abhilfe gegen Ransomware

Nach Aussage der Entwickler könnte das Sandboxing-Konzept Angriffe mit Ransomware verhindern, wenn mit Malware infizierte Dokumente mit einem Programm in der Sandbox geöffnet werden. Ransomware gibt es nicht mehr nur für Windows, wie aktuelle Beispiele zeigen. Die jüngst gefundene Mac-OS-Ransomware Keeranger etwa basiert auf dem Linux-Trojaner Linux.Encoder.1.

  • Subgraph-Entwickler David Mirza Ahmad (Bild: Hauke Gierow/Golem.de)
  • Der Anmeldebildschirm mit Standard-Benutzernamen (Screenshot: Golem.de)
  • Als Mailclient kommt derzeit noch Icedove zum Einsatz. (Screenshot Golem.de)
  • Die Standard-Gnome-Shell. Rechts oben befinden sich der Tor-Indikator und das Oz-Menü. (Screenshot: Golem.de)
  • Auch die Einstellungen des integrierten Chatprogramms können verschlüsselt werden. (Screenshot: Golem.de)
  • Die Festplatte wird mit Subgraph standardmäßig verschlüsselt. (Screenshot: Golem.de)
  • Der gesamte Betriebssystemtraffic läuft über Tor - noch. (Screenshot: Golem.de)
  • Der Taschenrechner möchte sich mit dem IWF verbinden ... (Screenshot: Golem.de)
  • ... und mit der Europäischen Zentralbank. (Screenshot: Golem.de)
  • Der Tor-Browser ist als Standardbrowser mit dabei. (Screenshot: Golem.de)
  • Zweimal Nautilus, einmal in der Sandbox (r.) einmal außerhalb (l.) (Screenshot: Golem.de)
  • Das Oz-Menü listet geöffnete Ordner und Sandbox-Applikationen auf. (Screenshot: Golem.de)
  • Die Firewall listet alle erteilten Berechtigungen auf. (Screenshot: Golem.de)
Zweimal Nautilus, einmal in der Sandbox (r.) einmal außerhalb (l.) (Screenshot: Golem.de)

Denn öffne ein Nutzer in Subgraph eine Datei, erhalte das zuständige Programm keine Schreibrechte für das gesamte Home-Verzeichnis und könne die persönlichen Daten des Nutzers daher auch nicht verschlüsseln, sagt Ahmad. Die Sandbox isoliert auch die Eingaben einzelner Programme voneinander. Das Team demonstriert das anhand von Xeyes. Wird das Programm ohne Sandbox gestartet, wandern die Augen jederzeit mit dem Mauszeiger mit. Im Sandbox-Modus hingegen bewegen sich die Pupillen nur, wenn die Maus innerhalb des Programmfensters bewegt wird.

 Sicheres Linux Subgraph OS ausprobiert: Diese Alphaversion hat PotenzialEntwickler sollen Whitelists definieren können 

eye home zur Startseite
Atalanttore 05. Mai 2016

Mit den richtigen Suchbegriffen (z.B. "coy messenger linux", also mehr als nur "Coy...

Seitan-Sushi-Fan 27. Mär 2016

Keine Distribution mit OpenSSL ist sicher. Void Linux zeigt ja, dass es mit LibreSSL...

SjeldneJordartar 21. Mär 2016

Konnte das jemand schon testen?

ITLeer 21. Mär 2016

;-)

liberavia 18. Mär 2016

gibt es da irgendwelche sachlichen Gründe warum OZ entwickelt wurde statt auf das...



Anzeige

Stellenmarkt
  1. Isar Kliniken GmbH, München
  2. Max-Planck-Förderstiftung c/o P+P Pöllath + Partners, München
  3. Stabilus GmbH, Koblenz
  4. über Ratbacher GmbH, Hamburg


Anzeige
Blu-ray-Angebote
  1. (u. a. Django, Elysium, The Equalizer, White House Down, Ghostbusters 2)
  2. (u. a. Der Hobbit 3 für 9,99€ u. Predator für 12,49€)
  3. (u. a. Der Marsianer, The Hateful 8, Interstellar, Django Unchained, London Has Fallen, Olympus Has...

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mit digitalen Workflows Geschäftsprozesse agiler machen
  2. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. Arms angespielt

    Besser boxen ohne echte Arme

  2. Anschlüsse

    Wi-Fi im Nahverkehr wichtiger als im ICE

  3. NSA-Ausschuss

    SPD empört über "Schweigekartell" der US-Konzerne

  4. Bug Bounty

    Facebook zahlt 40.000 US-Dollar für Imagetragick-Bug

  5. Fifa 17

    Update bringt größere Änderungen in Fifa Ultimate Team

  6. Fab-Ausrüster

    ASML hat sechs Bestellungen für seine neuen EUV-Maschinen

  7. Überbau

    Bundesländer hoffen auf Ende der Telekom-Störmanöver

  8. Mi Mix im Test

    Xiaomis randlose Innovation mit kleinen Makeln

  9. GFX 50S

    Fujifilm bringt spiegellose Mittelformatkamera auf den Markt

  10. Dobrindt

    Strengere Vorschriften für Drohnen- und Modellflugzeug-Flüge



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Intel Core i7-7700K im Test: Kaby Lake = Skylake + HEVC + Overclocking
Intel Core i7-7700K im Test
Kaby Lake = Skylake + HEVC + Overclocking
  1. Kaby Lake Intel macht den Pentium dank HT fast zum Core i3
  2. Kaby Lake Refresh Intel plant weitere 14-nm-CPU-Generation
  3. Intel Kaby Lake Vor der Vorstellung schon im Handel

Dienste, Programme und Unternehmen: Was 2016 eingestellt und geschlossen wurde
Dienste, Programme und Unternehmen
Was 2016 eingestellt und geschlossen wurde
  1. Kabel Mietminderung wegen defektem Internetkabel zulässig
  2. Grundversorgung Kanada macht Drosselung illegal
  3. Internetzugänge 50 MBit/s günstiger als 16 MBit/s

GPD Win im Test: Crysis in der Hosentasche
GPD Win im Test
Crysis in der Hosentasche
  1. FTC Qualcomm soll Apple zu Exklusivvertrag gezwungen haben
  2. Steadicam Volt Steadicam-Halterung für die Hosentasche
  3. Tastaturhülle Canopy hält Magic Keyboard und iPad zum Arbeiten zusammen

  1. Re: Das macht der doch...

    neocron | 14:09

  2. OT: 3 Monate - Mein Fazit

    david_rieger | 14:08

  3. Re: Was genau klaut die Ressourcen?

    Manuel82b | 14:08

  4. Re: Ein vom Provider gemanagter Router hat mehr...

    Dr.Glitch | 14:08

  5. Re: Eigene Kabelrouter

    DooMMasteR | 14:07


  1. 14:00

  2. 13:37

  3. 13:20

  4. 13:00

  5. 12:45

  6. 12:30

  7. 12:14

  8. 12:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel