Abo
  • Services:
Anzeige
David Mirza Ahmad ist Chefentwickler von Subgraph OS.
David Mirza Ahmad ist Chefentwickler von Subgraph OS. (Bild: Hauke Gierow/Golem.de)

Sandboxing per Namespace-Restriktion

Der eigentliche Clou von Subgraph aber ist ein selbst entwickeltes Sandboxing-Konzept, das auf dem ebenfalls selbst entwickelten Wrapper Oz basiert. "Ein normales Linux-Programm hat rund 300 Schnittstellen, die System Calls, um mit dem Kernel zu kommunizieren", sagt Ahmad. Darunter seien aber zahlreiche Berechtigungen aktiviert, die zur Ausführung bestimmter Programme nicht notwendig seien - und so eine unnötige Angriffsfläche böten. Der PDF-Viewer brauche zum Beispiel in der Regel keinen Zugriff auf die Audioschnittstellen, selbst wenn der PDF-Standard entsprechende Funktionen unterstütze.

Anzeige

Öffnet der Nutzer ein einzelnes PDF, sei es außerdem nicht notwendig, dass der PDF-Viewer Schreibrechte für das gesamte Home-Verzeichnis bekomme, sagt Ahmad. Diese Berechtigungen beschränkt Subgraph auf ein jeweils sinnvolles Maß. In der derzeit vorliegenden Alphaversion sind entsprechende Konfigurationen für eine Reihe von Applikationen implementiert: der Tor-Browser, das Chat-Programm Coy, Libreoffice, VLC, der Dateimanager Nautilus und der Mailclient Icedove. Eine detaillierte Analyse der Konzepte hinter Oz werden wir zu einem späteren Zeitpunkt vornehmen.

Abhilfe gegen Ransomware

Nach Aussage der Entwickler könnte das Sandboxing-Konzept Angriffe mit Ransomware verhindern, wenn mit Malware infizierte Dokumente mit einem Programm in der Sandbox geöffnet werden. Ransomware gibt es nicht mehr nur für Windows, wie aktuelle Beispiele zeigen. Die jüngst gefundene Mac-OS-Ransomware Keeranger etwa basiert auf dem Linux-Trojaner Linux.Encoder.1.

  • Subgraph-Entwickler David Mirza Ahmad (Bild: Hauke Gierow/Golem.de)
  • Der Anmeldebildschirm mit Standard-Benutzernamen (Screenshot: Golem.de)
  • Als Mailclient kommt derzeit noch Icedove zum Einsatz. (Screenshot Golem.de)
  • Die Standard-Gnome-Shell. Rechts oben befinden sich der Tor-Indikator und das Oz-Menü. (Screenshot: Golem.de)
  • Auch die Einstellungen des integrierten Chatprogramms können verschlüsselt werden. (Screenshot: Golem.de)
  • Die Festplatte wird mit Subgraph standardmäßig verschlüsselt. (Screenshot: Golem.de)
  • Der gesamte Betriebssystemtraffic läuft über Tor - noch. (Screenshot: Golem.de)
  • Der Taschenrechner möchte sich mit dem IWF verbinden ... (Screenshot: Golem.de)
  • ... und mit der Europäischen Zentralbank. (Screenshot: Golem.de)
  • Der Tor-Browser ist als Standardbrowser mit dabei. (Screenshot: Golem.de)
  • Zweimal Nautilus, einmal in der Sandbox (r.) einmal außerhalb (l.) (Screenshot: Golem.de)
  • Das Oz-Menü listet geöffnete Ordner und Sandbox-Applikationen auf. (Screenshot: Golem.de)
  • Die Firewall listet alle erteilten Berechtigungen auf. (Screenshot: Golem.de)
Zweimal Nautilus, einmal in der Sandbox (r.) einmal außerhalb (l.) (Screenshot: Golem.de)

Denn öffne ein Nutzer in Subgraph eine Datei, erhalte das zuständige Programm keine Schreibrechte für das gesamte Home-Verzeichnis und könne die persönlichen Daten des Nutzers daher auch nicht verschlüsseln, sagt Ahmad. Die Sandbox isoliert auch die Eingaben einzelner Programme voneinander. Das Team demonstriert das anhand von Xeyes. Wird das Programm ohne Sandbox gestartet, wandern die Augen jederzeit mit dem Mauszeiger mit. Im Sandbox-Modus hingegen bewegen sich die Pupillen nur, wenn die Maus innerhalb des Programmfensters bewegt wird.

 Sicheres Linux Subgraph OS ausprobiert: Diese Alphaversion hat PotenzialEntwickler sollen Whitelists definieren können 

eye home zur Startseite
Atalanttore 05. Mai 2016

Mit den richtigen Suchbegriffen (z.B. "coy messenger linux", also mehr als nur "Coy...

Seitan-Sushi-Fan 27. Mär 2016

Keine Distribution mit OpenSSL ist sicher. Void Linux zeigt ja, dass es mit LibreSSL...

SjeldneJordartar 21. Mär 2016

Konnte das jemand schon testen?

ITLeer 21. Mär 2016

;-)

liberavia 18. Mär 2016

gibt es da irgendwelche sachlichen Gründe warum OZ entwickelt wurde statt auf das...



Anzeige

Stellenmarkt
  1. MAX-DELBRÜCK-CENTRUM FÜR MOLEKULARE MEDIZIN, Berlin
  2. Heraeus infosystems GmbH, Hanau bei Frankfurt am Main
  3. Schwarz Zentrale Dienste KG, Neckarsulm
  4. IT Services mpsna GmbH, Herten


Anzeige
Top-Angebote
  1. (u. a. Far Cry Primal Digital Apex Edition 22,99€ und Watch_Dogs 2 Deluxe Edition 29,99€)
  2. (heute u. a. mit Sony TVs, Radios und Lautsprechern, 4K-Blu-rays und Sennheiser Kopfhörern)
  3. 499,99€ - Aktuell nicht bestellbar. Gelegentlich bezüglich Verfügbarkeit auf der Bestellseite...

Folgen Sie uns
       


  1. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  2. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  3. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  4. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen

  5. NH-L9a-AM4 und NH-L12S

    Noctua bringt Mini-ITX-Kühler für Ryzen

  6. Wegen Lieferproblemen

    Spekulationen über Aus für Opels Elektroauto Ampera-E

  7. Minix

    Fehler in Intel ME ermöglicht Codeausführung

  8. Oracle

    Java SE 9 und Java EE 8 gehen live

  9. Störerhaftung abgeschafft

    Bundesrat stimmt für WLAN-Gesetz mit Netzsperrenanspruch

  10. Streaming

    Update für Fire TV bringt Lupenfunktion



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Optionsbleed: Apache-Webserver blutet
Optionsbleed
Apache-Webserver blutet
  1. Apache-Sicherheitslücke Optionsbleed bereits 2014 entdeckt und übersehen
  2. Open Source Projekt Oracle will Java EE abgeben

Lenovo Thinkstation P320 Tiny im Test: Viel Leistung in der Zigarrenschachtel
Lenovo Thinkstation P320 Tiny im Test
Viel Leistung in der Zigarrenschachtel
  1. Adware Lenovo zahlt Millionenstrafe wegen Superfish
  2. Lenovo Smartphone- und Servergeschäft sorgen für Verlust
  3. Lenovo Patent beschreibt selbstheilendes Smartphone-Display

Wireless Qi: Wie die Ikealampe das iPhone lädt
Wireless Qi
Wie die Ikealampe das iPhone lädt
  1. Noch kein Standard Proprietäre Airpower-Matte für mehrere Apple-Geräte

  1. Billgphones tuns auch!

    AndreasOZ | 02:11

  2. ich finde das iPhone überteuert

    AndreasOZ | 02:04

  3. Re: Geringwertiger Gütertransport

    gogolm | 01:55

  4. Typisch Deutsch

    tg-- | 01:24

  5. Re: Frauenfußball dabei?

    TarikVaineTree | 01:21


  1. 17:43

  2. 17:25

  3. 16:55

  4. 16:39

  5. 16:12

  6. 15:30

  7. 15:06

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel