Abo
  • Services:
Anzeige
David Mirza Ahmad ist Chefentwickler von Subgraph OS.
David Mirza Ahmad ist Chefentwickler von Subgraph OS. (Bild: Hauke Gierow/Golem.de)

Sandboxing per Namespace-Restriktion

Der eigentliche Clou von Subgraph aber ist ein selbst entwickeltes Sandboxing-Konzept, das auf dem ebenfalls selbst entwickelten Wrapper Oz basiert. "Ein normales Linux-Programm hat rund 300 Schnittstellen, die System Calls, um mit dem Kernel zu kommunizieren", sagt Ahmad. Darunter seien aber zahlreiche Berechtigungen aktiviert, die zur Ausführung bestimmter Programme nicht notwendig seien - und so eine unnötige Angriffsfläche böten. Der PDF-Viewer brauche zum Beispiel in der Regel keinen Zugriff auf die Audioschnittstellen, selbst wenn der PDF-Standard entsprechende Funktionen unterstütze.

Anzeige

Öffnet der Nutzer ein einzelnes PDF, sei es außerdem nicht notwendig, dass der PDF-Viewer Schreibrechte für das gesamte Home-Verzeichnis bekomme, sagt Ahmad. Diese Berechtigungen beschränkt Subgraph auf ein jeweils sinnvolles Maß. In der derzeit vorliegenden Alphaversion sind entsprechende Konfigurationen für eine Reihe von Applikationen implementiert: der Tor-Browser, das Chat-Programm Coy, Libreoffice, VLC, der Dateimanager Nautilus und der Mailclient Icedove. Eine detaillierte Analyse der Konzepte hinter Oz werden wir zu einem späteren Zeitpunkt vornehmen.

Abhilfe gegen Ransomware

Nach Aussage der Entwickler könnte das Sandboxing-Konzept Angriffe mit Ransomware verhindern, wenn mit Malware infizierte Dokumente mit einem Programm in der Sandbox geöffnet werden. Ransomware gibt es nicht mehr nur für Windows, wie aktuelle Beispiele zeigen. Die jüngst gefundene Mac-OS-Ransomware Keeranger etwa basiert auf dem Linux-Trojaner Linux.Encoder.1.

  • Subgraph-Entwickler David Mirza Ahmad (Bild: Hauke Gierow/Golem.de)
  • Der Anmeldebildschirm mit Standard-Benutzernamen (Screenshot: Golem.de)
  • Als Mailclient kommt derzeit noch Icedove zum Einsatz. (Screenshot Golem.de)
  • Die Standard-Gnome-Shell. Rechts oben befinden sich der Tor-Indikator und das Oz-Menü. (Screenshot: Golem.de)
  • Auch die Einstellungen des integrierten Chatprogramms können verschlüsselt werden. (Screenshot: Golem.de)
  • Die Festplatte wird mit Subgraph standardmäßig verschlüsselt. (Screenshot: Golem.de)
  • Der gesamte Betriebssystemtraffic läuft über Tor - noch. (Screenshot: Golem.de)
  • Der Taschenrechner möchte sich mit dem IWF verbinden ... (Screenshot: Golem.de)
  • ... und mit der Europäischen Zentralbank. (Screenshot: Golem.de)
  • Der Tor-Browser ist als Standardbrowser mit dabei. (Screenshot: Golem.de)
  • Zweimal Nautilus, einmal in der Sandbox (r.) einmal außerhalb (l.) (Screenshot: Golem.de)
  • Das Oz-Menü listet geöffnete Ordner und Sandbox-Applikationen auf. (Screenshot: Golem.de)
  • Die Firewall listet alle erteilten Berechtigungen auf. (Screenshot: Golem.de)
Zweimal Nautilus, einmal in der Sandbox (r.) einmal außerhalb (l.) (Screenshot: Golem.de)

Denn öffne ein Nutzer in Subgraph eine Datei, erhalte das zuständige Programm keine Schreibrechte für das gesamte Home-Verzeichnis und könne die persönlichen Daten des Nutzers daher auch nicht verschlüsseln, sagt Ahmad. Die Sandbox isoliert auch die Eingaben einzelner Programme voneinander. Das Team demonstriert das anhand von Xeyes. Wird das Programm ohne Sandbox gestartet, wandern die Augen jederzeit mit dem Mauszeiger mit. Im Sandbox-Modus hingegen bewegen sich die Pupillen nur, wenn die Maus innerhalb des Programmfensters bewegt wird.

 Sicheres Linux Subgraph OS ausprobiert: Diese Alphaversion hat PotenzialEntwickler sollen Whitelists definieren können 

eye home zur Startseite
Atalanttore 05. Mai 2016

Mit den richtigen Suchbegriffen (z.B. "coy messenger linux", also mehr als nur "Coy...

Seitan-Sushi-Fan 27. Mär 2016

Keine Distribution mit OpenSSL ist sicher. Void Linux zeigt ja, dass es mit LibreSSL...

SjeldneJordartar 21. Mär 2016

Konnte das jemand schon testen?

ITLeer 21. Mär 2016

;-)

liberavia 18. Mär 2016

gibt es da irgendwelche sachlichen Gründe warum OZ entwickelt wurde statt auf das...



Anzeige

Stellenmarkt
  1. Daimler AG, Sindelfingen
  2. Daimler AG, Leinfelden-Echterdingen
  3. Daimler AG, Stuttgart
  4. Digital Ratio GmbH, Eschborn bei Frankfurt am Main


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 44,97€, Batman Dark Knight Trilogy Blu-ray 17,99€)
  2. (u. a. The Hateful 8 7,97€, The Revenant 8,97€, Interstellar 7,97€)
  3. 29,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. RSSB und Thales

    Zugeinstieg per Bluetooth-Ticket

  2. Bundesnetzagentur

    Puppenverbot gefährdet das Smart Home und Bastler

  3. Amazon Fire TV

    Die Rückkehr der Prime-Banderole

  4. Fire TV Stick 2 mit Alexa im Hands on

    Amazons attraktiver Einstieg in die Streaming-Welt

  5. Snap Spectacles

    Snap verkauft Sonnenbrille mit Kamera für 130 US-Dollar

  6. Status-Updates

    Whatsapp greift mit vergänglichem Status Snapchat an

  7. Megaupload

    Dotcom droht bei Auslieferung volle Anklage in den USA

  8. PC-Markt

    Unternehmen geben deutschen PC-Käufen einen Schub

  9. Ungepatchte Sicherheitslücke

    Google legt sich erneut mit Microsoft an

  10. Torus

    CoreOS gibt weitere Eigenentwicklung auf



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Kernfusion: Angewandte Science-Fiction
Kernfusion
Angewandte Science-Fiction
  1. Kernfusion Wendelstein 7-X funktioniert nach Plan

MX Board Silent im Praxistest: Der viel zu teure Feldversuch von Cherry
MX Board Silent im Praxistest
Der viel zu teure Feldversuch von Cherry
  1. Patentantrag Apple denkt über Tastatur mit Siri-, Emoji- und Teilen-Taste nach
  2. Kanex Faltbare Bluetooth-Tastatur für mehrere Geräte gleichzeitig
  3. Surface Ergonomic Keyboard Microsofts Neuauflage der Mantarochen-Tastatur

Der große Ultra-HD-Blu-ray-Test (Teil 2): 4K-Hardware ist nichts für Anfänger
Der große Ultra-HD-Blu-ray-Test (Teil 2)
4K-Hardware ist nichts für Anfänger
  1. Der große Ultra-HD-Blu-ray-Test (Teil 1) 4K-Filme verzeihen keine Fehler
  2. Deutsche Verkaufszahlen Unberechtigter Jubel über die UHD-Blu-ray
  3. 4K Blu-ray Sonys erster UHD-Player kommt im Frühjahr 2017

  1. Re: Das Thema ist doch uralt! -> siehe Teddycam

    egal | 10:52

  2. Re: Fakten durcheinander gebracht

    Kondratieff | 10:50

  3. Re: LAN-Kabel

    dabbes | 10:50

  4. Die Erfahrung zeigt, ohne Druck bewegt sich...

    sttn | 10:49

  5. Re: Warum kann man es nicht gleich in den...

    John2k | 10:49


  1. 10:54

  2. 09:06

  3. 08:05

  4. 08:00

  5. 07:27

  6. 07:12

  7. 18:33

  8. 17:38


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel