Software-update: Sandboxie 5.33.3

Versie 5.33.3 van Sandboxie is uitgekomen. Met dit programma is het mogelijk om onder Windows programma's in een afgeschermde omgeving te draaien. Op die manier zijn wijzigingen die door programma's als Internet Explorer worden uitgevoerd, eenvoudig ongedaan te maken. Bovendien is er geen risico dat belangrijke onderdelen van het besturingssysteem worden aangetast. Sandboxie kan worden gebruikt op Windows 7, 8 en 10, en wordt tegenwoordig als freeware aangeboden. Sophos, de huidige eigenaar, zou zelfs van plan zijn om het op termijn als opensource aan te bieden.

Changes in Sandboxie 5.33.3:

• Fixes issues related to browser downloads failing in Sandboxie 5.33.2 when Windows Search is disabled.

Versienummer	5.33.3
Releasestatus	Final
Besturingssystemen	Windows 7, Windows 8, Windows 10
Website	Sandboxie
Download	https://www.sandboxie.com/DownloadSandboxie
Licentietype	Freeware

Reacties (14)

Kent iemand ook een soortgelijk iets voor debian based-linux dat even makkelijk is in gebruik en bijv. onderliggend gebruik maakt van chroot of containers?

Nou, Ik ken bijvoorbeeld Qubus OS, dit is een Linux gebasseerde distro, welke Xen gebruikt om elke applicatie in zijn eigen container te draaien, je kan denken aan een bare metal VM gebasseerde Sandboxie on steroids.


Anders heb je ook Firejail, welke geadverteerd word om Firefox te sandboxen, maar je kan het ook gebruiken met anderen applicaties, er zijn dan profielen gemaakt met rules voor verschillende programma's en kan zich pluggen in AppArmo.
ArchLinux heeft een mooie documentatie voor FireJail:
https://wiki.archlinux.org/index.php/Firejail


Je zou ook kunnen kijken naar het gebruiken van Host Intrusion Prevention System (HIPS), zoals AppArmor of SELinux.

AppArmor kun je bijvoorbeeld een profiel genereren van je applicatie wat deze allemaal toegang toe wilt krijgen, door "sudo aa-genprof openshot" te gebruiken, alleen openshot ofzo openen en wat handelingen uitvoeren, dan sluiten en en nog een keer proberen, profiel finetunen (zodat je toegang minimaliseert tot waar nodig is en eventueel toegang weghaalt waar je vindt een risico is) en zet je AppArmor op enforce voor deze profiel en test je het, pas je dan weer aan als je bijvoorbeeld teveel hebt finetuned.
Kijk is op de documentatie van Ubuntu onder het kopje "Profiles" en "Creating a Profile":
https://ubuntu.com/server/docs/security-apparmor

Er zijn ook al veel profielen die al klaar staan voor jouw op "/etc/apparmor.d", zoals eentje voor Firefox, die kun je meteen op enforce zetten en testen of deze doet wat je wilt en eventueel finetunen (voor als Firefox echt alleen maar mag schrijven in "~/Downloads") ofzo.


SELinux heb Ik niet veel ervaring mee, maar als Ik zo hier en daar erover lees, zou Ik denken dat dit de sterkste HIPS moeten zijn die er is voor Linux, en het is zo een beetje bijna overal beschikbaar, Android gebruikt het bijvoorbeeld overal on te restricten wat programma's kunnen, maar het zou blijkbaar wel een stuk moeilijker zijn om in te stellen.

[Reactie gewijzigd door TweetCu op 5 maart 2020 10:22]

Qubes is dacht ik gebaseerd op Fedora.

OpenBSD's pledge is ook minstens een kijkje waard.

Kan iemand mij vertellen of dit net zo veilig is als Windows Sandbox?

Over veiligheid kan ik niet direct iets zeggen, maar de attack surface van Windows Sandbox is kleiner omdat dit een fysieke virtuele machine is, afscheiden van de host. Logischerwijs zit daar minder kans op gaatjes in.

Het nadeel van Windows Sandbox is natuurlijk dat als je de Sandbox afsluit, ben je alles kwijt.

Klopt, daarnaast kan je Sandboxie zo instellen dat:

- Een applicatie geen netwerkverbinding heeft als deze in een sandbox opstart.
- Alleen bepaalde processen en bestanden toegelaten.
- Makkelijk inspecteren van gemaakte of aangepaste registry keys en bestanden, omdat de wijzigingen apart worden opgeslagen.
- Meerdere versies van een applicatie runnen (werkt niet altijd) of geïnstalleerd hebben, zonder dat deze elkaar overschrijven of bepaalde bestanden op je systeem zetten, terwijl je paar bestanden toelaat op het echte systeem.
- Een trial applicatie voor altijd uitproberen
- Automatisch elke Firefox of Chrome process in een bepaalde browser sandbox starten, met behoud van je favorieten en geschiedenis op echt systeem, als je dat durft... En dat downloads ook naar aparte Download map gaat, en je de browser sandbox automatisch geleegd wordt als deze sluit.

Nadeel is als er een grote wijziging in Windows gebeurd, zoals een verandering van een API of zoals recent hoe services werken bij de installer service, dat dit een update nodig heeft om weer goed te werken en dat je sommige applicaties niet in Sandboxie kan runnen, want je krijgt een error dan, maar gebeurd niet al te vaak, alleen bij grote applicaties die API's vereisten die Sandboxie niet kent denk Ik.

Daarnaast kan malware detecteren als deze binnen Sandboxie runt, en zo anders reageren (dat het niet als malware gedraagt), maar dat kon het ook wel binnen Virtualbox, vraag mij af of dit ook binnen Windows Sandbox kan?

Ik heb persoonlijk ook iets meer vertrouwen in een VM, maar dat is natuurlijk wel als deze echt veilig is en niks doorlaat tot het echte systeem, via een bug of vergeten API (zoals in Virtualbox dat ooit een bug had waarbij toegang gaf tot de echte floppy, waar door bepaalde bepaalde commando's versturen ze in je echte systeem dingen konden doen), maar zo moet Sandboxie ook echt veilig zijn, wat bij nieuwe Windows versies niet altijd zeker is.

In automatisch gebruik door Windows Defender heb Ik er iets minder vertrouwen in, na deze video waar iemand een test deed:
https://youtu.be/sE-xdb9hTqY

Ik weet alleen niet of de infecties ontstond op de host tijdens de sandbox, of na, nadat Defender zij dat de programma(malware) helemaal okidoki is.

[Reactie gewijzigd door TweetCu op 5 maart 2020 10:24]

Helaas is Sandboxie ver van compatibel met veel software, bij Visual Studio Professional (of Community) kan die niet eens de installer fatsoenlijk starten.

Ik denk dat het dus idd bedoelt is voor wat minder complexe software, en het daar absoluut prima voor werkt. Toch erg jammer dat complexe softwarepakketten buiten de boot vallen.

[Reactie gewijzigd door grasmanek94 op 5 maart 2020 08:58]

Ja inderdaad, Sandboxie werkt ook door redirecten van API calls naar een andere locaties, misschien is het beste om het te vergelijken met WINE in plaats van een VM?

Dankzij de manier hoe het werkt heeft het wel veel minder systeem prestatie nodig en werkt het vlotter en start sneller.

Wel is het zo er bij Chrome wordt gewaarschuwd dat het gebruik van Sandboxie in de weg kan zitten met het eigen sandbox, en dat hierdoor weer beveiligingsproblemen kan ontstaan, bij Firefox weet Ik het nog niet.

Wat anders trouwens ook zou werken, is in plaats Host Intrusion Prevention System (HIPS) te gebruiken, Ik had gelezen dat dit standaard in Windows 10 ondersteund werd op kernel niveau, maar Ik geloof dat je dit alleen in Enterprise en dat het daarbij niet makkelijk was om in te stellen, omdat je niet even een popup met toegang calls krijgt, zoals je met de HIPS van Comodo Firewall kreeg.

Daarnaast is het voor velen wat ingewikkeld en vervelend om in te stellen, maar daar had je dan zo een training modus voor, waarbij de HIPS alle calls van programma's record, en zet je erna het op restrict, zodat het echt aan staat, maar alles wat nog niet recorded is moet nog erbij.

[Reactie gewijzigd door TweetCu op 5 maart 2020 10:50]

Ik weet niet hoe het nu is, maar vroeger werkte Sandboxie in ieder geval alleen door onderscheppen van de API. Dat laat programma's vrij om buiten de API om iets te doen. Het is dan niet voldoende veilig om "unwanted apps" of malware te stoppen.

Het redirect nog steeds programma's naar zijn containers, maar het blokkeerd ook aanpassingen buiten de container

Deze pagina's geven aan hoe het werkt:
https://www.sandboxie.com...AskedQuestions#HowItWorks
https://www.sandboxie.com/SandboxHierarchy

Ik heb voor de gemak wat tekstjes quoted hier:

Van de eerste link:
-----------------------------------

Sandboxie extends the operating system (OS) with sandboxing capabilities by blending into it. Applications can never access hardware such as disk storage directly, they have to ask the OS to do it for them. Since Sandboxie integrates into the OS, it can do what it does without risk of being circumvented.

The following classes of system objects are supervised by Sandboxie: Files, Disk Devices, Registry Keys, Process and Thread objects, Driver objects, and objects used for Inter-process communication: Named Pipes and Mailbox Objects, Events, Mutexs (Mutants in NT speak), Semaphores, Sections and LPC Ports. For some more information on this, see Sandbox Hierarchy.

Sandboxie also takes measures to prevent programs executing inside the sandbox from hijacking non-sandboxed programs and using them as a vehicle to operate outside the sandbox.

Sandboxie also prevents programs executing inside the sandbox from loading drivers directly. It also prevents programs from asking a central system component, known as the Service Control Manager, to load drivers on their behalf. In this way, drivers, and more importantly, rootkits, cannot be installed by a sandboxed program.

It should be noted, however, that Sandboxie does not typically stop sandboxed programs from reading your sensitive data. However, by careful configuration of the ClosedFilePath and ClosedKeyPath settings, you can achieve this goal as well.

Van de tweede link:

Voor bestanden:
-----------------------------------

As sandboxed programs create new files or modify existing files, Sandboxie redirects these operations to act on paths that lead into the sandbox. If the sandboxed program was trying to create the file C:\NEW.TXT, it will be redirected to create instead (FileRootPath)\drive\C\NEW.TXT.

--snip--

Files that are created or modified in or below the generic (or All Users) profile, are redirected into the sandboxed user\all folder.

Other files that don't match either of the above paths are redirected to the sandboxed drive\X folder, where X would be the drive in which the files was supposed to have been written.

Files that are created or modified on a remote network share are redirected into the sandboxed share\\servername\\sharename folder.

Voor Registry:
-----------------------------------

Sandboxie creates the hive file in the sandbox folder, as the files RegHive and RegHive.LOG. This hive is mounted (or in other words, loaded into the registry) when a sandboxed program starts. The hive is unmounted when all sandboxed programs end.

--snip--

As sandboxed programs create new registry keys or modify existing keys, Sandboxie redirects these operations to act on paths that lead into the sandbox. If the sandboxed program was trying to create the key HKEY_LOCAL_MACHINE\Software\NewKey, it will be redirected to create instead (KeyRootPath)\machine\Software\NewKey.

If the sandboxed program was trying to create the key HKEY_CURRENT_USER\Software\NewKey, it will be redirected to create (KeyRootPath)\user\current\Software\NewKey.

Voor processen:
-----------------------------------

These objects are used by programs to share information, synchronize processing, and provide services. These objects are never written to disk and they disappear when the system shuts down.

Sandboxie isolates these objects in order to make it possible to run the same program sandboxed and un-sandboxed side-by-side. It also keeps sandboxed programs from interfering with un-sandboxed ones.

--snip--

The IpcRootPath setting specifies a path to the root of a particular sandbox. If omitted, it defaults to \Sandbox\(user name)\(sandbox name)\Session_(session number). For example, if the user joe is running in session zero, and using the sandbox DefaultBox, the default IpcRootPath is \Sandbox\joe\DefaultBox\Session_0.

Below the IpcRootPath, there are object directories which comprise the NT namespace, and match the layout of existing object directories outside the sandbox area. The directories are created with a persistent attribute, which means they will only disappear at system shutdown.

Objects created by sandboxed programs are created within the sandbox object directories. If the program is running outside the supervision of Sandboxie, it would typically create such objects in the \BaseNamedObjects object directory."

[Reactie gewijzigd door TweetCu op 5 maart 2020 16:56]

Een fysieke virtuele machine?

Een Raspberry Pi in je de behuizing van je desktop .

Lang geleden gebruikt om websites op verschillende versies van IE te testen, waar het oorspronkelijk ook voor bedoeld was. Best nuttig, maar er zaten toch nog wel wat haken en ogen aan. Daarna eigenlijk nooit meer aangeraakt.

Met Buster Sandbox Analyzer als free companion voor Sandboxie kun je de inhoud van de sandbox achteraf analyseren op verdachte activiteiten.