Microsoft introduceert nieuwe tijdelijke desktopomgeving Windows Sandbox

Microsoft introduceert een tijdelijke desktopomgeving voor Windows 10, genaamd Windows Sandbox. Hierin kunnen gebruikers schadelijke of verdachte software testen, zonder dat hun pc gevaar loopt.

Hari Pulapaka, een Microsoft-programmeur, legt uit dat de tijdelijke desktopomgeving geen vhd-images heeft. De desktopomgeving is zo ontworpen dat het alle bestanden verwijdert wanneer de functie wordt afgesloten. In plaats van een vhd te gebruiken, maakt Sandbox 'een schone kopie' van de Windows 10-versie waar de pc op draait. De sandbox maakt iedere keer een nieuwe kopie van de OS wanneer de functie wordt geopend.

WIndows Sandbox bouwt verder op de technologieën van Windows Containers, een sandbox die in een externe opslag draait en ontworpen is voor gebruik binnen bedrijven. De technologieën uit Containers zijn voor Sandbox geïntegreerd in Windows 10 en meer geschikt gemaakt voor laptops en desktops, zonder dat deze de volledige capaciteit van Microsoft-servers nodig hebben.

De tijdelijke desktopomgeving maakt gebruik van een gecombineerde toepassing van hardwarevirtualisatie en een hypervisor van Microsoft. De hypervisor zorgt ervoor dat een fysieke machine wordt omgezet in meerdere virtuele machines die dezelfde hardware delen. Hierdoor staat de tijdelijke desktopomgeving los van de host, die in dit geval geen schade kan oplopen van de draaiende software in de sandbox.

Windows Sandbox vereist minimaal 4GB ram, 1GB schijfruimte en minimaal twee cpu-kernen, al wordt aangeraden een cpu te gebruiken met vier cores en hyperthreading. De grootte van het OS is 100MB. Om geheugenruimte te besparen, maakt Windows Sandbox gebruik van 'slim geheugenmanagement'. Hierdoor kan de host, indien nodig, zelf geheugenruimte opeisen van de desktopomgeving. Sandbox is onderdeel van de 18305-build van Windows 10 Pro en Enterprise, waardoor het niet los gedownload hoeft te worden.

Eerder dit jaar bevestigde Microsoft dat het werkte aan een 'wegwerpsandbox' voor Windows 10 Enterprise, met de naam InPrivate Desktop. De testers hadden minimaal de 17718-build van Windows 10 nodig om de sandbox te testen. De minimale systeemvereisten voor InPrivate zijn 4GB ram, 5GB aan opslagruimte en een processor met minimaal twee cores.

Reacties (80)

Mooie vooruitgang op het huidige Windows ontwerp. Windows draait sinds 10 niet meer zoals 'vroegah', native op de hardware. Al onze interactie met het OS is nu al virtueel. Software ziet ook enkel een virtuele Windows (met runas kun je dit zelfs als meerdere virtuele sessies weer binnen Windows draaien) en alles wat erbij hoort.

Dit lijken ze nu dus uitgebreid te hebben door de Windows 'vm' te snapshotten en deze dan 'los' op te starten, maar wel binnen dezelfde omgeving met een lagere prio gezien het wel de resources deelt.

De grootte van het OS is 100MB. Om geheugenruimte te besparen, maakt Windows Sandbox gebruik van 'slim geheugenmanagement'. Hierdoor kan de host, indien nodig, zelf geheugenruimte opeisen van de desktopomgeving. Sandbox is onderdeel van de 18305-build van Windows 10 Pro en Enterprise, waardoor het niet los gedownload hoeft te worden.

Waarom hier wel een beetje dieper op in gaan maar de andere stukjes niet? En dan niet eens vermelden wat er zo speciaal is aan deze memory management.
Best interessant hoe ze nu het geheugenmanagement hebben gedaan hiervoor. Virtueel een OS draaien die zijn geheugen deelt met zijn host, waar de host de controle heeft en zijn default Windows memory management toepast. Lage prio data wordt bij een aankomend tekort aan geheugen gecomprimeerd, en bij een daadwerkelijk tekort, weggeschreven naar pagefile.
Het memory management zelf is niet echt speciaal, de manier hoe die sandbox op de memory management van de host inhooked is juist het speciale.

De kernel scheduler en gpu hardware acceleration zijn op soortgelijke wijzes ingebouwd in deze 'VM'.

Al met al, tof gedaan, een erg complexe manier om dit zo lekker mogelijk in Windows te integreren dat het zelfs op low end machines gebruikt kan worden. Maar ik vraag me af of deze extra complexiteit geen veiligheids issues kan gaan opleveren. Deze sandbox heeft op verscheidene manieren direct toegang tot de host.

Application Guard bestaat toch al anderhalf jaar in Windows? Volgens mij is dat hetzelfde, alleen werkt het alleen met Edge. Dan kun je een speciaal venster van Edge openen dat helemaal los staat van het besturingssysteem (nou, ja...) en direct onder de hypervisor draait, als ik het zo goed zeg. Jammer alleen dat het bij mij niet goed werkte: in Application Guard kon Edge bij mij geen verbinding met het Internet maken, ook al zette ik de vuurmuren uit.

Ziet er idd wel allemaal best goed uit maar aangezien de meeste mensen dus windows home hebben gaat dus deze vlieger niet op ,alleen dus voor de hogere windows 10 versies.Ik kan me best indenken dat een gameontwikkelaar hiermee aan de slag gaat ook al is het maar om de compatibiliteit te kunnen meten of dit stukje software wel op de vm draait.Zo niet dan moet de software aangepast worden.
Best goed idee maar een aanslag op je algehele systeem prestaties.

Als de tijdelijke omgeving precies dezelfde Windows draait, op dezelfde hardware, hoe is het dan een goede test voor compatibiliteit?

Voor Home users gaan wel meer vliegers niet op. Daar is pro ook voor, het zit hem een beetje in de naam.

Compatibiliteit ga je niet veel terrein op winnen gezien het (al is het op aparte manier) een virtuele machine dat draait op een snapshot van de host. Alles wat je dan aan compatibiliteit test, is hoe de game of applicatie draait op deze sandbox, of naja hoe dit een beetje aangepast draait onder HyperV. (Heel Windows draait op HyperV)

Ik mag hopen dat deze functionaliteit optioneel is en daarmee zowel in- als uitgeschakeld kan worden vanuit de "Programma's en onderdelen" via "Windows-onderdelen in- of uitschakelen". Aangezien niet iedereen hier behoefte aan heeft of gebruik van zal willen maken. Zelf juich ik de komst van deze nieuwe native functionaliteit als IT'er juist toe net zoals toen met de komst van Linux binnen Windows 10.

Dit moet je apart aanzetten,

Quick start
Install Windows 10 Pro or Enterprise, build 18305 or newer
Enable virtualization:
If you are using a physical machine, ensure virtualization capabilities are enabled in the BIOS.
If you are using a virtual machine, enable nested virtualization with this PowerShell cmdlet:
Set-VMProcessor -VMName <VMName> -ExposeVirtualizationExtensions $true
Open Windows Features, and then select Windows Sandbox. Select OK to install Windows Sandbox. You might be asked to restart the computer.
Optional Windows Features dlg.png
Using the Start menu, find Windows Sandbox, run it and allow the elevation
Copy an executable file from the host
Paste the executable file in the window of Windows Sandbox (on the Windows desktop)
Run the executable in the Windows Sandbox; if it is an installer go ahead and install it
Run the application and use it as you normally do
When you’re done experimenting, you can simply close the Windows Sandbox application. All sandbox content will be discarded and permanently deleted
Confirm that the host does not have any of the modifications that you made in Windows Sandbox.

Waarom moet dit per se uit te schakelen zijn? Ga jij ook ieder stukje software van Windows dat je niet gebruikt verwijderen? Je kan het toch ook gewoon niet gebruiken? Ik denk dat de meeste mensen ongeveer 90% van al die Apps die standaard in Windows zitten, niet gebruiken.

Ik bespaar liever resources en/of ruimte waar dat mogelijk is. Dat is een persoonlijk keuze.

Ik gebruik ze niet, en ik schakel uit of verwijder wat ik kan. Ze nemen ruimte in en ondanks ik ze niet gebruik, vreten sommige toch resources (minimaal, maar toch, klein beetje processor kracht, klein beetje geheugen, klein beetje batterij.

Voor jou misschien verwaarloosbaar, maar ik hecht er waarde aan en ik wil bepalen wat er op mijn systeem komt, tot op zekere hoogte natuurlijk.

- minder ruimte gebruikt/"verspild" op schijf
- minder aanvalsoppervlak
- mensen tegen zichzelf beschermen/helpdesk ontlasten

https://techcommunity.mic...ndows-Sandbox/ba-p/301849

Het is zeker een onderdeel dat je kan uitschakelen. Zie plaatje onder Quick Start.

Nee ze gaan iedereen verplichten om een desktop in een desktop te draaien.

Kan iemand me in mensentaal uitleggen wat dit voor praktisch nut zou kunnen hebben voor de gewone "huisje-tuintje-hondje-gebruiker" met een Win10 laptop/desktop?

Bijlage openen van een bron die je mogelijk niet vertrouwd?

Waarom zou je überhaupt iets willen openen dat je niet vertrouwt? Dit is een manco in het menselijk gedrag: de nieuwsgierigheid die het wint van de ratio, ongeacht de gevolgen. Niet vertrouwen is gewoon niet openen. Ongeacht wat het is en waar het vandaan komt.

Tegen die onbedwingbare nieuwsgierigheid is geen kruit gewassen. Uiteindelijk ook sandboxing of een ander veiligheidsmethode niet. Mijn opa zei altijd: "Only a fool tests the water with both feet."

Ik zeg niet dat het vaak gebeurd, maar ik krijg vaak genoeg attachments toegestuurd die ik wel ergens verwacht en ik liever iets met meer veiligheid wil openen dan dat ik meteen mijn antivirus moet gaan testen om te weten of dit de mail is en de afzender inderdaad is wie hij zegt. Zeker deze dagen kun je een afzender vertrouwen, maar is het toch een spammail oid. Je hebt er met een goed spamfilter minder last van, maar niet elk adres heeft de mogelijkheid op een goed spamfilter of kost veel moeite om dat te krijgen. Ik heb een tijd voor mn portfoliosite een mogelijkheid tot contact gehad waar dikwijls een bijlage in zat (bv voor een beschrijving van een opdracht of baan). Niet elke mail is te vertrouwen, maar ik ga geen baan mislopen omdat ik de bijlage niet durfde te openen. Ondertussen host ik mijn mail elders, maar ook daar komt om de zoveel tijd nog wel een mailtje langs waarbij ik liever het zekere voor het onzekere neem. Want naast het sturen van spam, lift er ook veel mee op bestaande email en kunnen devices zomaar gehacked zijn zonder dat de verstuurder er weet van heeft.

Voor mijn werk heb ik ook nog wel eens een tooltje nodig die ik ergens vandaan moet trekken die niet helemaal helder eruit ziet. Dan kan ik hem wel scannen maar dat zegt ook lang niet alles met 0-day malware

Leuk om te zien hoe de concepten van QubesOS langzaam hun weg ook naar Windows vinden.

QubesOS leek een OS voor echte security nerds, maar een aantal jaar geleden bleek het ook heel populair te zijn onder recruiters. Reden: die krijgen bakken met mail + attachments binnen per dag (incl. de nodige virussen). De mogelijkheid om die in een disposable VM te openen was dus essentieel om de host PC veilig en hel te houden.

Hadden ze bij Qubes zelf ook niet eens bedacht gaven ze toe.

Er is een verschil tussen het niet vertrouwen van content en van de afzender. Attachments vertrouw ik per definitie niet maar dan zou je nooit meer attachments kunnen openen. Dan is een sandbox wel zo handig.

Overigens gebruik ik een Linux OS dus is dit voor mij allemaal wat minder spannend. Je zou kunnen zeggen dat de beste sandbox tegen malware elk ander OS dan Windows is. Ik begrijp dat dat voor veel mensen een brug te ver is. Echter is het voor het gros van de eindgebruikers meer dan genoeg want veel meer dan de browser wordt er doorgaans toch niet meer gebruikt nu vrijwel alles web based beschikbaar is geworden.

Het klinkt verder als een goed initiatief van Microsoft. Ik begrijp alleen niet waarom ze Windows niet in de basis al veiliger maken. Een beetje meer Linux stijl zeg maar, bijv dat code in de regel helemaal niet meer uitvoerbaar is als het geen executable is, ongeacht wat voor rechten de gebruiker heeft.

Geen, zoals wordt gezegd in de tekst:

Hierin kunnen gebruikers schadelijke of verdachte software testen, zonder dat hun pc gevaar loopt.

Verder weet ik dat veel hackers dit soort systemen al jaren gebruiken, een digitale PC op een PC waarin sporen heel makkelijk te wissen zijn. Darkweb users doen het schijnbaar ook zo

volgens mij is het voor deze hackers belangrijker dat een vm niet bij de host OS kan en je kan dus zoveel ermee kloten als je wil zonder je host OS te infecteren.

1. Waarschijnlijk niets, tenzij je daar Windows Pro of Enterprise op hebt
2. Mocht dat toch zo zijn, dan kun je bijvoorbeeld gedownloade programma's uitproberen zonder dat het permanente sporen achterlaat in je Windows-installatie waar je mogelijk later last van zou houden.

De vraag is hoe goed dat helpt bij malware die vermomd is als een nuttig programma. Die zal zich wel pas na een tijdje gaan misdragen, zodat je daar nog niets van merkt als je het eerst in de sandbox uitprobeert. Of helemaal niet, als het in een sandbox draait (ik vermoed dat het praktisch onmogelijk is om dat ondetecteerbaar te maken).

Dezelfde reden dat mensen nu incognito/privé vensters van hun browser openen?

Zou mooi zijn als de browser ook standaard in zo'n omgeving draait. Of zelfs meerdere browsers die elkaars gegevens daardoor niet kunnen uitlezen (dan kom je uit op het idee van bijvoorbeeld QubesOS).

Je kan in firefox met een addon gewoon containers aanmaken

Weet ik (en ik gebruik die ook) maar ik heb mijn twijfels bij de separatie daarvan. Echt aparte instances zou beter zijn.

[Reactie gewijzigd door GekkePrutser op 19 december 2018 12:48]

Daar is dit totaal niet voor bedoeld dit is een Windows in een sandbox... Vandaar dat je ook zulke hoge specs ziet

Als je het allemaal niet vertrouwd en toch dingen wilt gebruiken waarvoor het niet bedoeld is kan je beter niet Firefox in een container gaan draaien en dan bijv. X11 over SSH gooien dan heb je het gedrag helemaal onder controle maar eigenlijk slaat het nergens op

Gewoon makkelijker en veiliger --> Gewoon qubes is installeren: https://www.qubes-os.org

Het heeft een gepatched Xen hypervisor.

Grappig om te weten: Steve Balmer had een schijthekel aan de oprichtster. (Is nogal een goede hacker)

https://en.m.wikipedia.org/wiki/Joanna_Rutkowska

Mijn reactie was meer een grapje maar idd, qubes is daarvoor ontworpen

Ahhh, ja ok. Ik weet niet of er een fout in de seperatie zit, daar zou je wel achter kunnen komen als je echt wilt

https://www.sandboxie.com/

Al meen ik dat de meeste browsers dat al voortan standaard deden ?

Bedoel je zoiets als Windows defender application guard ?
https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-guard/wd-app-guard-overview

De browser van Microsoft draait in een afgesloten Sandbox:
https://www.pcworld.com/a...urf-the-web-securely.html

Dit draait dan helemaal los van het OS via de Hypervisor van Microsoft, Hyper-V. In het blog hierboven staat exact hoe je dit aan de praat kan krijgen op Windows 10 Pro en Enterprise

Nu wachten tot de eerste exploit word gevonden om uit de sandbox te ontsnappen?
Niet zo veel verstand van maar dit zou uiteindelijk altijd mogelijk zijn? Of zit ik er helemaal naast

Als er daadwerkelijk een exploit wordt gevonden voor dit programma, zou dit wel mogelijk kunnen zijn natuurlijk.

Dus de zekerheid is er voorlopig zeker nog niet. Dit in combinatie met de afgelopen 'simpele' bugs in Windows is dit wel tricky.

Dit geld natuurlijk voor alle software.
Mocht er ergens in een programma een bug zitten, kan deze wellicht worden gebruikt voor andere doeleinden.

Net zoals er exploits zijn om antivirus software te omzeilen, wil daarom nog niet zeggen dat je het maar gewoon zonder moet doen

Is er al. Er zijn virussen die uit een VM kunnen breken: Spectre.

Hopelijk is het de opmaat dat dit standaard wordt bij installaties van software en dat er na een bepaalde tijd een keuze komt om dit naar de echte omgeving om te zetten.

Die standaard is er al jaren voor Windows;

Zowel Window 10S als alle UWP-apps draaien sandboxed...

En veel native apps worden geport naar UWP formaat, zodat je die ook buiten Windows 10S toch sandboxed kan runnen.

Tot die tijd gebruik ik Sandboxie [ https://www.sandboxie.com/ ] om crapware te testen.

Ik de zakelijke wereld kan je niet uitgaan van UWP apps. Denk dat het daar vooral voor bedoeld is... Niet voor je huis tuin en keuken appjes

In de zakelijke wereld kan dat steeds meer... bij ons is een groot deel van de 'standaard' tooling al te vinden als UWP app, in ieder geval voor het meeste wat buiten onze virtuele omgevingen draait. Het is dan ook sinds dit jaar waar mogelijk een van de criteria bij de orientatie naar leveranciers.

Ja natuurlijk. Maar waarom zou je de standaard tooling willen sandboxen voor dieper onderzoek? Meestal gaat het juist om de niet standaard tooling en juist die categorie zie ik niet zo snel naar uwp gaan (wel naar het web BTW... Andere oplossing voor hetzelfde probleem )

Dat 'sandboxen' is de manier waarop UWP apps werken, maar dat staat geheel los van deze 'nieuwe' functie waarin je dus non-UWP applicaties kan testen zonder de risico's dat de rest van je systeem schade kan oplopen. Of zelfs voor het gebruik van applicaties waarvan je weet dat ze problemen veroorzaken maar toch nodig hebt... dat zie je ook nog vaak genoeg, wij hebben hier ook wat speciale apparatuur waarbij software hoort die naar verloop van tijd je hele systeem in de soep laat lopen, andere apparatuur is geen keuze en de software wordt niet meer ontwikkelt... maar je hebt het toch nodig. En een dergelijke sandbox zal toch weer sneller/prettiger werken dan een VM-machine lokaal bij een gebruiker installeren.

Gisteren de Windows 1809 update geïnstalleerd. Klaagt dat er incompatibele software gevonden werd en die eerst verwijderd moet worden. Zijnde: Sandboxie...

[Reactie gewijzigd door Buzz_Fuzz op 19 december 2018 13:48]

Klopt, die gebruikt de virtualisatie instructie set van je processor, waardoor dit deze Windows functie niet werkt. (Het kan niet gedeeld worden ofzo)

Vreemd dat het niet anders kan, maar dit is hoe ik begrijp dar het werkt

Het kan in principe wel, wanneer sandboxie hyperv ofwel de hyperv hypervisor gebruikt, die heeft MS onlangs opengesteld. Meerde hypervisors (die van VMware of virtualbox bijvoorbeeld) kunnen niet tegelijk draaien

UWP is een prima platform. Dat je misschien niet alles kunt wat een win32 applicatie wel kan juist vanwege de sandbox doet daar niets aan af.

Mijn zoon logt in met een lokale account en die kan prima UWP apps draaien.

Is dat in een van de updates erbij gekomen? De reden waarom ik het niet gebruik is namelijk omdat ik altijd in moest loggen met een Microsoft account. Kon het nooit lokaal en ik wil het niet koppelen

je kan al vanaf het begin(W8) er voor kiezen om per app in te loggen.
sommige apps gebruiken dan wel een Microsoft account, maar je hoeft niet je hele gebruikers account aan de Microsoft account te koppelen.

elke app die echt een Microsoft account nodig heeft vraagt eenmalig om in te loggen, maar je Windows gebruiker kan gewoon een wachtwoordloos lokaal account blijven.

Want?

Dat lijkt me dus helemaal niet handig om standaard te doen.
9 van de 10 installaties die ik doen, wil ik ook houden

Maar dit lijkt me ideaal voor die paar dodgy applicaties die je wilt proberen, of dat specifieke apje dat je verder niet nodig hebt.

[Reactie gewijzigd door heuveltje op 19 december 2018 12:50]

Ik denk dat men doelt op de extra veiligheid door het sandboxen van applicaties. Als elke applicatie in zijn eigen virtuele Windows draait (ja, ook permanent) dan kan deze veel moeilijker het host OS of andere applicaties beïnvloeden.

Windows Defender Application Guard doet eigenlijk zoiets.

[Reactie gewijzigd door Yggdrasil op 19 december 2018 14:02]

bijna iedere virusscanner op de markt doet dit. Ze checken voor herkenbare stukken code in virussen en naar het gedrag van het virus en het virus wordt dus los gelaten in een sandbox.

Wat ik in dit artikel mis zijn de geautomatiseerde analyse mogelijkheden. Sandboxen is één, weten wat er daadwerkelijk gebeurt is veel interessanter.

Zodra dit eenmaal uitgerold is zullen de bouwers van analysesoftware het wel gaan ondersteunen in hun programma's neem ik toch aan? Het lijkt me niet handig als Microsoft die ondersteuning zelf levert.

Mee eens. Ik ben wel benieuwd naar wat eigenlijk de verschillen zijn tussen een applicatie kaal op het OS of met deze sandbox schil er omheen, en waarom die verschillen niet gewoon standaard zijn in het native systeem.

De sandbox maakt iedere keer een nieuwe kopie van de OS wanneer de functie wordt geopend.

Dus als een van je systeembestanden besmet is, is meteen ook de hele virtuele Windows besmet? Dan helpt het ook niet veel.

Maar als je systeembestanden niet besmet zijn, dan werkt het juist extra veilig!

als je systeembestanden besmet zijn ben je toch al fucked en heeft de hacker waarschijnlijk superuser privilege en kan het gewoon de hele windows functionaliteit aanpassen.

Dit lijkt inderdaad een ideale testomgeving te zijn voor het testen van programma's. Dat kan nu ook met tools als VMWare en VirtualBox, maar daar wordt de virtuele omgeving bewaard voor een volgende testsessie. Deze Windows Sandbox lijkt me dan ook alleen nuttig voor een programma wat je in een halve dag volledig uitgetest hebt, OF de Sandbox moet behouden blijven als je de host computer in slaapstand zet.

OF de Sandbox moet behouden blijven als je de host computer in slaapstand zet.

Waar haal je het idee vandaan dat dat niet zo zou zijn? Alle andere gegevens op je computer overleven slaapstand ook, waarom zou dit dan een uitzondering zijn?

Komt dit dan beschikbaar voor alle gebruikers of is dit alleen beschikbaar voor Pro of Enterprise? Dat is mij nog niet helemaal duidelijk.

Ik maak regelmatig gebruik van Sandboxie maar dat wil na een update nog wel eens haperen.

Vanaf Pro heb ik gelezen op MSPowerUser

Windows 10 Pro or Enterprise build 18301 or later

Ik verwacht deze week nog dat MS build 18301 gaat uitbrengen in de Fast insiders ring...

[Reactie gewijzigd door Swerfer op 19 december 2018 13:22]