Sophos maakt broncode Sandboxie beschikbaar en sluit forum op 1 juni

Sophos komt zijn belofte na om de broncode van de populaire sandboxsoftware Sandboxie te publiceren. Het bedrijf wil dat de tool zelfstandig verder gaat als een opensourceproject en verwacht de website van Sandboxie in de herfst te sluiten. Het forum sluit 1 juni al.

Sophos claimt in gesprek te zijn met gebruikers om de ontwikkeling van Sandboxie over te dragen als opensourceproject. De broncode is onder een GPL v3-licentie vrijgegeven. De huidige versie van Sandboxie is de laatste die Sophos beschikbaar maakt en het bedrijf brengt dan ook geen updates meer uit. Op 1 juni sluit de licentieserver en Sophos voert sinds versie 5.31.1 van Sandboxie al geen licentiechecks meer uit.

Op 1 juni gaat de stekker eveneens uit het forum. De website van de software blijft voorlopig nog wel online, maar Sophos gaat deze gefaseerd uitkleden en verwacht in de herfst geheel te stoppen met de website, waarna Sandboxie dus als onafhankelijk opensourceproject verder zou moeten gaan. Vorig jaar september maakte Sophos de software tot freeware en toen maakte het bedrijf al het voornemen bekend dat Sandboxie als opensource-applicatie verder zou moeten gaan.

Reacties (45)

[Byte]

Wel een mooie actie dat je je software openbaar beschikbaar maakt als je ermee stopt. Daar scoren zij in mijn ogen wel punten mee. Hopelijk volgen er meerdere bedrijven!

[Flagg]

En dan nu eens opletten hoe snel het project strand en er niks meer mee gedaan wordt.

[supersnathan94]

Tsja. Dat kan natuurlijk als er geen maintainers zijn, maar dat maakt verder niet uit.

Als een bedrijf zegt joe we stoppen er mee, en ze publiceren de broncode ook niet heb je ook niet de kans om er zelf nog wat aan te sleutelen.

[Flagg]

Vind het ook een goede zaak hoor. Maar je hoort vaker dat de "community" roept dat wanneer een bedrijf stopt met een project dat het aan de community gegeven moet worden als open source.

Nu wordt dat dus een keertje gedaan en vraag me nu dus af wat diezelfde community er mee gaat doen.

[Frappuccino]

Goede vraag inderdaad. De website en het forum gaan ook uit de lucht, dus waar haal je straks je info en eventuele updates? En wie/wat is die community?

Het was fijn geweest als de website online bleef, maar Sophos heeft duidelijk geen zin om dat te financieren. Al is dat misschien ook niet onterecht.

Aanvulling:
Op de site van Sandboxie staat meer info.
Zelfde als op het forum btw. Beantwoord iig al een beetje mijn vragen.

[Reactie gewijzigd door Frappuccino op 23 juli 2024 14:45]

[supersnathan94]

Nouja. Info en eventuele updates is het probleem niet. Als het op github.com komt heb je dat ook direct geregeld. Eventueel website met stukje forum daar vanaf gelinkt. Dat is opzich nog niet echt een probleem.

Wat ik wel apart vind is dat ze de website dan ook niet overdragen. Hoeven ze het niet zelf te betalen maar dan is de vraag natuurlijk weer hoe en wat maar vooral wie dat dan wel gaat dokken.

[TheVivaldi]

Het gebeurt wel vaker, hoor. HP heeft destijds webOS (smartphones/tablets) ook open source gemaakt nadat ze de stekker eruit trokken en dat leeft tot op de dag van vandaag voort als LuneOS.

[Ikheetchris]

Om nog een voorbeeld te noemen: Blender. Alhoewel hier een van de ontwikkelaars, Ton Roosendaal, wel actief in de ontwikkeling was en nog steeds is. Het product werd eerst door NeoGeo en later NaN ontwikkelt, maar allebei de bedrijven zijn failliet gegaan. Vervolgens heeft hij een publieksfinanciering gestart en is het als vrije software verder gegaan, onder de Blender Foundation, waarin Ton Roosendaal nog steeds actief in is.

[Horatius]

Waarschijnlijk helemaal niks. Niemand kent de code behalve Sophos en een groot deel zal legacy zijn.
Om dit verder te ontwikkelen is heel veel tijd vereist om alles te leren kennen en het veilig te houden.

[i-chat]

Dat dacht men ook bij truecrypt

Maar inmiddels is dat stokje over gegaan

[mae-t.net]

Maakt het echt uit wat de community ermee doet? In het slechtste geval gebeurt er niets, dan blijft de software als legacy beschikbaar. Niks mis mee. In het beste geval wordt het een goedlopend project met features, bugfixes, etc. Ook mooi.

[latka]

Open source werk alleen als het een oplossing is voor een probleem wat een programmeur/gebruiker heeft. Vandaar dat er hele goede open-source compilers zijn maar maar weinig open-source photoshop killers. Ik denk dat de doelgroep voor SandboxIE niet in staat is dit te onderhouden omdat er te weinig programmeurs in zullen zitten. Er zijn nog tig andere oplossingen die je ook in staat stellen om veilig software te draaien (vele VM oplossing bijv.) waar het tegenop moet boksen en dan is het ook nog een proprietary code die open-source gaat. Over het algemeen is dat niet de meest fraaie code (want tijd=geld en het moet gisteren af). Ik laat me graag positief verassen maar ik denk dat dit gewoon vrij snel over is.

[Durandal]

Nu wordt dat dus een keertje gedaan en vraag me nu dus af wat diezelfde community er mee gaat doen.

delen er van gebruiken in andere projecten?

[Sebazzz]

Een extra complexiteit is wel dat Sandboxie van een kerneldriver gebruik maakt. Sinds Windows 7 kan je Windows niet meer booten met kerneldrivers die niet door Microsoft zijn goedgekeurd. Dat betekent dat de maintainer dus een signing certificaat moet verkrijgen.

[Niosus]

Voor zover ik weet kan je wel eender welke unsigned kernel driver laden, maar het is gewoon niet zo evident meer en het is niet iets dat je van eindgebruikers mag verwachten.

Je moet namelijk als developer wel nog die driver kunnen ontwikkelen, dus helemaal dichttimmeren gaat niet.

Maakt het probleem van Sandboxie natuurlijk niet minder, maar als je echt wilt dan kan het wel.

[Sebazzz]

Voor zover ik weet kan je wel eender welke unsigned kernel driver laden, maar het is gewoon niet zo evident meer en het is niet iets dat je van eindgebruikers mag verwachten.

Uiteraard - maar dat is ook mijn punt: Eindgebruikers hebben niets aan de open-source Sandboxie zolang de driver unsigned is.

[Reinstein]

Je moet windows booten in een speciale testmode. Je eigen test certificaat installeren en dan kun je je gesignde development driver laden.

Om heb in Windows te kunnen laden moet je een EV code sign certificaat hebben. Je driver daarmee signen, naar microsoft sturen, die signen/checken hem, en dan kun je hem evt. via windows update verspreiden (voor USB drivers in ieder geval, andere heb ik geen ervaring mee)

[mae-t.net]

Windows 7 kun je gewoon in development mode zetten. Ik mag hopen dat dat in latere versies ook werkt.

[SuperDre]

Ja en dat is interessant voor mensen die alleen gebruik willen maken van de software om veilig bezig te zijn, aan de andere kant open gaan zetten

[mae-t.net]

Ja, want de onveilige dingen doe je in de zandbak en niet erbuiten... De doelgroep zal hier vooral uit serieuze gebruikers bestaan.

[jpsch]

Tja, dan was er echt geen vraag naar.

[Eonfge]

Dat is een risico... Maar anders was het toch al ten dode opgeschreven.

Het is waar dat kleinere open source en hobby projecten vaak door 1 ontwikkelaar wordt gedragen. Projecten waar wel een grote groep ontwikkelaars aan zitten, zoals bijvoorbeeld VLC, hebben vaak nauwe banden met universiteiten of andere grote industrie sponsors. Heeft ook niet per se iets te maken met open source of niet. Winrar wordt bijvoorbeeld door twee mensen gerund, dus ook daar is de bus factor gevaarlijk groot.

Het is natuurlijk wel zo dat Sandboxie als product een beetje op de retour is. Windows UWP is nog wel de grootste concurrent, want daar draaien apps ook maar met ingeperkte rechten.

[Sircuri]

of dat er straks 500 forks van komen

[RoestVrijStaal]

Ik denk dat doordat de source code onder een restrictieve copyleft licentie wordt uitgebracht, veel bedrijven terughoudend zijn (hoogstens een eigen fork voor eigen gebruik onderhouden) en dat het bij een paar hobbyprojecten blijft.

Dat Sophos de broncode openbaar maakt en daarna de tent sluit, zegt ook iets over de onderhoudbaarheid van de broncode (leesbaarheid en kwaliteit). Èn het natuurlijk ook de tijd en moeite die nodig is om de applicatie te onderhouden.

[mae-t.net]

Of over de koers van Sophos in het zicht van een Microsoftapplicatie. Je kunt er geen conclusies uit trekken.

[Reactie gewijzigd door mae-t.net op 23 juli 2024 14:45]

[andru123]

If only microsoft released Win 7 code

[Luchtbakker]

en nu wachten tot hackers gebruik maken van de lekken die nog niet gevonden waren.

[PommeFritz]

Je kunt het ook anders bekijken: deze lekken (als ze er zijn) worden nu bekend en openbaar. Tot nu tot had je nog geen idee of er een hacker gebruik zou maken van zo'n lek.

[3d-pint]

Dat hoeft natuurlijk niet. Als een hacker gaten vindt, maakt hij die niet openbaar. Maar de open source zal het hacken wel flink vergemakkelijken. Het is maar de vraag of de niet-hack community voldoende groot is en voldoende specifieke kennis heeft om deze lekken op te sporen.

[mae-t.net]

Alle argumenten die je voor de blackhat opnoemt, gelden onverminderd voor de whitehat. Het is maar net vanuit welk vooroordeel je de situatie bekijkt. In werkelijkheid bestaan beiden.

[dakka]

zat whitehats die gewoon actief al die gaten gaan opzoeken en publiceren, al dan niet na het eerst te fixen

[Horatius]

Je zou ook geen programma moeten gebruiken welke niet meer ontwikkeld wordt en geen support meer voor is.

[o0Runaljod0o]

* Kijkt naar heel veel bedrijven met Windows 7 *

[GertMenkel]

Security through obscurity is dom en gevaarlijk. Een beetje hacker kan die gaten al lang uitbuiten, zoveel moeite is het ook weer niet om API hooks te reverse engineeren. Er zijn alleen te weinig mensen (en vooral: bedrijven) die Sandboxie gebruiken om er zoveel moeite in te steken.

Het gevaar is dat er waarschijnlijk wel lekken zijn, maar dat niemand ze zal repareren aangezien de ondersteuning vervalt.

Als je veilige sandbox sandboxing wil, overweeg dan om de sandboxing van Windows zelf te gebruiken. Als je het als tool gebruikt om te zien hoe programma's zich gedragen (of om hun wijzigingen aan je systeem te isoleren tot alleen het programma) dan kun je het nog prima gebruiken, ondanks de lekken.

[HollowGamer]

Word dit programma nog echt actief ontwikkeld? Ik zeg niet dat er tegenwoordig perse iets beters is, op Linux is er wel genoeg, maar volgens mij vrijwel niks op Windows toch?

[Bor]

Microsoft komt zelf met Windows Sandbox (beschikbaar vanaf Windows 10 (1903)).

[HollowGamer]

Ja, maar is dit niet een volledige Windows-omgeving (simpelweg een VM) of is dit echt zoiets als Sandboxie? Dat is juist wat dit programma zo handig maakt, het verbruikt heel weinig resources.

[mbb]

Is dat niet alleen voor windows Pro/Enterprise?

[dehardstyler]

Mooi, dan hoef je dus ook niet meer allemaal gegevens in te vullen als je de executable wil downloaden. Nu staat er nog een exportbeperking op de website en moet je allemaal gegeven invullen, terwijl de software al gratis te downloaden is.

[Bor]

Ze voelen waarschijnlijk de hete adem van o.a. Microsoft in de nek. Daarbij is dit natuurlijk een programma voor een niche markt waar het lastig is geld te verdienen. Ik kijk commercieel gezien niet op van deze stap.

[Marsmillo]

Heb sandboxie in gebruik bij mijn mama, zodat ze ook op internet kan, zonder dat ik nadien telkens weer een hoop zooi moet gaan opruimen... zelfs na de ‘gevaren’ meermaals te hebben uitgelegd blijft ze maar op alles rondklikken.

Sandboxie was hierin voor mij de ideale oplossing. Gemakkelijk, zonder teveel te moeten instellen, amper performance inpakt en vooral het behoud van de normale workflow waren de meerwaarde. Na mijn weten zijn er ook nooit meer dingen gebeurd na het in gebruik nemen van sandboxie.

Zal nu naar even simpele oplossing moeten uitkijken.
Iemand suggesties?

Gaat specifiek om 1 of meerdere geselecteerde programma’s automatisch in een sandbox te laten starten zonder bijkomende gebruikers input, met toegang tot de bepaalde mappen (zelf instelbaar) van de host pc (read only). Bij afsluiten van het geopend programma mag de volledige sandbox gewist worden.

[Reactie gewijzigd door Marsmillo op 23 juli 2024 14:45]

[Creesch]

Vooralsnog werkt het gewoon prima toch? En hopelijk wordt de ontwikkeling dus opgepakt door een open source community en dan kan je het prima blijven gebruiken.

[Marsmillo]

Natuurlijk, maar het is toch ook niet slecht om al eens stilaan naar de alternatieven te kijken denk ik. Hopelijk neemt iemand de ontwikkeling over, maar bij iedere grote update van Windows is er een aanpassing nodig aan het programma, als er dus geen andere het oppikken zal het snel gedaan zijn...

Tot wanneer het echt niet meer zou gaan, blijf ik sandboxie daar gewoon gebruiken natuurlijk.

[mutley69]

Het is eigenlijk triest te moeten vaststellen dat niemand nog z'n boterham kan verdienen met Apple en Microsoft. Ze duwen die kleinere bedrijfjes gewoon uit de markt - dat zou niet mogen mogen - maar hou dat maar 's tegen met wetgeving!
De enige manier om dat te doen is bepalen wat wettelijk in een OS mag zitten en wat niet.

[sfranken]

Dat doen MS en Apple al decennia hoor, is niks nieuws. Google ook, maar dan wat minder lang.
Wettelijk bepalen wat in een OS mag, liever niet. Ik heb liever niet dat de incompetente Nederlandse overheid zich daarmee gaat bemoeien...