Linux/SELinux/07 Sandbox: Unterschied zwischen den Versionen

Aktuelle Version vom 12. Juni 2026, 16:41 Uhr

Linux/SELinux/07 Sandbox - Programme mit sandbox absichern

Beschreibung

sandbox fügt eine Reihe von SELinux-Richtlinien hinzu, die es ermöglichen, eine Anwendung innerhalb einer streng begrenzten SELinux-Domäne auszuführen

Es können Einschränkungen hinsichtlich der Berechtigung zum Öffnen neuer Dateien oder des Zugriffs auf das Netzwerk definiert werden
Dies ermöglicht es, die Verarbeitungsmerkmale nicht vertrauenswürdiger Software sicher zu testen, ohne das Risiko einer Beschädigung des Systems einzugehen

Ausführen einer Anwendung mit Sandbox

Vor der Verwendung des Dienstprogramms sandbox muss das Paket policycoreutils-sandbox installiert werden

sudo yum install policycoreutils-sandbox

Die grundlegende Syntax zum Einschränken einer Anwendung lautet

sandbox [Optionen] zu_testende_Anwendung

Um eine grafische Anwendung in einer Sandbox auszuführen, verwenden Sie die Option -X

Beispiel

sandbox -X evince

Die Option -X weist sandbox an

einen isolierten sekundären X-Server für die Anwendung einzurichten
bevor die benötigten Ressourcen kopiert
eine geschlossene virtuelle Umgebung im home-Verzeichnis des Benutzers oder im Verzeichnis /tmp erstellt wird

Um Daten von einer Sitzung zur nächsten zu erhalten

sandbox -H sandbox/home -T sandbox/tmp -X firefox

Beachten Sie

dass sandbox/home für /home und sandbox/tmp für /tmp verwendet wird
Verschiedene Anwendungen werden in unterschiedlichen, eingeschränkten Umgebungen platziert
Die Anwendung läuft im Vollbildmodus, wodurch der Zugriff auf andere Funktionen verhindert wird
Sie können keine Dateien öffnen oder erstellen, außer denen, die mit sandbox_x_file_tgekennzeichnet sind

Der Zugriff auf das Netzwerk ist innerhalb der sandbox zunächst ebenfalls nicht möglich

Um den Zugriff zu ermöglichen, verwenden Sie die Kennzeichnung sandbox_web_t
Um beispielsweise Firefox zu starten:

sandbox ‑X ‑t sandbox_web_t firefox

Warnung

Die Kennzeichnung sandbox_net_t ermöglicht uneingeschränkten, bidirektionalen Netzwerkzugriff auf alle Netzwerkports

Die sandbox_web_t erlaubt Verbindungen nur zu den für das Surfen im Internet erforderlichen Ports

Die Verwendung von sandbox_net_t sollte mit Vorsicht und nur bei Bedarf erfolgen

Informationen sowie eine vollständige Liste der verfügbaren Optionen finden Sie auf der Handbuchseite sandbox (8)

← Zurück

Weiter →

@@ Zeile 1: / Zeile 1: @@
-=== Kapitel 7. Absichern von Programmen mit Sandbox ===
+{{navigation|Linux/SELinux/06 Benutzer|Linux/SELinux/08 Virtualisierung}}
-Das Sicherheitsprogramm ‚‘'sandbox'‚‘ fügt eine Reihe von SELinux-Richtlinien hinzu, die es einem Systemadministrator ermöglichen, eine Anwendung innerhalb einer streng begrenzten SELinux-Domäne auszuführen. Es können Einschränkungen hinsichtlich der Berechtigung zum Öffnen neuer Dateien oder des Zugriffs auf das Netzwerk definiert werden. Dies ermöglicht es, die Verarbeitungsmerkmale nicht vertrauenswürdiger Software sicher zu testen, ohne das Risiko einer Beschädigung des Systems einzugehen.
+'''Linux/SELinux/07 Sandbox''' - Programme mit [[sandbox]] absichern
-=== 7.1. Ausführen einer Anwendung mit Sandbox ===
+=== Beschreibung ===
-Vor der Verwendung des Dienstprogramms ‚‘'sandbox'‚‘ muss das Paket policycoreutils-sandbox installiert werden:
+'''[[sandbox]]''' fügt eine Reihe von SELinux-Richtlinien hinzu, die es ermöglichen, eine Anwendung innerhalb einer streng begrenzten SELinux-Domäne auszuführen
- ~]# yum install policycoreutils-sandbox
+* Es können Einschränkungen hinsichtlich der Berechtigung zum Öffnen neuer Dateien oder des Zugriffs auf das Netzwerk definiert werden
-Die grundlegende Syntax zum Einschränken einer Anwendung lautet:
+* Dies ermöglicht es, die Verarbeitungsmerkmale nicht vertrauenswürdiger Software sicher zu testen, ohne das Risiko einer Beschädigung des Systems einzugehen
- ~]$ sandbox [Optionen] ‚'zu_testende_Anwendung‘'
-Um eine grafische Anwendung in einer ‚‘'Sandbox'‚‘ auszuführen, verwenden Sie die Option -X. Zum Beispiel:
- ~]$ sandbox -X ‚'evince‘'
-Die Option -X weist ‚‘'sandbox'‚‘ an, einen isolierten sekundären X-Server für die Anwendung (in diesem Fall evince) einzurichten, bevor die benötigten Ressourcen kopiert und eine geschlossene virtuelle Umgebung im home-Verzeichnis des Benutzers oder im Verzeichnis /tmp erstellt wird.
-Um Daten von einer Sitzung zur nächsten zu erhalten:
+=== Ausführen einer Anwendung mit Sandbox ===
- ~]$ sandbox -H sandbox/home -T sandbox/tmp -X ‚'firefox‘'
+Vor der Verwendung des Dienstprogramms '''sandbox''' muss das Paket policycoreutils-sandbox installiert werden
-Beachten Sie, dass sandbox/home für /home und sandbox/tmp für /tmp verwendet wird. Verschiedene Anwendungen werden in unterschiedlichen eingeschränkten Umgebungen platziert. Die Anwendung läuft im Vollbildmodus, wodurch der Zugriff auf andere Funktionen verhindert wird. Wie bereits erwähnt, können Sie keine Dateien öffnen oder erstellen, außer denen, die mit sandbox_x_file_t gekennzeichnet sind.
+ sudo yum install policycoreutils-sandbox
+Die grundlegende Syntax zum Einschränken einer Anwendung lautet
+ sandbox [Optionen] ''zu_testende_Anwendung''
+Um eine grafische Anwendung in einer '''Sandbox''' auszuführen, verwenden Sie die Option -X
-Der Zugriff auf das Netzwerk ist innerhalb der sandbox zunächst ebenfalls nicht möglich. Um den Zugriff zu ermöglichen, verwenden Sie die Kennzeichnung sandbox_web_t. Um beispielsweise ‚‘'Firefox'‚‘ zu starten:
+; Beispiel
-  ~]$ sandbox ‑X ‑t sandbox_web_t ‚'firefox‘'
+  sandbox -X ''evince''
-‚‘'Warnung'‚‘
-Die Kennzeichnung sandbox_net_t ermöglicht uneingeschränkten, bidirektionalen Netzwerkzugriff auf alle Netzwerkports. Die sandbox_web_t erlaubt Verbindungen nur zu den für das Surfen im Internet erforderlichen Ports.
+Die Option -X weist '''sandbox''' an
+* einen isolierten sekundären X-Server für die Anwendung einzurichten
+* bevor die benötigten Ressourcen kopiert
+* eine geschlossene virtuelle Umgebung im home-Verzeichnis des Benutzers oder im Verzeichnis /tmp erstellt wird
-Die Verwendung von sandbox_net_t sollte mit Vorsicht und nur bei Bedarf erfolgen.
+Um Daten von einer Sitzung zur nächsten zu erhalten
+ sandbox -H sandbox/home -T sandbox/tmp -X ''firefox''
-Informationen sowie eine vollständige Liste der verfügbaren Optionen finden Sie auf der Handbuchseite sandbox (8).
+; Beachten Sie
+* dass sandbox/home für /home und sandbox/tmp für /tmp verwendet wird
+* Verschiedene Anwendungen werden in unterschiedlichen, eingeschränkten Umgebungen platziert
+* Die Anwendung läuft im Vollbildmodus, wodurch der Zugriff auf andere Funktionen verhindert wird
+* Sie können keine Dateien öffnen oder erstellen, außer denen, die mit '''sandbox_x_file_t'''gekennzeichnet sind
+Der Zugriff auf das Netzwerk ist innerhalb der [[sandbox]] zunächst ebenfalls nicht möglich
+* Um den Zugriff zu ermöglichen, verwenden Sie die Kennzeichnung '''sandbox_web_t'''
+* Um beispielsweise '''Firefox''' zu starten:
+ sandbox ‑X ‑t sandbox_web_t ''firefox''
-[[Kategorie:SELinux/DOC]]
+; Warnung
+<blockquote>
+Die Kennzeichnung '''sandbox_net_t''' ermöglicht uneingeschränkten, bidirektionalen Netzwerkzugriff auf alle Netzwerkports
+* Die '''sandbox_web_t''' erlaubt Verbindungen nur zu den für das Surfen im Internet erforderlichen Ports
+Die Verwendung von '''sandbox_net_t''' sollte mit Vorsicht und nur bei Bedarf erfolgen
+</blockquote>
+Informationen sowie eine vollständige Liste der verfügbaren Optionen finden Sie auf der Handbuchseite [[sandbox]] (8)
+{{navigation|Linux/SELinux/06 Benutzer|Linux/SELinux/08 Virtualisierung}}
+[[Kategorie:Linux/SELinux]]

Dirkwagner (Diskussion | Beiträge)

Aktuelle Version vom 12. Juni 2026, 16:41 Uhr

Beschreibung

Ausführen einer Anwendung mit Sandbox