Sandbox

Sandbox (anglicky pieskovisko) je bezpečnostný mechanizmus, ktorý spustí program v oddelenom priestore s obmedzeným prístupom k súborom, sieti a ostatným aplikáciám. Ak program urobí niečo škodlivé, zasiahne iba svoje „pieskovisko“, nie celý počítač či telefón.

Sandbox používate denne, aj keď o ňom neviete. Každá karta moderného prehliadača beží v izolovanom procese, aplikácie v mobile majú vlastný oddelený priestor a ku kontaktom či fotkám sa dostanú iba s vaším povolením. Okrem toho existujú nástroje, v ktorých si môžete bezpečne vyskúšať podozrivý program, a služby, ktoré v sandboxe analyzujú malvér.

Ako sandbox funguje

Operačný systém programu v sandboxe vymedzí, čo smie: ktoré priečinky môže čítať a zapisovať, či smie komunikovať cez sieť, spúšťať ďalšie programy alebo meniť nastavenia. Zápisy sa často presmerujú do dočasného úložiska, takže po zatvorení sandboxu zmiznú a skutočné súbory ostanú nedotknuté.

Sandbox sa líši od virtuálneho počítača. Virtuálny počítač emuluje celý samostatný systém s vlastným operačným systémom, je ťažší, no izoluje dôkladnejšie. Sandbox je ľahší a rýchlejší, zdieľa však s hostiteľom jadro systému, takže chyba v jadre môže izoláciu prelomiť.

Sandboxie a Windows Sandbox

Sandboxie je program pre Windows, ktorý spustí vybranú aplikáciu, napríklad prehliadač alebo inštalátor, v izolovanom priestore. Všetky zmeny, ktoré program urobí, sa uložia do oddeleného priečinka a dajú sa jedným klikom zahodiť. Pôvodne komerčný nástroj sa neskôr stal bezplatným a otvoreným softvérom a dnes sa vyvíja ako Sandboxie Plus (s moderným rozhraním) a Sandboxie Classic.

Windows Sandbox je funkcia priamo vo Windows 10 a 11 v edíciách Pro, Enterprise a Education (v edícii Home nie je). Po zapnutí v nastaveniach voliteľných funkcií spustí čistú, dočasnú kópiu Windows v okne. Čokoľvek v nej nainštalujete alebo otvoríte, zmizne po zatvorení okna. Vyžaduje podporu virtualizácie v procesore a zapnutú virtualizáciu v BIOS/UEFI.

Na čo sandbox využiť a kde má hranice

Sandbox sa hodí, keď potrebujete otvoriť prílohu, ktorej celkom neveríte, vyskúšať program z menej známeho zdroja alebo navštíviť stránku bez toho, aby po nej ostali cookies a história. Bezpečnostné firmy a správcovia sietí v sandboxoch automaticky spúšťajú podozrivé súbory a sledujú, čo robia, aby odhalili nový malvér. Online analytické služby fungujú podobne – nenahrávajte do nich však súkromné dokumenty, pretože vzorky môžu vidieť aj iní.

Sandbox nie je neprekonateľný. Útočníci hľadajú chyby, ktoré umožnia z izolácie uniknúť (sandbox escape), a pokročilý malvér vie rozpoznať, že beží v analytickom prostredí, a správať sa nevinne. Sandbox navyše nechráni pred tým, čo do neho sami zadáte – heslo zadané na falošnej stránke v sandboxe je rovnako ukradnuté. Je to užitočná vrstva, nie náhrada aktualizácií, firewallu a bezpečnostného programu (pozri kategóriu Antivírusy).

Časté otázky

Je Sandboxie zadarmo?

Áno, Sandboxie Plus aj Sandboxie Classic sú open source a dajú sa používať bezplatne. Niektoré pokročilé funkcie edície Plus sú dostupné so sponzorským certifikátom. Inštalátor sťahujte iba z oficiálnej stránky projektu.

Ako zapnúť Windows Sandbox?

V systéme Windows 10 alebo 11 Pro otvorte „Zapnúť alebo vypnúť funkcie systému Windows“, zaškrtnite Windows Sandbox a reštartujte počítač. Ak voľba chýba alebo je sivá, máte edíciu Home alebo vypnutú virtualizáciu v BIOS/UEFI.

Ochráni ma sandbox pred každým malvérom?

Nie. Výrazne obmedzí škodu, ktorú môže program napáchať, no chyby umožňujúce únik zo sandboxu existujú a sandbox nechráni údaje, ktoré do neho sami zadáte. Pri vysoko podozrivých súboroch je bezpečnejšie ich vôbec neotvárať.

Aký je rozdiel medzi sandboxom a virtuálnym počítačom?

Virtuálny počítač beží ako úplne samostatný systém s vlastným jadrom, a preto izoluje dôkladnejšie, no potrebuje viac výkonu. Sandbox je ľahší, spúšťa sa rýchlejšie a obmedzuje jednotlivé programy, zdieľa však časť systému s hostiteľom.