Sandboxing, Broker Architectures και Isolation Assurance — DedSec Project

Ελληνική έκδοση — Μάθημα 119. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Το sandbox είναι σύνολο περιορισμών authority. Μάθε να ορίζεις το security invariant, να μετράς exposed capabilities και να κάνεις regression verification.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το sandbox threat models και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το deny-by-default policy και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το syscall and filesystem mediation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το brokers and privileged helpers και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το namespace and job-object style isolation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το seccomp, MAC and platform policy concepts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. sandbox threat models

Sandbox μειώνει impact περιορίζοντας resources/operations. Όρισε ποια attacker capability υποθέτει και ποια assets μένουν έξω από το boundary, αλλιώς ο όρος “sandboxed” δεν έχει μετρήσιμη σημασία.

2. deny-by-default policy

Ξεκίνα denied και πρόσθεσε μόνο απαιτούμενες capabilities. Κάθε exception χρειάζεται owner, reason, resource scope και regression test ώστε compatibility changes να μην αυξάνουν αθόρυβα authority.

3. syscall και filesystem mediation

Syscalls και filesystem είναι βασικά boundaries προς kernel resources. Η policy πρέπει να λαμβάνει υπόψη path resolution, links, mounts, namespaces και inherited descriptors και όπου γίνεται να χρησιμοποιεί stable object identity.

4. brokers και privileged helpers

Privileged helper είναι ελεγχόμενη έξοδος από sandbox και πρέπει να έχει πολύ μικρή API. Μετέφερε explicit caller/resource context και απόρριψε ό,τι ο helper δεν μπορεί να authorize τοπικά.

5. namespaces και job-object isolation

Namespaces, cgroups, job objects και tokens απομονώνουν διαφορετικές διαστάσεις. Επιβεβαίωσε ξεχωριστά process, mount, network, IPC, user, device και quota isolation αντί να υποθέτεις ένα γενικό boundary.

6. seccomp, MAC και platform policy

Seccomp και MAC περιορίζουν behavior πέρα από ordinary permissions. Οι policies πρέπει να βασίζονται σε πραγματικές απαιτήσεις, να fail closed όπου χρειάζεται και να αφήνουν telemetry για denials/drift.

7. escape classes χωρίς weaponization

Escape class μπορεί να είναι privileged interface, kernel/runtime bug, policy gap, parser bug ή confused deputy. Στο defensive research ταξινόμησε το boundary failure και κάνε reproduction μόνο σε toy/owned target.

8. assurance, regression και telemetry

Isolation χρειάζεται συνεχή evidence: policy versions, broker decisions, denied operations και regression tests μετά από runtime updates. Χωρίς observability δύσκολα αποδεικνύεται ότι το sandbox παρέμεινε αποτελεσματικό.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Κατασκεύασε εκπαιδευτική διεργασία με ρητά επιτρεπόμενες λειτουργίες αρχείων και τεκμηρίωσε όσες απορρίπτονται.

• Εργαστήριο 2 — Σύγκρινε δύο ρυθμίσεις container ή sandbox ως προς capabilities, προσαρτήσεις, δίκτυο και ορατότητα διεργασιών.

• Εργαστήριο 3 — Γράψε δοκιμές παλινδρόμησης που αποδεικνύουν ότι το απομονωμένο στοιχείο δεν προσπελαύνει τρεις εργαστηριακούς πόρους εκτός πολιτικής.

Πλήρες αγγλικό μάθημα

English Module 119

Επόμενα μαθήματα

Σχετικά modules: 041, 074, 075, 094, 095, 112. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.