¿Qué es un sandbox y por qué deberías jugar en uno?

Eche un vistazo a las aplicaciones que más usa en su computadora. Lo más probable es que una buena cantidad de ellos ofrezcan una funcionalidad altamente conectiva, especialmente su navegador web. Estos programas altamente conectivos pueden hacer mucho, pero también son una invitación abierta para que los hackers malos ataquen.

Para evitar que las huelgas sean exitosas, un desarrollador tendría que detectar y cerrar cada agujero en su código, lo que simplemente no es posible. En cambio, los desarrolladores tienen que tomar ese hecho y planificar su código con eso en mente. La solución más común y efectiva: una caja de arena.

Arena en una caja?

No, no es el sandbox del parque local lo que prefiero, sino los sandbox de software. Estas cajas de arena tienen un propósito clave: evitar la propagación de un ataque. Como mencioné anteriormente, los desarrolladores inteligentes saben que el código no es perfecto y que su producto eventualmente será pirateado o penetrado. Para proteger al usuario, implementan un sandbox que aísla partes de su programa. En esencia, todo lo que sucede en un sandbox se queda en ese sandbox..

Sandboxes en acción

Para explicar los sandboxes en acción, usaré Google Chrome como el ejemplo principal. Chrome es uno de los productos más conocidos para implementar sandboxing, que Google orgullosamente promociona como una característica de seguridad única entre los navegadores. Google tomó Chrome y esencialmente lo dividió en tres categorías diferentes: el proceso principal que une todo, los procesos de pestañas que contienen las páginas e incluyen el renderizador y los procesos de complementos. Todas estas categorías tienen diferentes niveles de permisos para que puedan ejecutarse, pero esos permisos son los mínimos necesarios para que todos estén bastante restringidos. Además, los diferentes procesos no pueden realmente comunicarse entre sí, sino que coexisten. Por ejemplo, aunque el contenido Flash del complemento Flash puede estar presente en una página, los procesos aún están separados y no se comunican entre sí. El renderizador solo deja un espacio en la página para que se muestre ese proceso. Esta incapacidad para comunicarse es importante porque si una pestaña falla o es secuestrada, no puede afectar a las otras pestañas ni al sistema en sí.

Firefox también lo tiene, más o menos

Firefox también tiene una función de sandboxing, aunque limitada, que lo separa de los complementos de terceros como Flash. Si bien el navegador y todas sus pestañas se combinan en un solo proceso, hay un proceso separado para todos los complementos. En el enfoque de Firefox, confía más en su propio código que Googles con Chrome, y echa la culpa de cualquier problema de navegación en los complementos. Por lo tanto, si los complementos se bloquean de cualquier manera, el navegador y las pestañas no se ven afectados.

Pensar más allá

Si bien es una buena estrategia tener técnicas de sandboxing implementadas en el código de un programa, hay muchos otros programas que no tienen ningún sandboxing en absoluto. En su lugar, querrá ejecutar un sandbox virtual donde puede ejecutar programas que solo pueden causar tantos estragos como puedan dentro del sandbox, dejando su sistema intacto. Si bien esto a menudo está destinado a probar software, también es una buena opción ejecutar un navegador web o realmente cualquier otro software allí si es bastante paranoico (o inserte su otra palabra favorita aquí). Una opción muy popular para esto es Sandboxie Cómo aislar y probar aplicaciones inseguras en su PC Cómo aislar y probar aplicaciones inseguras en su PC, pero hay otros productos, tanto gratuitos como de pago, que pueden lograr lo mismo.

Conclusión

Sandboxing es actualmente uno de los temas más candentes cuando se trata de seguridad, y definitivamente está haciendo el trabajo bastante bien. Por supuesto, los desarrolladores siempre deben concentrarse en hacer que su código sea lo mejor posible, pero definitivamente no ayuda tener algunos planes de acción para cuando ocurra un problema. Tenga en cuenta que los sandboxes aún no son perfectos, ya que el sandbox de Chrome fue derrotado en Pwn2Own 2012 después de algunos hacks extremadamente difíciles, pero definitivamente son una opción mucho mejor que ninguna..

¿Cuál es su opinión sobre las aplicaciones de sandboxing? ¿Qué mejoras le gustaría ver en los navegadores web de sandboxing, o qué aplicaciones cree que necesitan sandboxing? Háganos saber en los comentarios!

Créditos de imagen: Katie Gregory, Ernst Vikne