Sandboxie ist eines der Programme, das ich seit vielen Jahren in Betrieb halte. Sie versetzt Programme in eine abgesicherte Umgebung, eine so genannte Sandbox. Im Beitrag Der Sandkasten fürs Windows-System habe ich das seinerzeit ausführlich beschrieben.
Das Programm war ursprünglich das Werk eines Einzelkämpfers, Ronen Tzur. 2013 hat es ein Sicherheitsunternehmen namens Invincea gekauft, das 2017 in Sophos aufgegangen ist. Und spätestens seit dieser Übernahme hat Sandboxie einen vernachlässigten Eindruck hinterlassen.
Sophos macht schlapp
Und der täuschte nicht: Im März hat Sophos die Entwicklung eingestellt und das Programm als Open-Source freigegeben. Der Quellcode ist bei Github zu finden.
Bedeutet das das Ende – oder einen Neuanfang? Das lässt sich bislang schwer abschätzen. Es hängt davon ab, ob die Community das Geschenk annimmt und sich daran macht, Sandboxie am Leben zu erhalten und weiterzuentwickeln. Sophos ist sehr zuversichtlich; in der Pressemeldung heisst es:
Die Sandboxie-Benutzerbasis repräsentiert einige der leidenschaftlichsten, fortschrittlichsten und sachkundigsten Mitglieder der Sicherheitsgemeinschaft, und wir hoffen, dass diese Ankündigung eine neue Welle von Ideen und Anwendungsfällen auslösen wird.
Allerdings hat sich auf Github in den letzten sechs Monaten nichts getan: Keine sichtbare Entwicklertätigkeit und nur ein Mitglied bei dem Projekt. Das sieht nicht vielversprechend aus.
Die Zeit scheint gekommen, sich nach Alternativen umzusehen
Darum sollte man sich mit dem Unvermeidlichen beschäftigen, und sich fragen: Was könnte man als Alternative verwenden?
Eine naheliegende Lösung ist die Windows Sandbox, die ich im Beitrag Jederzeit ein frisches Windows vorstelle. Sie erfüllt allerdings nicht genau den gleichen Zweck wie Sandboxie: Sie stellt eine Arbeitsumgebung bereit, die bei jedem Start auf den Ursprungszustand zurückversetzt wird. Das ist praktisch, um gefährliche und potenziell fragwürdige Software auszuprobieren. Aber sie ist für dauerhaftes Arbeiten ungeeignet.
Dafür setzt man besser auf eine virtuelle Maschine, bzw. einen Hypervisor. Tipps zu dieser Softwarekategorie liefere ich im Beitrag Virtuell ist essenziell.
Ein Hypervisor kann weiterhelfen
Die Windows-Klassiker sind nach wie vor VirtualBox und VMware. In Windows Pro ist Hyper-V enthalten. Und schliesslich existiert mit QEMU auch eine offene und freie Software, die noch einem ausführlichen Test meinerseits harrt. Falls jemand damit Erfahrung hat, freue ich mich über einen kurzen Bericht in den Kommentaren.
Die ausführbaren Dateien gibt es jedenfalls hier. Eine grafische Benutzeroberfläche ist bei gitlab.com verfügbar.
Qubes OS, anyone?
In einem Beitrag zu weiteren Sandboxie-Alternativen habe ich noch eine interessante Lösung gefunden: Nämlich Qubes OS: Das ist ein auf Sicherheit getrimmtes Betriebssystem, das die einzelnen Systemkomponenten und Programme voneinander isoliert. Es sandboxt einzelne Anwendungen – was nach ausserordentlicher Sicherheit, aber auch nach einem grossen Ressourcenhunger klingt. Und auch für Qubes OS gilt: Wer es näher kennt und ein paar Worte dazu verlieren kann, ist mehr als willkommen, das über via Kommentarfeld zu tun!
Ideal fände ich es, wenn das Betriebssystem in die Bresche springen würde. Und Microsoft hat einiges an Vorarbeit geleistet: Windows ist mit Virtualisierungstechnik ausgestattet. Das Betriebssystem kann mit Hilfe des Windows Defender Application Guard (WDAG) Microsofts Browser Edge in einer abgesicherten Umgebung ausführen. Ich habe das im Beitrag Edge, auf Sicherheit getrimmt beschrieben und schon damals gefordert, dass Microsoft die Funktion benutzerfreundlicher gestalten und für alle anderen Anwendungen bereitstellen müsste.
Nur noch signierte Apps auf dem Mac?
Einen anderen Weg beschreitet übrigens Apple beim Mac. Apple setzt auf signierte Software, die neuerdings sogar offiziell beglaubigt wird. Die demnächst erhältlichen ARM-Macs werden überhaupt nur noch signierte Anwendungen ausführen.
Ach ja, eine Erklärung zum Titel bin ich noch schuldig: Sändele bedeutet auf gut Schweizerdeutsch, im Sandkasten zu spielen. Ich glaube nicht, dass es im richtigen Deutsch ein Verb für diese Tätigkeit gibt, oder?
Beitragsbild: Was ist denn hier passiert? (Helena Lopes, Pexels-Lizenz)
Qubes OS ist ein interessantes Konzept. Bezüglich Ressourcen ist es erstaunlich schlank dank der Art, wie die GUI unter Linux funktioniert: es läuft ein X Server, welcher die Grafikdarstellung übernimmt. Die Anwendungen schicken ihre Fenster an den in der DISPLAY-Variable definierten X Server. Standardmässig ist das „:0“, also der lokale Server. Das kann aber gerade so gut ein entfernter Rechner sein. Die Terminaldienste, die Microsoft vor 20 Jahren als Revolution verkauft hat, gibt es unter Unix also schon lange. 🙂
Will heissen: auf dem Host läuft ein X Server. Die unterschiedlichen virtuellen Maschinen sind sehr schlank, da sie nur den Linux-Kernel sowie die Anwendung selbst (Firefox etc.) benötigen, aber nicht die ganzen GUI-Sachen. Der Overhead pro zusätzlich laufendem Linux-Kernel beträgt weniger als 100 MB.
Qemu Simple Boot: QEMU Hilfsprogramm, noch nicht getestet, für ISO’s geeignet, aber nicht für einzelne Programme
Hinweis bei
https://www.wintotal.de/download/qemu-simple-boot/
mit Link zu
https://www.sordum.org/7763/qemu-simple-boot-v1-3/
in QEMU ein eigenes Windows aufzusetzen, würde wohl kaum Sinn machen
da Microsoft virtuelle Windows-Testversionen abgibt, Hinweis etwa bei
https://www.deskmodder.de/blog/2020/07/04/windows-10-enterprise-2004-19041-als-virtuelle-maschine-fuer-vmware-virtualbox-hyper-v-oder-parallels/
dort Link zu
Get a Windows 10 development environment
https://developer.microsoft.com/en-us/windows/downloads/virtual-machines/
Wir arbeiten mit KVM/QEMU intern seit über 10 Jahren mit besten Resultaten, allerdings unter Linux. KVM/QEMU kann einfach in jeder Linux-Distribution aufgesetzt werden. Für Linux gibt es mit AQEMU auch ein brauchbares GUI. Für Windows gibt es einen Qemu Manager, die Entwicklung dort scheint aber „eingefroren“. Generell ist es so, dass KVM/QEMU bei der Virtualisierung zwar Meilensteile setzt(e), dass andere Lösungen (insbesondere VirtualBox) beim GUI aber mehr bieten.
Das, wovon Du aber schreibst, das Trennen der einzelnen Applikationen in isolierte Umgebungen, dies erübrigt sich aber, wenn die Applikationen gar keine Chance erhalten, Daten zu sammeln, weil das gesamte Betriebssystem im Hauptspeicher läuft und bei einem jeden Neustart ein frisches System zur Verfügung steht. Genau das bietet AVMultimedia.
zudem einen Browser, der
Nur kurz zur Erinnerung: ISO beziehen, Stick erstellen (https://www.balena.io/etcher/), dann gesamtes OS in Speicher laden (dauert ca. 10 bis 20 Sekunden, selbst auf einem sehr betagten alten Notebook nicht mehr als 30 Sekunden) und schon hättest Du eine Umgebung, wo Du nicht nur nicht getrackt wirst, sondern mit SearX auch eine lokale eigene Meta-Suchmaschine hast.
Weitere Infos gibt es hier:
http://archivista.ch/cms/de/support/avmultimedia/
Direktlink zu den ISO-Dateien:
https://osdn.net/projects/avmultimedia/
AVMultimedia bietet bei den Browsersn Firefox und Ungoogled Chromium. Letzerer ist ein Fork von Chromium aka Chrome, bei dem es darum geht, dass alle Google spezifischen Dienste entfernt werden.