タグ付けされた質問 「sandbox」

私はChromiumを次のように実行しています： chromium --no-sandbox OpenVZ VMコンテナでDebian Squeezeを実行しているので、これを実行しています。これが唯一の方法です。 私は読み続けますが、これはひどいです。しかし、私は正確にその理由を知りたいです。誰かがそれを私に説明してもらえますか？ 誰かがあなたのコンピューターにハッキングして損害を与える必要がありますか？または、この脆弱性はJavaScriptファイルのようなWeb上のファイルに由来しますか？ 一握りの「信頼できる」サイトのみにブラウジングをロックダウンした場合はどうなりますか？（Gmail、stackexchange（もちろん）、facebook）

54 security  chrome  browser  sandbox 

私がしたい場合にbtrfsで使用するコマンドは何ですか： ボリュームの（読み取り専用）スナップショットを作成します。 （ボリュームでいくつかの実験を行う）; その後、ボリュームをスナップショットにロールバックしますか？

18 restore  btrfs  backup  sandbox 

私は、分散シミュレーションを実装するプロジェクトに取り組んでいます。任意のコードが複数のノードで実行され、結果が後で収集および集計されます。 各ノードはUbuntu Linux仮想マシンのインスタンスであり、実行されるコードを複数のワーカープロセス（コアごとに1つ）に転送するマスタープロセスを実行します。 この質問は、各ワーカーに仮想マシンインスタンスを使用せずに、各ワーカーがサンドボックス環境で動作することを確認する方法に関するものです。労働者の正確な要件は次のとおりです。 fs：書き込み許可なし、単一ディレクトリ（およびサブフォルダ）に制限された読み取り専用許可 net：ローカル通信のみが許可されます（IPC、TCPなど） mem：メモリ使用量の上限（スワップメモリ​​なし） cpu：許可されるコアは1つのみです。時間制限を超えた場合は強制終了します 他の制限を課すべきではありません：ワーカーは、動的ライブラリを（読み取り専用フォルダーから）ロードし、新しいスレッドまたはプロセスを生成し、システム関数を呼び出し、ecc eccできる必要がありますが、制限は、生成/ロードされたエンティティによって継承される必要があり、合計方式で適用する必要があります（たとえば、それぞれ800MBを使用する2つのスレッドをワーカーに生成させることはできません。そのようなワーカーのメモリ制限は1GBです）。 言うまでもなく、労働者がその権利を高める方法はないはずです。 要件を満たす最もシンプルなソリューションのための利用可能な代替案（SELinux、AppArmor、cgroups、ulimit、Linux名前空間、LXC、Dockerなど）を検討するのにかなりの時間を費やしましたが、フィールドでの経験は限られています。 現在の理解：LXCとDockerは、私のユースケースでは少し重く、完全に安全ではありません1。AppArmorは設定が簡単であるため、SELinuxよりも望ましいです。fsとネットの制限に使用します。cgroupsはulimit（単一のプロセスで動作する）よりも好ましく、memおよびcpuの制限に使用します。 これは私の目標を達成する最も簡単な方法ですか？AppArmorまたはcgroupsのみを使用できますか？モデルに明らかなセキュリティホールはありますか？ガイドラインは「労働者自身を倒すことを許可されているが、それ以外は何もしてはならない」であるべきである。

15 cgroups  sandbox  apparmor 

LVMで使用したいコマンドは何ですか？ ボリュームの読み取り専用のスナップショットを作成します。 （ボリュームでいくつかの実験を行います）; ボリュームをスナップショットにロールバックしますか？

12 lvm  restore  backup  sandbox 

安全なサンドボックス環境で、信頼されていないプログラム（学生の割り当て）を評価するプロジェクトを現在開始しています。主なアイデアは、LXCコンテナーを管理するためのlxc-utilsのGlassFishおよびJavaラッパー用のWebアプリを作成することです。待機中のプログラムのキューがあり、JavaラッパーはLXCコンテナーの固定数（プール）を維持し、各プログラムに1つの（未使用）コンテナーを割り当てます。 ホストシステムを保護するには、各コンテナーをSELinuxで保護する必要があります。 私の質問は次のとおりです。サンドボックス環境用にそのようなメカニズムを作成することは良い考えですか、それともこの問題に対するより適切な解決策はありますか？それは軽く、学生の創造性に対して安全でなければなりません。

9 security  selinux  lxc  sandbox  container 

アプリを制限された環境にロックするサンドボックスを使用するために、Debian sidにSELinuxをインストールしましたが、動作させることができません。などのオプションなしで、permissiveモードでsandboxコマンドを使用しようとするとsandbox nano、次のエラーが発生します。 /usr/bin/sandbox: [Errno 22] Invalid argument そして、-Xオプションの有無にかかわらず、一時的なホームディレクトリとtmpディレクトリのオプションを指定して実行しようとすると、別のエラーメッセージがポップアップ表示されます。 Could not set exec context to unconfined_u:unconfined_r:sandbox_x_t:s0:c236,c539. Failed to remove directory /tmp/.sandbox-root-vfZJIt: No such file or directory サンドボックスアプリを強制モードで使用しようとしましたが、型の強制ルールが欠落しているという不満があります。それは問題ではないと思います。誰かがこれを修正する方法を知っていますか？

8 debian  selinux  sandbox