Die erste Linux-Anwendung, die sich komplett in einer Sandbox befindet ist Neverball

Ein Kommentar Autor: Jürgen (jdo)

Neverball ist die erste Linux-Anwendung, die man komplett in eine Sandbox gesperrt hat. Als ich das gelesen habe, fragte ich mich, wie man sandboxed ins Deutsche überträgt.

Gesandboxt klingt reichlich doof und sandgeboxt tut das auch. In einen Sandkasten sperren ist es wohl auch nicht.

Sich in einer Sandbox befinden oder in eine Sandbox sperren kommt dann wohl am ehesten hin.

Neverball in einer Sandbox

Gemeint ist damit, dass die Anwendung komplett unabhängig von der Host-Distribution läuft. Sie hat keinen Zugriff auf die System- oder Anwender-Dateien, sondern nur auf die Laufzeit-Dateien und Anwendung selbst. Weiterhin gibt es keinen Zugriff auf irgendwelche Hardware-Geräte außer DRO für GL-Rendering. Netzwerk-Zugriff gibt es auch keinen und die Anwendung kann keine anderen Prozesse im System sehen. Input ist nur via Wayland möglich. Auch Grafik kann nur via Wayland ausgegeben werden und Audio-Ausgabe ist nur über PulseAudio möglich. Hier gibt es noch weitere Details zur Sandbox.

Der Entwickler arbeitet schon länger an Sandbox-Problemen und nachdem die Grundsteine gelegt waren, wollte er eine echte Sandbox erschaffen. Er musste dafür Wayland statt X11 nehmen, weil X11 unmöglich abzusichern ist. Weiterhin muss er kdbux verwenden, damit die Desktop-Integration auf Kernel-Niveau gefiltert wird.

In der jüngeren Vergangenheit hat Wayland große Fortschritte gemacht und man hat mit Wayland-Sitzungen in Fedora 21 experimentiert. Somit kann man nun auch echte Sandboxes für einfache Anwendungen testen. Da das Spiel Neverball sehr wenig Interaktion mit dem System benötigt, wurde es zum idealen Kandidaten für eine Sandbox. Der Entwickler hat ein Video erstellt, das Neverball in einer Sandbox zeigt.

Neverball ist eine Kombination aus Puzzle- und Action-, oder Geschicklichkeits-Spiel. Das Projekt ist Open-Source und man muss eine Kugel erfolgreich durch ein Labyrinth steuern. Die meisten kennen das Prinzip. Man bewegt das Brett und der Ball rollt dann in die entsprechende Richtung. Das Spiel darf jeder kostenlos herunterladen. Es befindet sich übrigens auch in den Ubuntu-Repositories. Nun kann sich Neverball in die Geschichtsbücher eintragen, die erste Linux-Anwendung gewesen zu sein, die sich komplett in einer Sandbox befunden hat.