در کار با ویندوز سندباکس عادتی دارم که چندان به آن افتخار نمیکنم: وقتی فایل اجرایی یا هر چیز دیگری را که کاملاً به آن اطمینان ندارم اجرا میکنم، عملاً فقط مینشینم و تماشا میکنم. بازبودن آن در سندباکس این احساس را به من میدهد که جای نگرانی نیست؛ بالاخره سندباکس است و هر خطری هم وجود داشته باشد، همانجا مهار میشود.
اما همین اواخر، وقتی بهجای بازکردن نصبکننده و فراموشکردنش واقعاً به ماجرا دقت کردم، بهشدت غافلگیر شدم. برای نخستین بار متوجه شدم که سندباکس بهطور پیشفرض دسترسیهایی دارد که ترجیح میدادم بسته باشند.
ویندوز سندباکس بهطور پیشفرض دو انتخاب را بهجای شما انجام میدهد
هیچ تنظیمی را تغییر ندادم، اما سندباکس از همان آغاز آنلاین بود و جایگذاری را میپذیرفت
برای بررسی فایلی اجرایی و نامطمئن، یک نمونه تازه از ویندوز سندباکس باز کردم. همانجا بود که فهمیدم این سندباکس حتی پیش از آنکه روی چیزی کلیک کنم، به اینترنت دسترسی دارد و امکان رونوشت و جایگذاری هم در آن فراهم است. ویندوز بیآنکه خودم چنین چیزی را تنظیم کرده باشم، این دو قابلیت را از طرف من روشن کرده بود. اگر چیزی از قبل در کلیپبوردم بود، میتوانستم آن را بیدرنگ در سندباکس جایگذاری کنم.
شاید این موارد بهخودیخود نقص به شمار نیایند، اما برای آزمایش من لازم نبودند. سندباکس اتصال پیشفرض شبکهاش را از یک سوییچ مجازی Hyper-V روی میزبان و یک آداپتور شبکه مجازی درون خود سندباکس میگیرد. اشتراکگذاری کلیپبورد نیز قابلیت هدایت جداگانهای است که آن هم بهسادگی از پیش روشن شده است.
هیچیک از این تنظیمات پیشفرض به این معنا نیست که سندباکس دیگر محیطی جداافتاده نیست. ویندوز سندباکس همچنان از مجازیسازی سختافزاری و هستهای جداگانه بهره میبرد. بااینحال، آنچه توجهم را جلب کرد تصمیم مایکروسافت بود: در سامانهای که از دیگر جنبهها سختگیرانه محدود شده، دو قابلیت مربوط به شبکه و اشتراکگذاری با میزبان را بهطور پیشفرض روشن گذاشته است.
بیآنکه از سندباکس بخواهم با جایی ارتباط برقرار کند، ویندوز از پیش گذرگاههای لازم برای برقراری ارتباط را باز کرده بود.
پل کلیپبورد محدودتر از چیزی است که به نظر میرسد
رونوشتکردن در سندباکس، دری دوطرفه است
اغلب بیآنکه حتی به آن فکر کنید، از این پیوند کلیپبورد بهره میبرید. ممکن است نشانی اینترنتی، نام فایل یا فرمانی را از یک منبع آنلاین رونوشت کنید و مستقیم در سندباکس جایگذاری کنید تا ناچار به تایپ دوباره نباشید. این کار واقعاً آسوده است و هنگام انجامش حتی به فرایند پشتصحنه فکر هم نمیکنید.
مایکروسافت آن را گذرگاهی برای رونوشت و جایگذاری توصیف میکند که در هر دو جهت میان میزکار و سندباکس کار میکند. این یک پیوند کاملاً دوطرفه است و با مسیری یکطرفه به درون محیطی جداافتاده تفاوت چشمگیری دارد.
لازم نیست ثابت کنم که برنامه مخرب خاصی میتواند به شکلی هولناک از کلیپبورد سوءاستفاده کند. نکته مهم برای آزمایش من فقط این بود که این اتصال وجود داشت؛ آن هم نه به این دلیل که فایل اجرایی مورد آزمایش به آن نیاز داشت، بلکه چون ویندوز سندباکس هدایت کلیپبورد را روشن کرده بود.
بنابراین تصمیم گرفتم آن را خاموش کنم؛ با این کار میانبر رونوشت و جایگذاری که در آزمایش من کاربردی نداشت، حذف شد. همه بخشهای دیگر سندباکس نیز همانگونه که انتظار داشتم، بهطور عادی کار کردند.
شبکه همان قابلیتی است که دامنه کارهای ممکن را دگرگون میکند
برنامهای ناشناس با دسترسی اینترنتی از پس کارهایی برمیآید که در محیطی بسته شدنی نیست
بااینهمه، دسترسی شبکه موضوع مهمتری بود. بهمحض بازکردن سندباکس پیشفرض، این محیط میتواند به اینترنت وصل شود. همین یک مورد دامنه کارهایی را که هر برنامه درون سندباکس میتواند انجام دهد، دگرگون میکند. برخلاف رونوشت و جایگذاری، دیگر بحث فقط بر سر آسودگی کار شما نیست.
از مستندات رسمی خود مایکروسافت درباره پیکربندی ویندوز سندباکس و تنظیمات خطمشی گروهی چنین میآموزیم: «روشنکردن شبکه میتواند برنامههای نامطمئن را در معرض شبکه داخلی قرار دهد.»
مایکروسافت همچنین میگوید بستن دسترسی شبکه میتواند سطح حملهای را که سندباکس در معرض آن قرار میدهد کاهش دهد. این هشدار از خود مایکروسافت میآید، نه از وبلاگی ناشناس که شاید تنها بخواهد با ترساندن شما وادارتان کند تنظیمی را تغییر دهید.
باز هم میکوشم بیآنکه در اهمیت موضوع اغراق کنم، دقیقاً بگویم این کار چه معنایی دارد. با بستن شبکه، یک فایل مخرب ناگهان بیخطر نمیشود. همچنین هیچ تضمینی وجود ندارد که هیچچیز نتواند از سندباکس بیرون برود. خاموشکردن شبکه وظیفه محدودتر و مشخصتری دارد: دسترسی فرایندهای در حال اجرا درون سندباکس را به شبکه قطع میکند. در نتیجه، این فرایندها دیگر نمیتوانند از اتصال شبکه سندباکس برای ارتباط با منابع بیرونی شبکه بهره ببرند.
این را خود مایکروسافت میگوید، نه وبلاگی گمنام که شاید بخواهد شما را از یک گزینه بترساند.
آنچه موضوع را برای من روشن کرد، پیکربندی نمونهای بود که مایکروسافت برای آزمایش یک فایل دانلودی ناشناخته پیشنهاد میکند؛ پیکربندیای که از تنظیمات پیشفرض بهره نمیبرد. در آن، پوشه Downloads بهصورت فقطخواندنی در دسترس قرار میگیرد و شبکه و پردازنده گرافیکی مجازی غیرفعال میشوند. بنابراین، محیطی که با باز کردن Sandbox در اختیارتان قرار میگیرد، پاسخ خود مایکروسافت به موقعیت «به این فایل اعتماد ندارم» نیست.
لازم نیست هر بار که از Sandbox استفاده میکنید شبکه را خاموش کنید، بهویژه آنکه بسیاری از آزمایشهای موجه به اتصال زنده نیاز دارند. اما مهم است بدانید شبکه چرا و چه زمانی روشن است.
حالا پیش از اجرا میپرسم آزمایش به چه چیزهایی نیاز دارد
دیگر Sandbox را محیطی با تنظیمات ثابت نمیبینم که فقط باید به آن اعتماد کنم یا نکنم. پیش از باز کردن Sandbox، از خودم میپرسم این آزمایش به چه چیزهایی نیاز دارد. تصمیمم برای فعالکردن قابلیتها کموبیش بر این پایه است:
| آنچه اجرا میکنم | کلیپبورد | شبکه |
|---|---|---|
| فایل یا نصبکننده ناشناخته | خاموش | خاموش |
| آزمایش وبسایت یا مرورگر | فعالسازی در صورت نیاز | روشن |
| آزمایش روزمره برنامهها | فعالسازی در صورت نیاز | روشن |
این فهرست مورد تأیید رسمی مایکروسافت نیست؛ فقط پرسشی است که از خودم میپرسم: آیا این مورد مشخص واقعاً باید با چیزی بیرون از محیط Sandbox ارتباط برقرار کند؟
همچنین لازم نیست هر بار که Sandbox را باز میکنید تنظیمات را تغییر دهید. من از یک فایل پیکربندی کوچک با پسوند .wsb برای روشن و خاموشکردن شبکه و هدایت کلیپبورد استفاده میکنم و بهجای میانبر پیشفرض، همان را اجرا میکنم.
حرف آخر همچنان این است: Sandbox در حالت پیشفرض برای آسودگی بیشتر ساخته شده، اما میتوانید در موقعیتهای خاص محدودیتهای سختگیرانهتری برایش در نظر بگیرید.
منبع: این مطلب ترجمه و بومیسازی مقالهای از MakeUseOf به قلم Afam Onyimadu است. مشاهده مقاله اصلی