サンドボックス（コンピュータセキュリティ）

コンピュータ セキュリティにおいて、サンドボックスは、実行中のプログラムを分離するためのセキュリティ メカニズムであり、通常はシステム障害やソフトウェアの脆弱性の拡散を軽減する目的で使用されます。サンドボックスのメタファーは、子供の遊び場である砂場の概念に由来しています。砂場とは、子供が現実世界に損害を与えることなく、構築、破壊、実験を行うことができる場所です。^{[ 1 ]}サンドボックスは、ホスト マシンやオペレーティングシステムに損害を与えるリスクを負うことなく、検証されていない、または信頼されていない第三者、サプライヤー、ユーザー、または Web サイトから発信された可能性のある、テストされていない、または信頼されていないプログラムやコードを分析するためによく使用されます。^{[ 2 ]}サンドボックスは通常、ストレージやメモリのスクラッチ スペース など、ゲスト プログラムが実行するための厳密に制御されたリソース セットを提供します。ネットワーク アクセス、ホスト システムの検査、または入力デバイスからの読み取りは、通常許可されないか、厳しく制限されます。

高度に制御された環境を提供するという意味では、サンドボックスは仮想化に匹敵すると言える。サンドボックスは、ウイルスやその他の悪意のあるコードが含まれている可能性のある未検証のプログラムを、ソフトウェアがホストデバイスに損害を与えることなくテストするためによく使用される。 ^{[ 3 ]}

サンドボックスは、制限されたオペレーティングシステム環境でソフトウェアを実行することによって実装され、プロセスが使用できるリソース（ファイルディスクリプタ、メモリ、ファイルシステム領域など）を制御します。 ^{[ 4 ]}

サンドボックスの実装例としては、以下のようなものがあります。

• Linuxカーネルのseccomp、cgroups、およびnamespaces機能に基づいて構築された、 Linuxアプリケーションのサンドボックス。Systemd 、Google Chrome、Firefox、Firejailなどで特に利用されている。
• Android は、各アプリケーションに独自の Linux ユーザー ID を割り当てることで構築された、完全なアプリケーション サンドボックスを実装した最初の主流オペレーティングシステムの 1 つです。^{[ 5 ]} GrapheneOS はこのアプリ サンドボックスを強化してセキュリティ層を追加し、潜在的に悪意のあるアプリを回避します。また、標準の Android とは異なり、OS 内のすべてのアプリのサンドボックス化を可能にします。^{[ 6 ]}
• Apple App Sandbox は、Apple のMac App StoreおよびiOS / iPadOS App Storeを通じて配布されるアプリに必須であり、その他の署名付きアプリにも推奨されます。^{[ 7 ] [ 8 ]}
• Windows Vista以降のバージョンでは、「ユーザーアカウント制御」（UAC）と呼ばれる「低」モードのプロセスが実行されています。^{[ 9 ]}
• Googleサンドボックス API。^{[ 10 ]}
• 仮想マシンは、ホストコンピュータ全体をエミュレートし、その上で従来のオペレーティングシステムを実際のハードウェアと同様に起動・実行できます。ゲストオペレーティングシステムはサンドボックス化された状態で動作するため、ホスト上でネイティブに動作することはなく、エミュレータを介してのみホストのリソースにアクセスできます。
• ジェイル：ネットワークアクセス制限と制限されたファイルシステム名前空間。ジェイルは仮想ホスティングで最も一般的に使用されます。^{[ 11 ]}
• ルールベースの実行では、システムが定められた一連のルールに従ってユーザーまたはプログラムにアクセスレベルを割り当てることで、ユーザーがどのプロセスを開始、他のアプリケーションによって生成、または他のアプリケーションにコードを注入してネットワークにアクセスできるかを完全に制御できます。^{[ 12 ]}また、ファイル/レジストリのセキュリティ（どのプログラムがファイルシステム/レジストリを読み書きできるか）も制御できます。このような環境では、ウイルスやトロイの木馬がコンピュータに感染する機会が少なくなります。SELinuxとApparmorセキュリティ フレームワークは、Linux用のそのような実装の 2 つです。
• セキュリティ研究者は、マルウェアの挙動を分析するためにサンドボックス技術に大きく依存しています。標的のデスクトップを模倣または複製する環境を作成することで、研究者はマルウェアが標的ホストに感染して侵害する仕組みを評価できます。多くのマルウェア分析サービスはサンドボックス技術に基づいています。^{[ 13 ]}
• Google Native Client は、ユーザーのオペレーティングシステムに依存せず、ブラウザでコンパイル済みの C および C++ コードを効率的かつ安全に実行するためのサンドボックスです。^{[ 14 ]}
• 機能システムは、きめ細かなサンドボックス機構と考えることができます。この機構では、プログラムが起動時に不透明なトークンを与えられ、保持するトークンに基づいて特定の処理を実行できるようになります。機能ベースの実装は、カーネルからユーザー空間まで、さまざまなレベルで機能します。機能ベースのユーザーレベルサンドボックスの例としては、ChromiumやWebKitなどのWebブラウザにおけるHTMLレンダリングが挙げられます。
• セキュアコンピューティングモード（seccomp）厳格モードでは、seccompは、、、、write()およびシステムコールのみを許可します。read()exit()sigreturn()
• HTML5にはiframeで使用するための「sandbox」属性があります。^{[ 15 ]}
• Java仮想マシンには、 Javaアプレットなどの信頼できないコードの動作を制限するためのサンドボックスが含まれています。
• .NET共通言語ランタイムは、信頼できないコードに対する制限を強制するためのコードアクセスセキュリティを提供します。
• ソフトウェア障害分離（SFI）^{[ 16 ]}は、すべてのストア、リード、ジャンプアセンブリ命令をメモリの隔離されたセグメントにサンドボックス化することで、信頼できないネイティブコードの実行を可能にします。

サンドボックスのユースケースには、以下のようなものがあります。

• プログラミングコンテストでプログラムをテストするためのオンライン審査システム。
• ユーザーが貼り付けたコードスニペットをペーストビンのサーバー上で実行できる、新世代のペーストビン。

• FreeBSD jail
• Qubes OSは、 Xenハイパーバイザー仮想化を利用した積極的なサンドボックス方式を採用しています。
• サンドボクシー
• seccomp
• テストベンチ
• Tor（匿名ネットワーク）

• Linuxソフトウェアのセキュリティ徹底解説：セキュリティバグの防止と軽減
• サンドボックス–クロミウムプロジェクト 
• FreeBSD capsicum(4) マニュアルページ–軽量OS機能およびサンドボックスフレームワーク 
• OpenBSD pledge(2) マニュアルページ–システム操作を制限する方法 
• サンドボックステストの重要性(2021年4月26日にWayback Machineにアーカイブ)ゼロデイ脆弱性におけるサンドボックスの重要性