解析沙盒隔离技术防泄密

一、背景

1）沙盒本意

沙盒始于浏览器的安全应用，后在移动操作系统和杀毒软件中也得到应用。沙盒防病毒的安全机制默认本机系统是安全、可信的，也即沙盒防病毒的安全模型是防外不防内的。

2）数据泄密对安全机制的要求

数据防泄密的安全本质依然是攻与防，其对安全机制的要求是内外兼防（本机操作系统也是防泄密对象之一）。尤其在源代码防泄密领域，软件开发人员的攻击破解能力较强。

二、根源

沙盒防泄密技术的安全机制核心是对应用程序的进程进行隔离（比如HOOK），控制其对本机系统资源的调用。所以沙盒防泄密能做到的，只能是应用层的进程级隔离效果。准确地说，其仅仅是借用了源代码防泄密中的物理安全隔离的概念，实质上与源代码防泄密中的物理安全隔离完全不是一回事，也不是同一个安全级别。

三、现象

将沙盒防外不防内的防病毒模型引入数据防泄密领域之后，沙盒一直面临着如何建立内外兼防的底层安全机制问题。在此之前，沙盒对自己的底层安全机制只能不断变换说辞。

四、预测

出现沙盒隔离技术防泄密这样的说法并不稀奇，以后肯定还会出现沙盒加密技术防泄密（沙盒磁盘加密）、甚至沙盒隔离加密技术防泄密 … …