Kann das mal jemand googeln für mich ;-) : Wie testet man eine Sandbox ?

So grundsätzlich? Du musst selber "suspekte" Software schreiben, die 
ausbrechen will. Vielleicht findest du dabei sogar eine Möglichkeit.
Einen "hier klicken zum testen" Knopf kann es da prinzipiell nicht 
geben.

Ja, so grundsätzlich. Ich wurde zum "Requirements engineering" verdammt. 
Und das Feld "Verification criteria" ist so leer wie meine Birne.

fop schrieb:
> Ich suche Infos darüber, wie man die Sandbox selber testet.

Die Sandbox? Sehr unspezifisch. Es gibt nicht nur eine.

Erst mal, schalte beim Test zwischen dein OS und der Sandbox noch eine 
VM o.ä. Damit kannst du nicht mehr alles testen, aber sollte der 
Ausbruch aus der Sandbox gelingen, dann wird hoffentlich nur die VM 
manipuliert und nicht direkt dein OS.

Besorge dir Vulnerability-Kits, -Tests und -Tools für deine spezifische 
Sandbox, besonders kommerzielle. Du willst nicht hunderte von Tests für 
bekannter oder typische Vulnerabilities selber schreiben.

Die Tests lässt du in der Sandbox laufen. Immer schön die Tools aktuell 
halten und die Tests regelmäßig, also automatisch, wiederholen.

Wenn die nichts finden haust du einen Stempel "auf # bekannte 
Schwachstellen getestet" auf den Verification-Report.

> Also die
> Frage, ob es wirklich nicht möglich ist, Zugriffe von innerhalb der
> Sandbox auf irgendwas außerhalb der Box zu tätigen.

Das kann kein Test nachweisen. Man kann nur auf das testen was man 
kennt, plus Zufallsfunde, zum Beispiel durch Fuzzing. Ein Hacker mag 
jederzeit eine neue Lücke finden und sie ausnutzen. Davon bekommst du 
erst einmal nichts mit.

Wenn du mehr brauchst, Sicherheitsexperten anheuern die einen Codereview 
des Sandbox-Codes machen.

Hab für dich gegoogelt.

Du musst einen Hacker-Wettbewerb veranstalten. So $100.000 Preisgeld 
aussetzen und einen coolen Namen erfinden, bei dem du Buchstaben durch 
Zahlen ersetzt.

Oliver S. schrieb:
> Was muß man eigentlich tun, um solche Anrufe zu erhalten?
> Irgendwie fühle ich mich da völlig ausgegrenzt ;)

Du kannst die auch aktiv anrufen - einfach nach Support für 
Soft-/Hardware mit hohem Dummyfaktor googlen und nach den dubiosen 
Seiten suchen, die Vendore nachmachen. Das sind die gleichen 
Callcenter/Scammer die auch anrufen (naja, Dich halt nicht). Wie die 
einzelnen Scams funktionieren findest Du auf Youtube einiges an 
(teilweise sehr amüsanten) Videos. Gerade wenn der Spieß umgedreht wird.

fop schrieb:
> Ja, so grundsätzlich. Ich wurde zum "Requirements engineering"
> verdammt.
> Und das Feld "Verification criteria" ist so leer wie meine Birne.

Wieso, das ist doch nicht schwer. Du stellst Testfälle auf und schaust, 
ob die Sandbox das tut, was sie soll.

1) Zugriff auf lokale Datei, freigegeben (sofern möglich): blockiert 
nicht
2) Zugriff auf lokale Datei, nicht freigegeben: blockiert
3) Senden übers Netzwerk, Ziel freigegeben: blockiert nicht
4) Senden übers Netzwerk, Ziel nicht freigegeben: blockiert
5) Empfangen übers Netzwerk, Sender und lokale Adresse freigegeben: 
blockiert nicht
6) Empfangen übers Netzwerk, Sender oder lokale Adresse nicht 
freigegeben: blockiert

Fertig. Natürlich weist das nicht nach, daß die Sandbox gefeit gegen 
Hackerangriffe ist, aber das kannst Du mit Testen sowieso nicht 
nachweisen.

Hugo H. schrieb:
> Stefan M. schrieb:
>> Ich sage dann immer, "You are calling here in Germany, please speak
>> German" und rede dann konsequent nur noch Deutsch.
>
> Den ersten Satz spare ich mir und antworte nur in Deutsch. Hat sich
> ziemlich erledigt :-). Das mache ich bei allen (mir nicht bekannten)
> Anrufen aus dem Ausland - ich rufe ja auch nicht in Amerika an und
> spreche Deutsch.

Die Anrufe gibt es auch mittlerweile auf Deutsch.

fop schrieb:
> Ich suche Infos darüber, wie man die Sandbox selber testet.

Das hängt vom Setup ab. Notfalls kann man bei der Hackergemeinde 
nachfragen - Jedenfalls fängt man zumindest erstmal damit an, sich den 
Aufbau der ganzen Anlage mal etwas genauer anzuschauen.
Dann werden sich auch höchstwahrscheinlich ein paar genauere 
Suchbegriffe herausbilden.

Ist ganz einfach.

Man nehme eine Box und ein Sack Sand. Dann den Sand in die Box kippen. 
Danach die Box anheben und folgende Prg.-Code ausführen. ;)

If Sand_bleibt_in_box = true then
  say "ist einen Sandbox"
else
  Say "ist ein Sieb"
end if