Easy Sandboxing on Linux with Bubblewrap | Ivan Molodetskikh’s WebpageBubblewrapを使い、ホストのバイナリやライブラリを活用しながら作業ディレクトリ以外をほぼ隔離する簡易サンドボックスを紹介する。

• Bubblewrapを使い、ホストのバイナリやライブラリを活用しながら作業ディレクトリ以外をほぼ隔離する簡易サンドボックスを紹介する。
• PID・UTS・cgroup・user namespaceを分離し、システム領域を読み取り専用、HOMEや一時領域をtmpfsまたはオーバーレイにする構成を説明している。
• 手軽さや互換性を得られる一方、未信頼コード向けの完全な防御ではなく、ネットワーク、X11、Wayland、環境変数、実行ディレクトリの露出を管理する必要がある。

開発ツールの実行に必要な互換性を保ちながら、誤操作やツールの影響範囲を減らす実用的なLinuxサンドボックス設計を示している。ただし、完全なセキュリティ境界として利用するには残存する露出面の監査が必要である。