Απομόνωση εφαρμογών στην ανάπτυξη για κινητά — τι είναι, μηχανισμός και αρχή λειτουργίας

Τι είναι το App Sandbox;

Απομόνωση εφαρμογών (App Sandbox) — ένας αρχιτεκτονικός μηχανισμός ασφαλείας που απομονώνει κάθε εφαρμογή στο δικό της περιβάλλον εκτέλεσης με περιορισμένη πρόσβαση σε πόρους του συστήματος. Ο όρος προέρχεται από την έννοια του “κουτιού άμμου” για παιδιά — ενός ασφαλούς χώρου όπου το παιδί μπορεί να παίξει χωρίς πρόσβαση σε επικίνδυνα αντικείμενα. Αντίστοιχα, η εφαρμογή λειτουργεί σε περιορισμένο περιβάλλον, χωρίς πρόσβαση σε δεδομένα άλλων εφαρμογών ή κρίσιμα στοιχεία του συστήματος.

Ο κύριος στόχος του Sandbox είναι η εφαρμογή της αρχής των ελάχιστων προνομίων: κάθε εφαρμογή λαμβάνει μόνο τα δικαιώματα που είναι απαραίτητα για την εκτέλεση των δηλωμένων λειτουργιών της. Ακόμη κι αν ένας εισβολέας βρει ευπάθεια στην εφαρμογή, το sandbox δεν του επιτρέπει να αποκτήσει πρόσβαση σε δεδομένα άλλων εφαρμογών, φωτογραφίες, επαφές ή αρχεία συστήματος. Η ζημιά περιορίζεται στα πλαίσια μιας εφαρμογής.

Τα κινητά λειτουργικά συστήματα εισήγαγαν τα sandbox νωρίτερα από τα επιτραπέζια. Το iOS χρησιμοποιεί Sandbox από την κυκλοφορία της πρώτης έκδοσης SDK (2008), το Android — από την έκδοση 1.0 (2008), αλλά με ενίσχυση στο Android 4.3 (2013) μέσω SELinux. Τα επιτραπέζια συστήματα προλαβαίνουν: το macOS εισήγαγε το Sandbox το 2012, τα Windows — απομονωμένες εφαρμογές UWP στα Windows 8.

Πώς λειτουργεί η απομόνωση στο sandbox;

Η απομόνωση στο sandbox επιτυγχάνεται με συνδυασμό πολλών μηχανισμών σε διαφορετικά επίπεδα του λειτουργικού συστήματος. Σε επίπεδο συστήματος αρχείων, σε κάθε εφαρμογή εκχωρείται ένας προστατευόμενος κατάλογος στον οποίο μόνο αυτή έχει πλήρη πρόσβαση. Σε επίπεδο διεργασιών χρησιμοποιείται ένα μοναδικό αναγνωριστικό χρήστη (UID) για κάθε εφαρμογή. Σε επίπεδο πυρήνα εφαρμόζεται υποχρεωτικός έλεγχος πρόσβασης (MAC) μέσω SELinux ή παρόμοιων μηχανισμών.

Απομόνωση συστήματος αρχείων

Κάθε εφαρμογή λαμβάνει τον δικό της ριζικό κατάλογο στο σύστημα αρχείων της συσκευής. Στο iOS αυτός είναι ο κατάλογος /var/mobile/Containers/Data/Application/{UUID}, στο Android — /data/data/{package_name}. Η εφαρμογή μπορεί να διαβάζει και να γράφει αρχεία μόνο εντός αυτού του καταλόγου. Η πρόσβαση σε οποιαδήποτε αρχεία εκτός αυτού του καταλόγου αποκλείεται σε επίπεδο πυρήνα του λειτουργικού συστήματος.

Το σύστημα παρέχει επίσης ειδικούς κοινόχρηστους καταλόγους με περιορισμένη πρόσβαση. Στο iOS αυτοί είναι ο κατάλογος Documents για δεδομένα χρήστη, το Library για ρυθμίσεις και το Caches για προσωρινά αρχεία. Στο Android — η εσωτερική αποθήκευση (getFilesDir) και η εξωτερική αποθήκευση (getExternalFilesDir), στην οποία η πρόσβαση δεν απαιτεί πρόσθετες άδειες.

Απομόνωση διεργασιών και UID

Στο Android, κάθε εφαρμογή εκτελείται ως ξεχωριστή διεργασία Linux με μοναδικό UID (User ID). Το UID εκχωρείται κατά την εγκατάσταση της εφαρμογής και παραμένει αμετάβλητο σε όλο τον κύκλο ζωής. Οι διεργασίες με διαφορετικά UID είναι απομονωμένες μεταξύ τους σε επίπεδο πυρήνα — δεν μπορούν να έχουν πρόσβαση στη μνήμη ή στα αρχεία η μία της άλλης. Παρόμοιος μηχανισμός λειτουργεί στο iOS μέσω του πυρήνα XNU και του συστήματος προστασίας του.

Ένα πρόσθετο επίπεδο προστασίας στο Android παρέχει το SELinux (Security-Enhanced Linux) σε λειτουργία enforcing από την έκδοση Android 4.3. Το SELinux υλοποιεί υποχρεωτικό έλεγχο πρόσβασης (MAC): κάθε ενέργεια μιας διεργασίας ελέγχεται για συμμόρφωση με την πολιτική ασφαλείας ανεξάρτητα από τα δικαιώματα του κατόχου του αρχείου. Ακόμη κι αν η εφαρμογή λειτουργεί με UID root, το SELinux μπορεί να αποκλείσει την πρόσβαση σε συγκεκριμένους πόρους.

Sandbox στο iOS

Το sandbox του iOS θεωρείται ένα από τα πιο αυστηρά μεταξύ των κινητών λειτουργικών συστημάτων. Κάθε εφαρμογή είναι απομονωμένη σε επίπεδο κοντέινερ — μιας προστατευμένης περιοχής του συστήματος αρχείων στην οποία η πρόσβαση είναι αδύνατη από άλλες εφαρμογές. Το iOS χρησιμοποιεί συνδυασμό υποχρεωτικού ελέγχου πρόσβασης μέσω Sandbox Kernel Extension (Sandbox.kext) και μηχανισμού entitlement για την παροχή εκτεταμένων δικαιωμάτων.

Δομή κοντέινερ iOS

Το κοντέινερ μιας εφαρμογής iOS αποτελείται από διάφορους καταλόγους με διαφορετικά επίπεδα πρόσβασης. Documents — για δεδομένα χρήστη που διατηρούνται κατά τη δημιουργία αντιγράφων ασφαλείας μέσω iCloud και iTunes. Library — για αρχεία διαμόρφωσης και προσωρινή μνήμη. tmp — για προσωρινά δεδομένα που το σύστημα μπορεί να διαγράψει ανά πάσα στιγμή. AppName.app — το ίδιο το πακέτο της εφαρμογής, το οποίο είναι μόνο για ανάγνωση.

Η πρόσβαση σε δεδομένα άλλων εφαρμογών απαγορεύεται κατηγορηματικά. Το iOS δεν παρέχει API για ανάγνωση αρχείων από το κοντέινερ άλλης εφαρμογής. Ο μόνος τρόπος ανταλλαγής δεδομένων είναι μέσω συστημικών μηχανισμών: UIActivityViewController για κοινή χρήση, UIPasteboard για πρόχειρο, App Groups για εφαρμογές του ίδιου προγραμματιστή. Κάθε ένας από αυτούς τους μηχανισμούς λειτουργεί υπό τον έλεγχο του λειτουργικού συστήματος.

Entitlements και App Sandbox στο iOS

Οι εκτεταμένες δυνατότητες πέρα από το τυπικό sandbox παρέχονται μέσω Entitlements — ψηφιακών υπογραφών που προστίθενται στην υπογραφή κώδικα της εφαρμογής. Για παράδειγμα, το entitlement com.apple.security.application-groups επιτρέπει στις εφαρμογές μιας ομάδας να έχουν κοινό κοντέινερ. Οι ειδοποιήσεις Push, το iCloud, το Apple Pay — όλες αυτές οι λειτουργίες απαιτούν αντίστοιχα entitlements.

Είναι σημαντικό να σημειωθεί ότι τα entitlements στο iOS δεν είναι το ίδιο με τις άδειες (permissions). Οι άδειες ζητούνται από τον χρήστη κατά τον χρόνο εκτέλεσης (για παράδειγμα, πρόσβαση στην κάμερα), ενώ τα entitlements ελέγχονται από το σύστημα κατά τη φάση εγκατάστασης και δεν μπορούν να αλλάξουν από τον χρήστη. Το entitlement καθορίζεται από τον προγραμματιστή και υπογράφεται από την Apple κατά τη διαδικασία ελέγχου της εφαρμογής.

Sandbox στο Android

Το Android χρησιμοποιεί ένα πολυεπίπεδο μοντέλο sandbox που βασίζεται στον πυρήνα Linux. Κάθε εφαρμογή λειτουργεί ως ξεχωριστός χρήστης Linux με μοναδικό UID, το οποίο παρέχει βασική απομόνωση σε επίπεδο διεργασιών και αρχείων. Πρόσθετα επίπεδα — SELinux για υποχρεωτικό έλεγχο πρόσβασης και Permissions για έλεγχο πρόσβασης σε συστημικά API.

SELinux και απομόνωση UID

Το SELinux στο Android λειτουργεί σε λειτουργία enforcing, που σημαίνει υποχρεωτική εφαρμογή πολιτικών ασφαλείας. Σε κάθε εφαρμογή εκχωρείται ένα πλαίσιο ασφαλείας (security context) και όλες οι κλήσεις συστήματος ελέγχονται για συμμόρφωση με την πολιτική. Το SELinux στο Android περιέχει πάνω από 1500 κανόνες που καλύπτουν το σύστημα αρχείων, την επικοινωνία μεταξύ διεργασιών, τα sockets και τις κλήσεις συστήματος.

Η απομόνωση UID αποτρέπει την άμεση πρόσβαση μιας εφαρμογής σε αρχεία άλλης εφαρμογής. Για παράδειγμα, η εφαρμογή Α με UID 10001 δεν μπορεί να διαβάσει αρχεία της εφαρμογής Β με UID 10002, ακόμη κι αν και οι δύο εκτελούνται για λογαριασμό του ίδιου χρήστη τηλεφώνου. Αυτή είναι η βασική αρχή της ασφάλειας πολλών χρηστών του Linux, προσαρμοσμένη για κινητές συσκευές.

// Πρόσβαση στον δικό της κατάλογο εφαρμογής στο Android
File appDir = context.getFilesDir();
File cacheDir = context.getCacheDir();
File externalDir = context.getExternalFilesDir(null);

// Η προσπάθεια πρόσβασης σε ξένο κατάλογο θα προκαλέσει SecurityException
// File otherApp = new File("/data/data/com.other.app/shared_prefs/");

// Χρήση FileProvider για ασφαλή κοινή χρήση αρχείων
Uri contentUri = FileProvider.getUriForFile(
    context, "com.example.fileprovider", file
);

Το Android παρέχει πρόσθετους μηχανισμούς για ασφαλή ανταλλαγή δεδομένων μεταξύ εφαρμογών. ContentProvider — ένα στοιχείο του Android που επιτρέπει σε μια εφαρμογή να παρέχει πρόσβαση στα δεδομένα της σε άλλες εφαρμογές μέσω ενός αυστηρά καθορισμένου URI. FileProvider — ένας ασφαλής τρόπος κοινής χρήσης αρχείων χωρίς αποκάλυψη διαδρομών του συστήματος αρχείων.

Περιορισμοί και ασφάλεια του sandbox

Παρόλο που το App Sandbox είναι ένας ισχυρός μηχανισμός προστασίας, έχει θεμελιώδεις περιορισμούς. Το sandbox προστατεύει από οριζόντια πρόσβαση (εφαρμογή-προς-εφαρμογή), αλλά όχι από κάθετη πρόσβαση (κακόβουλο λογισμικό σε επίπεδο πυρήνα ή φυσική πρόσβαση στη συσκευή). Σε περίπτωση jailbreak ή πρόσβασης root, το sandbox μπορεί να παρακαμφθεί, καθώς ο εισβολέας αποκτά δικαιώματα υπερχρήστη.

Ο δεύτερος περιορισμός — κακόβουλες άδειες. Εάν ο χρήστης παραχωρήσει στην εφαρμογή πρόσβαση σε επαφές και μικρόφωνο, το sandbox δεν μπορεί να αποτρέψει τη συλλογή αυτών των δεδομένων, επειδή η εφαρμογή χρησιμοποιεί νόμιμα συστημικά API. Η προστασία σε αυτήν την περίπτωση μεταφέρεται σε επίπεδο ευαισθητοποίησης του χρήστη και ελέγχου από το App Store και το Google Play.

Ο τρίτος περιορισμός — αλληλεπίδραση μεταξύ sandbox. Ορισμένες υπηρεσίες συστήματος (NotificationListenerService, AccessibilityService) έχουν εκτεταμένη πρόσβαση σε δεδομένα άλλων εφαρμογών. Ένας εισβολέας μπορεί να χρησιμοποιήσει αυτές τις υπηρεσίες για να παρακάμψει το sandbox εάν αποκτήσει τις κατάλληλες άδειες. Η Google και η Apple ενημερώνουν συνεχώς τις πολιτικές για τέτοιες υπηρεσίες.

Παρά τους περιορισμούς, το sandbox αποτελεί ένα κρίσιμο στοιχείο ασφαλείας των κινητών λειτουργικών συστημάτων. Σύμφωνα με το Android Security Report (2024), η απομόνωση sandbox αποτρέπει πάνω από το 99% των προσπαθειών δια-εφαρμογικής πρόσβασης σε δεδομένα. Σε συνδυασμό με τα Code Signing, App Review και τις άδειες χρόνου εκτέλεσης, το Sandbox σχηματίζει την πολυεπίπεδη προστασία μιας σύγχρονης κινητής συσκευής.