Mobil ishlanmada ilova sandboksi — bu nima, mexanizmi va ishlash prinsipi

App Sandbox nima?

Ilova sandboksi (App Sandbox) — bu har bir ilovani tizim resurslariga cheklangan kirish bilan o'z bajarish muhitida izolyatsiya qiluvchi arxitektura xavfsizlik mexanizmi. Bu atama bolalar uchun “quv qutisi” tushunchasidan kelib chiqqan — bolaning xavfli narsalarga kira olmaydigan xavfsiz maydoni. Xuddi shunday, ilova boshqa ilovalarning ma'lumotlariga yoki muhim tizim komponentlariga kira olmaydigan cheklangan muhitda ishlaydi.

Sandboxning asosiy maqsadi minimal imtiyozlar prinsipini amalga oshirishdir: har bir ilova faqat e'lon qilingan funksiyalarni bajarish uchun zarur bo'lgan huquqlarni oladi. Hujumchi ilovada zaiflik topsa ham, sandbox unga boshqa ilovalar ma'lumotlariga, fotosuratlarga, kontaktlarga yoki tizim fayllariga kirishga ruxsat bermaydi. Zarar faqat bitta ilova doirasi bilan cheklanadi.

Mobil operatsion tizimlar sandbokslarni desktop tizimlardan oldin joriy qildi. iOS SDKning birinchi versiyasidan (2008) Sandboxdan foydalanadi, Android — 1.0 versiyasidan (2008), lekin Android 4.3 (2013) da SELinux orqali kuchaytirilgan. Desktop tizimlar yetib olmoqda: macOS 2012 yilda Sandboxni joriy qildi, Windows — Windows 8 da izolyatsiya qilingan UWP ilovalari.

Sandbokda izolyatsiya qanday ishlaydi?

Sandbokdagi izolyatsiya operatsion tizimning turli darajalarida bir necha mexanizmlarning kombinatsiyasi bilan erishiladi. Fayl tizimi darajasida har bir ilovaga faqat o'zi to'liq kirish huquqiga ega bo'lgan himoyalangan katalog ajratiladi. Jarayonlar darajasida har bir ilova uchun noyob foydalanuvchi identifikatori (UID) ishlatiladi. Yadro darajasida SELinux yoki shunga o'xshash mexanizmlar orqali majburiy kirish nazorati (MAC) qo'llaniladi.

Fayl tizimining izolyatsiyasi

Har bir ilova qurilmaning fayl tizimida o'z ildiz katalogini oladi. iOS da bu /var/mobile/Containers/Data/Application/{UUID} katalogi, Android da — /data/data/{package_name}. Ilova faqat shu katalog ichidagi fayllarni o'qishi va yozishi mumkin. Bu katalogdan tashqaridagi har qanday fayllarga kirish operatsion tizim yadrosi darajasida bloklanadi.

Tizim shuningdek cheklangan kirishga ega maxsus umumiy kataloglarni taqdim etadi. iOS da bular foydalanuvchi ma'lumotlari uchun Documents katalogi, sozlamalar uchun Library va vaqtinchalik fayllar uchun Caches. Android da — ichki xotira (getFilesDir) va qo'shimcha ruxsat talab qilmaydigan tashqi xotira (getExternalFilesDir).

Jarayonlar va UID izolyatsiyasi

Android da har bir ilova noyob UID (User ID) bilan alohida Linux jarayoni sifatida ishga tushiriladi. UID ilovani o'rnatish paytida tayinlanadi va butun hayotiy tsikl davomida o'zgarishsiz qoladi. Turli UIDlarga ega jarayonlar yadro darajasida bir-biridan izolyatsiya qilinadi — ular bir-birining xotirasiga yoki fayllariga kira olmaydi. Shunga o'xshash mexanizm iOS da XNU yadrosi va uning himoya tizimi orqali ishlaydi.

Android da qo'shimcha himoya darajasini Android 4.3 versiyasidan enforcing rejimidagi SELinux (Security-Enhanced Linux) ta'minlaydi. SELinux majburiy kirish nazoratini (MAC) amalga oshiradi: jarayonning har bir harakati fayl egasining huquqlaridan qat'iy nazar xavfsizlik siyosatiga muvofiqligi tekshiriladi. Ilova root UID bilan ishlasa ham, SELinux ma'lum resurslarga kirishni bloklashi mumkin.

iOS da sandbox

iOS sandboksi mobil operatsion tizimlar orasida eng qattiqlaridan biri hisoblanadi. Har bir ilova konteyner darajasida izolyatsiya qilinadi — boshqa ilovalardan kirish mumkin bo'lmagan himoyalangan fayl tizimi maydoni. iOS Sandbox Kernel Extension (Sandbox.kext) orqali majburiy kirish nazorati va kengaytirilgan huquqlarni berish uchun entitlement mexanizmi kombinatsiyasidan foydalanadi.

iOS konteyner tuzilishi

iOS ilovasining konteyneri turli kirish darajalariga ega bir necha katalogdan iborat. Documents — iCloud va iTunes orqali zaxiralashda saqlanadigan foydalanuvchi ma'lumotlari uchun. Library — konfiguratsiya fayllari va kesh uchun. tmp — tizim istalgan vaqtda o'chirishi mumkin bo'lgan vaqtinchalik ma'lumotlar uchun. AppName.app — faqat o'qish uchun ochiq bo'lgan ilova paketining o'zi.

Boshqa ilovalarning ma'lumotlariga kirish qat'iyan man etilgan. iOS boshqa ilovaning konteyneridan fayllarni o'qish uchun API taqdim etmaydi. Ma'lumot almashishning yagona yo'li — tizim mexanizmlari: ulashish uchun UIActivityViewController, bufer uchun UIPasteboard, bitta dasturchining ilovalari uchun App Groups. Bu mexanizmlarning har biri operatsion tizim nazorati ostida ishlaydi.

iOS da Entitlements va App Sandbox

Standart sandbokdan tashqari kengaytirilgan imkoniyatlar Entitlements orqali ta'minlanadi — ilova kodi imzosiga qo'shiladigan raqamli imzolar. Masalan, com.apple.security.application-groups entitlementi bir guruhdagi ilovalarga umumiy konteynerga ega bo'lish imkonini beradi. Push bildirishnomalari, iCloud, Apple Pay — bu funksiyalarning barchasi tegishli entitlements talab qiladi.

Shuni ta'kidlash kerakki, iOS da entitlements ruxsatnomalar (permissions) bilan bir xil emas. Ruxsatnomalar ish vaqtida foydalanuvchidan so'raladi (masalan, kameraga kirish), entitlements esa o'rnatish bosqichida tizim tomonidan tekshiriladi va foydalanuvchi tomonidan o'zgartirilmaydi. Entitlement dasturchi tomonidan belgilanadi va ilovani ko'rib chiqish jarayonida Apple tomonidan imzolanadi.

Android da sandbox

Android Linux yadrosiga asoslangan ko'p qatlamli sandbox modelidan foydalanadi. Har bir ilova noyob UID bilan alohida Linux foydalanuvchisi sifatida ishlaydi, bu jarayon va fayl darajasida asosiy izolyatsiyani ta'minlaydi. Qo'shimcha qatlamlar — majburiy kirish nazorati uchun SELinux va tizim API'lariga kirishni boshqarish uchun Permissions.

SELinux va UID izolyatsiyasi

Android da SELinux enforcing rejimida ishlaydi, ya'ni xavfsizlik siyosatlarining majburiy qo'llanilishi. Har bir ilovaga xavfsizlik konteksti (security context) tayinlanadi va barcha tizim chaqiruvlari siyosatga muvofiqligi tekshiriladi. Android da SELinux fayl tizimini, jarayonlararo aloqani, soketlarni va tizim chaqiruvlarini qamrab oluvchi 1500 dan ortiq qoidalarni o'z ichiga oladi.

UID izolyatsiyasi ilovaning boshqa ilova fayllariga to'g'ridan-to'g'ri kirishining oldini oladi. Masalan, UID 10001 bo'lgan A ilovasi UID 10002 bo'lgan B ilovasining fayllarini o'qiy olmaydi, hatto ikkalasi ham bir xil telefon foydalanuvchisi nomidan ishlasa. Bu mobil qurilmalar uchun moslashtirilgan Linuxning ko'p foydalanuvchili xavfsizligining asosiy prinsipidir.

// Android da ilovaning o'z katalogiga kirish
File appDir = context.getFilesDir();
File cacheDir = context.getCacheDir();
File externalDir = context.getExternalFilesDir(null);

// Boshqaning katalogiga kirish urinishi SecurityException keltirib chiqaradi
// File otherApp = new File("/data/data/com.other.app/shared_prefs/");

// Fayllarni xavfsiz ulashish uchun FileProvider dan foydalanish
Uri contentUri = FileProvider.getUriForFile(
    context, "com.example.fileprovider", file
);

Android ilovalar o'rtasida xavfsiz ma'lumot almashish uchun qo'shimcha mexanizmlarni taqdim etadi. ContentProvider — ilovaga o'z ma'lumotlariga qat'iy belgilangan URI orqali kirishni ta'minlashga imkon beruvchi Android komponenti. FileProvider — fayl tizimi yo'llarini ochmasdan fayllarni ulashishning xavfsiz usuli.

Sandbokning cheklovlari va xavfsizligi

App Sandbox kuchli himoya mexanizmi bo'lsa-da, uning asosiy cheklovlari bor. Sandbox gorizontal kirishdan (ilovadan-ilovaga) himoya qiladi, lekin vertikal kirishdan (yadro darajasidagi zararli dastur yoki qurilmaga jismoniy kirish) himoya qilmaydi. Jailbreak yoki root kirishi paytida sandbox chetlab o'tilishi mumkin, chunki hujumchi superfoydalanuvchi huquqlarini oladi.

Ikkinchi cheklov — zararli ruxsatnomalar. Agar foydalanuvchi ilovaga kontaktlar va mikrofonga kirish huquqini bersa, sandbox bu ma'lumotlarni yig'ishning oldini olmaydi, chunki ilova qonuniy tizim API'laridan foydalanadi. Bu holda himoya foydalanuvchi xabardorligi va App Store va Google Play ko'rib chiqish darajasiga o'tadi.

Uchinchi cheklov — sandbokslar o'rtasidagi o'zaro ta'sir. Ba'zi tizim xizmatlari (NotificationListenerService, AccessibilityService) boshqa ilovalarning ma'lumotlariga kengaytirilgan kirish huquqiga ega. Hujumchi tegishli ruxsatnomalarni olsa, bu xizmatlardan sandboxni chetlab o'tish uchun foydalanishi mumkin. Google va Apple bunday xizmatlar uchun siyosatlarni doimiy ravishda yangilaydi.

Cheklovlarga qaramay, sandbox mobil operatsion tizimlarning muhim xavfsizlik komponenti hisoblanadi. Android Security Report (2024) ma'lumotlariga ko'ra, sandbox izolyatsiyasi ilovalararo ma'lumotlarga kirish urinishlarining 99% dan ortig'ining oldini oladi. Code Signing, App Review va runtime permissions bilan birgalikda Sandbox zamonaviy mobil qurilmaning ko'p qatlamli himoyasini shakllantiradi.