OSX Lionのsandboxとは

Macの最新OS OSX Lionでは、セキュリティ面で大きな変更が行われている。マイクロソフトは、セキュリティとして自前のセキュリティソフトの提供を行っているが、Macはどうだろうか？ 気になっていた点を解説している記事をみつけたので、英訳を試みてみた。

http://arstechnica.com/apple/reviews/2011/07/mac-os-x-10-7.ars/9

サンドボックス

Appleが静かにしているからといって、それはセキュリティに関して何も改善の歩を進めていないわけではありません。レパード（OX 10.5)にて、Appleは「サンドボックス」の基本的な形を加えました。スノーレパード（OX 10.6)では、デーモンプロセスの多くは「サンドボックス」内で動くようになりました。これらは、何のファンファーレも鳴らさずに行われているのです。

アプリケーションをサンドボックスの内側で動かすことは、マルウエアなどによって信用出来なくなった場合の被害を最小限に抑えることを意味します。サンドボックス化したアプリケーションは、通常のアプリケーションでは出来る様々な出来る機能を自ら制限します。例えば、通常のアプリは、そのユーザによって作成されたファイルを（同じユーザが）削除することが出来ます。当然ですが躾の良いアプリは、そんなことはしません。しかし、いったん障害が起きると、破壊的な行為が引き起こされてしまうかもしれないのです。

Lion (OSX 10.7)では、「サンドボックス セキュリティ モデル」が大きく拡張されました。Appleは、サードパーティに、サンドボックス化を強く進めています。サンドボックス化アプリは、利用する資源、機能を一覧にした「権限付与リスト」を中に持っています。
訳者注）OSXのアプリは、一見exeバイナリに見えますが、実態はフォルダです。
Lionは、30もの異なる権限リストをサポートしています。中には、ネットワーク接続を作成する権限リストや、ネットワーク接続を通じてListenする権限リストなどもあります。これらは、（ネットワーク接続関連ですが）別の２つの権限リストです。ビデオのキャプチャや組み込みカメラに接続するための権限などもあります。

（途中省略。ファイル関連のサンドボックスの権限付与リストの作成はどうするのか？ 的な話。）

Appleは、ファイルの扱いなど特別な分類の行動群に高度な制限を与えることで、権限ファイル権限リスト更新の問題を解決しようとします。Lionでは、Powerbox(pboxd)と呼ばれる信頼されたデーモンプロセスが提供されています。Powerboxデーモンは、サンドボックス化されたアプリケーションにファイル表示やオープン・保存のためのダイアログを提供します。サンドボックス化されたアプリがファイルを選んだあと、Powerboxは、そのアプリのサンドボックスに小さな穴をあけます。

（途中省略。似たような機能は「最近開いたファイル」メニューに利用されている、的な話）

サンドボックス化されたプロセスは、アクティビティモニターで見ることができます。
（このイメージは、訳者のものです）

近い将来、Mac App Storeは、Appleが新しいLionテクノロジを普及させる方法として、使われていくでしょう。サンドボックスの場合、すでにそれは行われているようです。Appleは、11月から全てのアプリはサンドボックス化しないと許可しないと宣言しています。

---

ふう！ 疲れました。私の英語力では、もういっぱいいっぱいです。熱いし！
あとは記事で読んでみてください。以下は、要約っぽいものを。

この後、記事では権限分離の話が続きます。例えば画像処理のような機能は、まとめて一つのプロセスとして、それをアプリが利用する形態を進めているそうです。サンドボックス、その共通プロセスのほうに行います。画像処理アプリは、そのプロセスのAPIを利用することで、セキュリティ上も、開発の上でも簡単に実装できることになると言う考えです。
すでに、この考えかたは、GoogleのChromeで行われているそうで、セキュリティの一つのトレンドとなっていると言って良いでしょう。