ubuntu - 阻止应用程序在 ubuntu 上访问互联网？

Question

如何在 ubuntu 上阻止应用程序访问互联网。我不需要 GUI 解决方案。

Answer 1

问题明确且相关。用户安装了一个密码管理器，它运行良好但与开发服务器聊天。这个应用程序可以将密码泄露到网络上吗？它可能是故意这样做的(出售有效密码列表)或由于错误(想想 HeartBleed)。阻止应用进入 WAN 是一种有效的策略。

如何实现？

(1) 路由器防火墙或仅允许连接到专用网守服务器的临时网络。添加一个简单的 API，例如对数据进行两步 SSL 加密，以通过模糊性增加安全性。 Gatekeeper只需要转发敏感数据，工作量小，一台2000x以上的PC就够了。路由器分配 192.168.1.220，而网关仅提供最多 200 个 IP。这很简单且健壮。

(2) 无互联网组(参见 https://ubuntuforums.org/showthread.php?t=1188099&s=73e8a8809da60f5e49641129388c7658 )。仅用作额外的安全层。

$ run_command
Linux: You don't look cool enough, why should I serve you?
$ sudo run_command
Linux: ok, fine. Let me spit an obscured error message. Go fix the mess
$ browser ->  Google search -> "I got this error message" //and then
$ wget -O NoNameRepo.com/an_app/install_me_I_will_not_harm_you_hehe.tar.gz

我们习惯于将 root 权限授予某些论坛上陌生人推荐的应用程序。一旦非互联网应用程序获得 root 权限，它就可以检查它属于哪些组，并将自己从非互联网用户中删除。

对于免疫缺陷的 Windows 也是如此。此外，恶意进程可以使用受信任进程的凭据执行其代码。防火墙和防病毒软件只能防御基本威胁。

(3) 在虚拟客户上运行进程是另一个不可靠的选择。提权打败 Sandboxy。 VBox 和 VMWare 更可靠，但仍然容易受到攻击。版本变更日志中有很多记录说“补丁修复了另一个与安全相关的错误”。