¿En qué difieren el control de acceso obligatorio y los sandbox de aplicaciones?

He leído su artículo: "¿Cómo difiere un sandbox inteligente de la tecnología tradicional de caja de arena?" Como seguimiento a eso, a veces encuentro que la protección basada en el control de acceso obligatorio se superpone con las cajas de arena de aplicaciones. ¿Cómo distinguir entre los dos?

El control de acceso obligatorio (MAC) y la protección vía cajas de arena (sandboxing) de aplicaciones se superponen, en particular porque el término ‘sandboxing’ se utiliza en una variedad de maneras por diferentes proveedores y expertos en seguridad. Ambas tecnologías ponen en práctica una de las bases fundamentales de cualquier estrategia de seguridad de TI: controlar el acceso a los recursos de un equipo de cómputo. No se trata de control de acceso en el sentido de la verificación de autenticación o identidad, como podría ser el control del proceso de inicio de sesión de usuario, por ejemplo, sino del control de acceso a los recursos del sistema después de las credenciales de la cuenta de un usuario se han autenticado y se ha concedido acceso al sistema.

El control de acceso obligatorio es el más estricto de todos los tipos de control de acceso, que operan bajo el espíritu de la negación por defecto. En un entorno de MAC, el acceso a todos los objetos de recursos es controlado por el sistema operativo o kernel de seguridad, sobre la base de parámetros configurados por el administrador del sistema. A diferencia de la mayoría de los sistemas operativos, como Unix y Windows, donde los usuarios pueden ejercer el control de acceso discrecional mediante la asignación de permisos de lectura-escritura a sus propios datos, no es posible al usar MAC que los usuarios finales cambien el control de acceso de un recurso.

Implementar control de acceso obligatorio utilizando Security Enhanced Linux (SELinux), por ejemplo, es una gran empresa y requiere una cantidad considerable de planificación por parte de los administradores de sistemas dedicados y totalmente formados. Todos los objetos de recursos como archivos, directorios, puertos, dispositivos IO y así sucesivamente deben tener asignadas etiquetas de seguridad. Estas etiquetas contienen la clasificación de seguridad del objeto y la categoría, así como el grupo para el que este objeto está disponible. Del mismo modo, cada usuario y dispositivo, proceso o subproceso debe tener asignada una clasificación y categoría. Cada vez que un usuario o proceso intenta acceder a un recurso, el sistema operativo comprueba que las propiedades de clasificación y categoría coinciden. La alta carga directiva para mantener al día las etiquetas de objeto y de la cuenta es la razón por la que MAC tiende a encontrarse sólo en entornos que requieren niveles muy altos de seguridad.

El sandboxing de aplicaciones difiere de MAC, ya que controla el acceso a los recursos del sistema en función de cada aplicación. Esto se hace mediante la ejecución de un programa en un entorno restringido de sistema operativo con acceso limitado a los recursos. Si el código malicioso toma control de una aplicación adecuadamente ubicada en esta caja de arena, sólo podrá acceder a los archivos y recursos en ese entorno limitado. Esto hace que sea ideal para ejecutar programas o visualizar datos descargados o recibidos de una fuente no confiable, ya que reduce el alcance de los daños posibles. Sin embargo, si el código malicioso se las arregla para salir de la caja de arena, podría acceder potencialmente a recursos adicionales del sistema.

La zona de pruebas sandbox de aplicaciones no ocupa recursos para la clasificación o categoría de un usuario, por lo que es mucho menos onerosa en su gestión que MAC. Mientras que la caja de arena Android utiliza SELinux para hacer cumplir MAC a través de todos los procesos, al igual que con la mayoría de otros entornos limitados sandbox, los usuarios pueden cambiar los permisos de acceso. Por ejemplo, los navegadores como Chrome e Internet Explorer ejecutan páginas solicitados en un sandbox con acceso a un conjunto limitado de recursos, pero un usuario todavía puede conceder un permiso a la página para usar un micrófono o acceder a los datos de geolocalización.

Tanto el control de acceso obligatorio como el sandboxing de aplicaciones proporcionan capas importantes de seguridad, pero MAC sólo es viable cuando una evaluación del riesgo considera rentable un control, debido al tiempo y los recursos necesarios para su ejecución.