Sandboxing
Eseguire codice in un ambiente fortemente limitato, in cui può raggiungere solo ciò che gli è strettamente necessario. Si parte dal presupposto che il codice verrà compromesso: resta solo da stabilire quanto si perde quando succede.
Il browser ne è l'esempio più chiaro: ogni scheda gira in un processo separato, senza accesso al filesystem e senza il diritto di comunicare direttamente con la rete; ogni richiesta di questo tipo passa per un processo padre che fa da controllore. Su Linux le sandbox si costruiscono con seccomp-bpf, namespace, cgroup e Landlock; macOS ha App Sandbox con i file di entitlement, Windows ha AppContainer. Un passo oltre si trovano gVisor, che interpone una propria implementazione del kernel tra l'applicazione e il kernel reale, e le micro-VM come Firecracker. La fuga dalla sandbox è una classe di vulnerabilità a sé e, per questo, la categoria meglio pagata nei programmi di bug bounty.