沙盒（sanbox）廣為人知始于瀏覽器的安全應用，主要是防止病毒木馬通過瀏覽器途徑感染本機，其主要機制是通過進程及內存等資源隔離，控制沙箱內的進程對本地系統資源的調用，后來逐步推廣，形成了類似360的安全桌面，在移動操作系統中也沿用和發展了該技術，殺毒軟件中目前沙盒技術也廣泛使用。應該說，沙盒技術的應用，將病毒木馬傳播的風險進行了有效的控制，功不可沒。可以說，沙盒技術其安全機制主要是“防外不防內”，其默認安全模型是認為本機操作系統是可靠的，而通過沙盒將不信任的應用程序進行隔離，控制其對本機其他系統資源的調用。

二、沙盒技術應用于數據防泄密領域的動因

近年來，用戶對數據安全逐步重視，希望能夠在不增加計算機設備和不太影響便利性的情況下，實現在終端計算機設備上的“一機兩用”甚至“一機多用”的環境，防止內部人員有意或者無意泄漏企事業單位機密信息。基于此，參考360等安全桌面，有些不求甚解的廠商推出了基于沙盒技術的數據防泄密方案，仿照360稱為各種“安全桌面”，素不知南轅北轍，利用“防外”技術來“防內”，安全威脅模型完全沒搞對，出現了系列誤導用戶的產品。

三、沙盒為什么不能用于數據防泄密

沙盒技術由于從原理上是不信任沙盒內的程序，但信任本機系統的程序和環境，所以其控制機制是限制沙盒內的進程行為，但是由于其在本機運行，無論存儲、內存交換還是各種資源，都必須使用本機的，所以從理論上從沙盒（安全桌面）外可以獲取沙盒內一切信息，明朝萬達對sanboxie的實驗證明也確實如此。而回到數據防泄密的根本，正是害怕數據使用者竊取信息，而數據使用者顯然具備控制本終端計算機的全部權限，使用者本人可以通過簡單的手段從本機操作系統（沙盒外）輕而易舉地獲取基于沙盒技術構建的“安全桌面”環境中使用的各種敏感信息，讓數據防泄密措施形同虛設，沙盒顯然無法勝任數據防泄密這種“防內”的安全模型。即便有些基于沙盒的“安全桌面”采用了文件及存儲加密措施，但是由于數據內容內存的頁交換必然是文明的，所以依然通過簡單的工具可以輕而易舉地將“安全桌面”內的數據拿出去，所謂“一機兩用”的安全桌面隔離措施成了徹底的笑話。

四、總結

從上面的簡單分析可知，沙盒技術從根本原理上就不適用于“防內”為目標的政府及企事業單位內部防泄密用途，一些廠商在對技術原理和模型不求甚解的情況下，以易用性和表面性誤導用戶，是種不負責任的行為。可以說，將沙盒技術應用于數據防泄密領域構建“一機多用”平臺是中國信息安全界近年來最重大的技術性應用錯誤之一，希望政府和企事業單位用戶能夠清晰認識到這個嚴重的錯誤，慎重選擇宣稱基于沙盒原理構建的數據防泄密或者“一機兩用”方案，已經采用的應盡快給出補救措施。