Тюрьма для приложений (виртуализация)

Зависит от степени паранойи. Вот список от не очень изолированного до довольно изолированного : snap -> docker -> lxc -> kvm -> отдельный комп.
Так же можешь пошаманить с apparmor/selinux/tomoyo и прочими.

Разобраться в предметной области и поставить задачу со всеми требованиями. Пока под твой поток слов подходит все от чрута до виртуалбокса с десяток ой, а под твой вопрос так и вовсе хоть пешая эротическая экскурсия.

Советую виртуалку, ибо потеря производительности минимальна, 3% или сколько там. Создаешь значит эту виртуалку, пока она чистая - бекапишь ее, дальше извращайся как хочешь, гадить в системе оно не будет. В конце опытов просто удаляй файл «жесткого диска» и копируй бекап обратно.

Что посоветуете.

QubesOS, если изоляция нужна для безопасности. Flatpak, если просто нужно поставить софтину по-быстрому. LXC для всего остального.

Только отдельный комп не подключённый к общей сети, без вариантов.

Я так понимаю, тебе нужна sandboxie, но она проприетарная. Если ещё как минимум несколько программ схожей направленности, о которых никто не знает. Тоже проприетарные.

Вывод? Отдельные устройства, обмен информацией через 3 защищённое устройство, включающие порты на период обмена.

Кстати в qemu можно завести 1 базовый образ, и произвольное количество снапшотов на каждое приложение. Обновлять немного больно, придётся переносить приложение со всеми конфигурациями, сносить снапшот, и обновлять образ, потом создавать новый снапшот с бэкингом на образ и возвращать приложение и конфигурацию. Можно автоматизировать в принципе, но уровень изоляции в принципе не плохой. Приправит gentoo-hardened и порезать очевидно лишние и вредные вызовы, такого уровня изоляции больше никак не достичь программно. Все остальные варианты не про изоляцию от злонамеренного кода. Делать ты этого конечно же не будешь. Найм того, кто сделает, не так и дорого будет.

Учитывая количество дыр в xen и мельтдауны, её даже не смешно поминать уже.

Учитывая количество дыр в xen и мельтдауны

Ну тогда можно и такие темы не создавать. Совсем. Просто выкинуть компьютер, отрастить бороду и уйти в монастырь.

Губа не нужна с флатпаком ибо у меня дебиян. Лхч посмотрю

Что не понятно? Нужен контейнеро подобная штука чтобы в него инсталить софт чтобы он жил в своем мире, а при хотении просто удалить контейнер со всеми файлами

Какую посоветуешь? Kvm, qemu virtualbox или що?

Что посоветуете

Уроки учи.

Как я понимаю тебе нужен аналог FreeBSD jail?

Ну я ещё чуть-чуть ((

Если жало аналог чрута то нет

Тебе либо LXD/LXC, либо machinectl.

Thanks

У меня под оффтопиком виртуалбокс обычный крутится с ляликсами, никаких проблем нет, все устраивает.

Сам не пробовал, но под твои требования больше всего подходит это

http://linuxoidblog.blogspot.com/2016/02/firejail.html

А ещё, Flatpak - a security nightmare.

Можно создать отдельного пользователя и запускать прогу от имени этого пользователя. Изоляция не полная, но создавать файлы будет в каталоге нового пользователя, а для удаления просто удаляем пользователя вместе с домашним каталогом. Также есть такая штука как firejail, но сам её никогда не пробовал.

Для тюрем для отдельных приложений есть отличный софт - firejail.

Использую для старого скайпа и прочего недоверенного софта.

Слышал о таком. Жаль что файлы установки нельзя поместит в нее