Как вы огораживаете приложения, запускаемые через Wine?

Обо мне протон позаботился. Особенно когда мне не нужно...

Тащить целый протон влом.

игрушкам с рутрекера

https://www.meme-arsenal.com/memes/99b567ad47829070fa1f179d410f279e.jpg

А 500mb wine не влом 🤦‍♂️

Аналогично, обо мне заботится протон и изоляция в стим. Lutris тоже умеет в wine sandboxing

Использую bubblewrap. Через него запрещаю доступ ко всем файлам кроме тех, что нужны игре, ну и через него же отключаю доступ к интернету.

Спасибо

Не хочется […] изучить вопрос усиления безопасности

Вот и договорились.

Proton, как и Steam Runtime Soldier, по умолчанию не изолируют домашний каталог, все файлы в нем доступны на чтение-запись любым играм. Такая себе изоляция получается.

Вообще не парюсь по этому поводу. Что виндовый эрзац-вирус сможет сделать на линуксовой машине? А если что-то и сделает, то всё действительно важное у меня забекаплено. И бОльшая часть не очень важного тоже.

виндовый эрзац-вирус сможет сделать на линуксовой машине?

Он кагбэ работает через вайн. То есть, почти как нативное приложение. Значит, он может запустить любой деструктивный код, который использует реализованные в вайне функции WinAPI.

firejail /thread

Ну и что? Ну удалит что-то этот «деструктивный код», и что? Ты же понимаешь, что в большинстве случаев разбираться в этом секьрити-шмукьюрити (Разбираться, а не просто прописать какую-то хрень в какой-то конфиг и успокоиться) потребует больше вложений и нервов чем возможная потенциальная необходимость переустановить систему? Проще просто делать бекапы.

Никак, гипотетический вендовирус сможет как-то навредить только Вайну, а вылезти за его пределы не сможет

а вылезти за его пределы не сможет

Если не убирать доступ к разделу Z:, то сможет. И даже без доступа к Z: наверняка как-то можно вылезти за пределы, так как у самого Wine доступ к корню остается.

дуалбут и запуск в винде. никогда вайнами не пользовался

Так это нужен специальный вирус, который пролезает через Wine на диск Z и как минимум умеет ориентироваться в линуксовой иерархии файлов. Сомневаюсь, что такие существуют в природе.

Таких специализированных вирусов может и нет в природе. Однако если мы берем конфигурацию Wine по умолчанию, то она не является безопасной и с ней можно огрести проблем даже без заточенных под Linux вирусов.

По умолчанию Wine дает доступ к Z: и пользовательские каталоги в префиксе («Мои документы», «Загрузки», «Видео», «Картинки») являются символической ссылкой на реальный домашний каталог пользователя. Любой шифровальщик в первую очередь полезет в эти самые «Мои документы» и в итоге зашифрует файлы в домашнем каталоге.

пользовательские каталоги в префиксе («Мои документы», «Загрузки», «Видео», «Картинки»)

А, про это я забыл

Конечно можно, wine это не песочница, использовать любые линуксовые системные вызовы оно виндопрогам не запрещает никак.

Таких специализированных вирусов может и нет в природе

Уверен, что есть.

Определись что ты считаешь полным доступом и насколько ты каким механизмам доверяешь. Если на минуту предположить, что линукс - не решето, то достаточно отдельного юзера создать и не забыть про chmod 700 на $HOME всем, если оно ещё не сделано. Если же вспомнить, что линукс - всё же решето, то есть несколько вариантов:

1) по-моему самый хороший: отдельный комп для сомнительного софта, подключённый через hw-файрволл

2) виртуалка, но она тоже может оказаться решетом + скорее всего будет лагать

3) всякие контейнеры, шансы решета намного выше чем у виртуалки, но лагов не будет

Кто чем пользуется для ограничения прав запускаемого вайном софта?

Игори гоняю в варе. Если и есть там вирусы, то это их проблемы.

то достаточно отдельного юзера создать

Это очевидно. Но прога унутре вайна может запускать любые бинари из корня.

adduser

Ну запустит, и что? С тем же успехом эти бинари она может внутри себя хранить безо всяких корней.

flatpak bottles. Отличный интерфейс для wine, всячески рекомендую.

Этот?

Выглядит интересно. Он работает с уже установленным wine или тащит в программу свой собственный?

юзаю виртуалку винды (можете и линукс, но зачем) с пробросом видеокарты в нее (vfio зовется), а там игра пусть делает, что хочет: кроме игр там ничего нет

Steam через flatpak, там песочница.

Да, этот.

Он работает с уже установленным wine или тащит в программу свой собственный?

Там собственное управление версиями wine и вариантами сборки (wine, proton, caffe и т.п.). Можно ли подсунуть ему другой wine не знаю, не пробовал. Но т.к. это всё счастье во флатпаке, то пытаться подсовывать системный вайн может быть проблематично, т.к. могут быть проблемы с линковкой.

Но меня лично вполне устраивает то, что он притаскивает сам.

Ну я тут скромненько со своим unshare постою

Bubblejail.

А приложения, запускаемые из DOSBox, стоит огораживать?