https://lwn.net/Articles/767137/
Pěkně srozumitelně o unveil()
(Osobně se mi to líbí, ale řeší to přímočaře jenom situaci, kdy chce hodný programátor chránit uživatele před svými chybami. Situace, kdy se chce uživatel chránit před potenciálně zlým programátorem takhle řešitelná není bez další mezivrstvy.)
openbsd programatorum verim a sracky jako nodejs neinstaluje ... to te pak neochrani nic - vsechno je to o falesnem pocitu bezpeci, nic jineho. Ani nebudu vyjmenovavat vsechny mozne utoky a uniky ze vsech moznych sandboxu.
Jedina mozna pustit neduveryhodny kod na vyhrazenem stroji a predpokladat ze ho ma pod kontrolou nekdo jiny.
Jasne v praxi to skonci nejakym kompromisem v podobe VM nebo namespaces, ale je potreba uvedomit si ze to je opravdu kompromis a uniky jsou realne.