Dhisidda deegaan xaddidan oo ammaan ah oo wax ku ool ah si Codex loogu ogolaado Windows

Markii aan ku biiray kooxda injineerada Codex bishii Sebteembar 2025, Codex ee loogu talagalay Windows ma lahayn deegaan xaddidan oo hirgalsan isla markaana ammaan ah, taas oo macnaheedu yahay in isticmaalayaasha Windows lagu qasbay inay kala doortaan laba xulasho oo aan heerkii laga filayay gaarsiisnayn marka ay isticmaalayaan wakiillada koodh-qorista ee OpenAI:

1. Ansixinta ku dhowaad amar kasta (xitaa kuwa akhrinta) ee uu wakiil koodh-qorista ahi doonayay inuu fuliyo, taas oo aan hufnayn isla markaana dhib badan. Faa’iidada ugu weyn ee ku jirta isticmaalka Codex ayaa ah in aadan adigu qaban dhammaan shaqada daalka badan.
2. Ogolaanshaha habka Marin u Helka Buuxa: u oggolaanaya Codex inuu socodsiiyo dhammaan amarrada iyada oo aan loo baahnayn oggolaansho ama xannibaado, taas oo meesha ka saaraysa caqabadaha balse ku imaanaysa dhimista kormeerka guud.

Codex⁠, oo ah wakiilkayaga koodh-qorista, wuxuu ku shaqeeyaa laptop-yada soo saarayaasha—ha ahaato iyadoo loo adeegsanaya CLI-ga, dheeraynta IDE-ga, ama ababka kombuutarka. Waxay maamushaa wada hadal u dhexeeya qof bini’aadam ah oo kiiboodh hor fadhiya iyo moodal ku shaqaynaya intarneetka si uu u qabto hawsha maslaxada.

Codex wuxuu ku shaqeeyaa rukhsadaha isticmaale dhab ah si caadi ah, taasoo la macno ah inuu sameyn karo wax kasta oo uu isticmaaluhu sameyn karo. Tani waa mid awood leh oo suurtagal ahaan khatar ah. Qaabka koodh-qorista ayaa laga yaabaa inuu u sheego qalabka inuu ku shaqeeyo amarrada maxalliga ah, laga bilaabo socodsiinta tijaabooyinka ilaa akhrinta ama tafatirka faylka ilaa samaynta laanta Git, sidaa darteed habka caadiga ah ee Codex wuxuu isku dayaa inuu helo dheelitirka saxda ah ee u dhexeeya waxtarka iyo badbaadada. Habkan caadiga ah wuxuu u oggolaanayaa Codex inuu akhriyo faylal ku dhowaad meel kasta, kuna qoro faylal gudaha goobta shaqada (tusaale ahaan, keydka aad Codex ka socodsiinayso), iyadoo aan lahayn marin internet ilaa aad si cad u sheegto inaad rabto. Si loo gaaro xaddidaaddan tooska ah ee qorista faylasha iyo marin u helka shabakadda gudaha xuduudo ammaan ah, Codex wuxuu u baahan yahay deegaan xaddidan oo si dhab ah u dhaqan geliya xaddidaadahan.

sandbox waa deegaan fulineed oo xaddidan. Marka horumariye uu isticmaalo Codex, nidaamka hawlgalka kombiyuutarkooda wuxuu soo saaraa amar leh rukhsado la dhimay, xayiraadahaasina waxay ku faafaan geedka geeddi-socodka. Amar kasta oo Codex ah waxaa lagu socodsiiyaa sandbox-ka laga bilaabo bilowga, habraac kasta oo ka dhashana wuxuu ku sii jiraa isla xadkaas.

Codex waxa uu u baahan yahay sifooyinka go'doominta ee uu dhaqan geliyo nidaamka hawlgalka kombiyuutarka si loo hirgeliyo deegaan xaddidan oo ammaan ah oo wax ku ool ah. Qaar ka mid ah nidaamyada hawlgalka waxay bixiyaan qalab si fiican tan u sameeya (tusaale, Seatbelt ee macOS, seccomp ama bubblewrap ee Linux); hase yeeshee, Windows hadda ma bixiyo awood noocan ah isagoo diyaarsan.

Si Codex looga dhigo mid ammaan ah oo lagu farxo in lagu isticmaalo Windows, sida uu horeba uga yahay meel kasta oo kale, waxaan u baahnayn inaan hirgelinno deegaan xaddidan oo ammaan ah oo noo gaar ah.

Windows waxa uu bixiyaa qalab iyo qaybo farsamo oo loogu talagalay go'doominta. In kasta oo midkoodna uusan si buuxda u buuxin shuruudihii aan u baahnayn, haddana waxaan eegnay xalal badan oo kala —ah - kuwaas oo kala ah, AppContainer, Windows Sandbox, iyo calaamadaynta Xakamaynta Integrity Control.

AppContainer

• Waa maxay: AppContainer waa sandbox-ka asalka ah ee Windows, nooc go'doomin oo ku salaysan awoodaha, loona dhisay app-yada bilowga hore si sax ah u yaqaan waxa ay u baahan yihiin inay helaan.
• Sababta: Waa mdi soo jiidasho leh sababtoo ah waxay bixisaa xuduud OS oo dhab ah halkii ay ka ahaan lahayd xaddidaado ku salaysan dadaalka ugu wanaagsan.
• Maxaa diidaya: Codex ma aha hal app oo leh baaxad shaqo oo aad u kooban. Waxa uu dhaqaajiyaa habsocodyada soo saare ee furan: shells, Git, Python, maareeyayaasha xirmooyinka, qalabka dhismaha, iyo faylal kasta oo kale oo fulineed oo wakiilku go’aansado inuu u baahan yahay. Ficil ahaan, taasi waxay AppContainer ka dhigtay mid aan ku habboonayn dhibaatada. Waxay ahayd go'doomin xooggan, laakiin loogu talagalay qayb aad uga cidhiidhi badan oo culeysyo shaqo ah marka loo eego “u oggolow wakiilku inuu u hawlgalo sida soo saare.”

Sandbox-ka Daaqadaha

• Waa maxay: Windows Sandbox waa VM fudud oo ku-meel-gaar ah oo ay leedahay Microsoft. Waxaad heleysaa desktop Windows cusub oo leh xuduud go'doomin oo xooggan, wax kasta oo aad gudaha ku sameysona way baa'baaan marka kalfadhigu dhammaado.
• Sababta: Waa mid xiiso leh sababo cad awgood—wuxuu AppContainer uga la jaanqaad badan yahay softiweer aan si gaar ah loo cayimin, marka laga eego dhanka amniga waa xayndaab aad uga adag.
• Maxaa diidaya: Codex wuxuu u baahan yahay inuu si toos ah uga shaqeeyo hubinta dhabta ah ee isticmaalaha, qalabka, iyo deegaanka, ee maaha gudaha desktop gaar ah oo la tuuro oo u baahan dejinta iyo isku xidhka martigeliyaha/martida. Waxa kale oo uu lahaa dhibaato aasaasi ah oo dhanka badeecadda ah: Windows Sandbox xitaa lagama heli karo SKU-yada Windows Home.

Calaamadaynta Daacadnimada Xakamaynta ee Daacadnimada Waajibka ah (MIC)

• Waa maxay: Windows waxa uu leeyahay fikrad loo yaqaan "heerarka hufnaanta," sida heer hoose, dhexdhexaad, iyo sare, kuwaas oo go'aamiya inta uu nidaamku ku kalsoon yahay walxaha iyo habraacyada. Xeerka aasaasiga ahi waa in hab-socod leh heer hufnaan oo hooseeya uusan wax ku qori karin shay leh heer hufnaan oo ka sarreeya, xitaa haddii ACL-ka caadiga ahi si kale loogu oggolaan lahaa. Tusaale ahaan, hab-socod leh heer hufnaan hoose waxaa loola dhaqmaa sidii mid kalsooni yar leh, sidaas darteed Windows ayaa ka xanniba inuu wax ku qoro walxaha caadiga ah ee leh heer hufnaan dhexe, haddii aan walxahaas si cad dib loogu calaamadeeyn si loogu oggolaado.
• Sababta: MIC wuxuu u muuqday mid qurux badan oo ku qoran warqad—ku socodsii Codex heerka daacadnimada hoose, dibna ugu calaamadee xididdada ee la qori karo inay yihiin heerkaas hoose, dabadeedna Windows u daa inay meelaha kale oo dhan ku dabaqdo in aan wax lagu qorin. Taasi waxay na siin lahayd dariiq aan u baahnayn oggolaanshaha maamulaha, oo ay ka dambayso farsamo dhab ah oo OS ah.
• Maxaa diidaya: Sida ACL-yada, calaamadaha hufnaanta waxay wax ka beddelaan nidaamka faylka martida ee dhabta ah, kiiskan isbeddelka macnaha ayaa si gaar ah u ballaaran. U calaamadeynta goobta shaqada inay tahay mid hufnaan hoose leh macnaheedu ma aha oo keliya in “Codex halkan wax ku qori karo.” Waxay ka dhigan tahay in hab-socodyada daacadnimo-hooseeya guud ahaan ay halkaas wax ku qori karaan. Maashiinnada dhabta ah ee soo saarayaasha, arrintaas waxay ka dhigeysaa faylasha uu isticmaalahu soo degsado goob nugul oo khatar weyn u horseedi karta qalabka martida loo yahay, taas oo aad uga khatar badan in ACLs si taxaddar leh loogu beegsado hal naqshad sandbox. Xitaa haddii qalabyada soo saaraha ee heer-hufnaan dhexdhexaad ah ay sii shaqeeyaan, nooca kalsoonida ee aasaasiga ah ee goobta shaqada ayaa isbeddelay si ay adag tahay in la xakameeyo oo ay adag tahay in la caddeeyo.

Kadib markii aan qiimeynay dhammaan xulashooyinka oo aan u aragnay kuwo aan macquul ahayn, waxaan bilownay naqshadaynta xal noo gaar ah si aan adeegsi wanaagsan oo Codex ah ugu keeno isticmaalayaasha Windows.

Tijaabadeenii ugu horreeysay ee shaqaynayay wuxuu adeegsaday isku-dar ah fikradaha iyo qalabyada Windows si loo hirgeliyo go'doomintii aan u baahnayn. Bilowgii, hal yool wuxuu ahaa in tan ay shaqeyso iyada oo aan loo baahnayn kor u qaadis, taasoo ka dhigan in Codex uusan u baahnayn inuu isticmaalaha weydiiyo mudnaanta maamulaha si loo dejiyo ama loo socodsiiyo deegaan xaddidan oo ammaan ah. Taasi waxay ka dhignayd in la ogaado sida xadad macquul ah loogu dejiyo laba arrimood: qorista faylalka iyo gelitaanka shabakadda.

Haddii aanan gabi ahaanba xaddidin qorista faylasha, waxaan la kulmi lahayn arrin badbaado. Haddii aan si aad ah u xaddidi lahayn qorista faylasha, sandbox wuxuu hoos u dhigi lahaa wax-soo-saarka isticmaalaha, maadaama uu u baahnaan lahaa in si joogto ah oggolaansho laga codsado. Si aan u xallino dhibaatadan, waxaan ku tiirsanaanay laba qaybood oo aasaasi ah oo muhiim u ah Windows: SIDs iyo token-nada qoraal-xaddidan.

SID, ama xogta lagu aqoonsado isticmaalaha, waa aqoonsiga ay Windows isticmaasho si ay u bixiso oggolaansho. Isticmaale kasta waxa uu leeyahay SID, kooxuhuna waxay leeyihiin SID-yo, xitaa soo galitaan hal ah oo keliya wuxuu helayaa SID-giisa u gaarka ah. Tusaale ahaan, soo gelitaan hadda ah wuxuu yeelan karaa SID sida S-1-5-5-X-Y. SID-ga loo qoondeeyey kooxda maamulayaasha maxalliga ah waxa laga yaabaa inuu yahay S-1-5-32-544.

Windows sidoo kale wuxuu kuu oggolaanayaa inaad samayso SIDs macmal ah oo aan u dhigmin isticmaale dhab ah, laakiin weli ka soo muuqan kara ACLs (liisaska xakamaynta marin u helidda), kuwaas oo qeexa cidda akhriyi/qori/fulin karta faylal ama hagayaal gaar ah. Taasi waxay SIDs ka dhigaysaa dhisme aasaasi ah oo waxtar u leh deegaankeenna xaddidan ee ammaanka ah: waxaan samayn karnaa SIDs si gaar ah loogu isticmaalo deegaanka xaddidan ee ammaan ah ee Codex, annaga oo aan faragelin wax kale oo ku jira mashiinka.

Token-yada hab-socodka waa walxo amni oo Windows ah kuwaas oo qeexa aqoonsiga iyo xuquuqaha hab-socodka socdsiinta. Waxay go’aamiyaan tallaabooyinka uu hab-socodku samayn karo. Token qorista laga xaddiday waa nooc gaar ah oo token-yada hab-socodka ah kaas oo Windows ka dhigaya inuu sameeyo hubin gelitaan oo dheeraad ah marka la fulinayo hawlgallada qorista.

Si hawlgalka qorista u guulaysto, laba hubin waa inay gudbaan:

1. Aqoonsiga isticmaalaha caadiga ah (token-ka “mulkiilaha”) waa in loo oggolaadaa inuu taas sameeyo
2. Ugu yaraan hal SID oo ku jira liiska SID-yada xaddidan ee token-ka waa in sidoo kale loo oggolaadaa marin u helid.

Ficil ahaan, hubinnadani waxay noo oggolaadeen inaan ACL-yada u isticmaalno si aan si sax ah u qeexno meelaha sandbox-ku wax kaga beddeli karo nidaamka faylasha, taas oo bixisay heerka faahfaahinta ee aan uga baahnayn hawlgallada qorista.

Iyada oo la adeegsanayo SID-yada iyo calaamadaha xaddidan ee qorista, sandbox-keena ee aan la horumarin ayaa sidan u shaqeeyay:

1. Dejinta sandbox waxay samaysay SID macmal ah oo loo yaqaan sandbox-write.
2. SID-ga sandbox-write waxaa la siiyay xuquuqda qorista, fulinta, iyo tirtirida ee
   1. Galka shaqada ee hadda
   2. Wixii writable_roots dheeraad ah ee lagu habeeyey config.toml.
3. Dejinta sandbox si cad ayay u diiday in isla SID-ga la geliyo meelaha "akhriska oo keliya ee la qori karo" sida:
   1. <cwd>/.git
   2. <cwd>/.codex
   3. <cwd>/.agents
4. Codex waxa uu amarro ku bilaabay token qoraal-xaddidan, kaas oo liiskiisa SID-yada xaddidan ay ku jiraan Qof walbo, SID-ga kal-fadhiga hadda lagu soo galay, iyo SID-ga macmalka ah ee sandbox-write.

Hab-socodkan wuxuu si wax ku ool ah u xalliyay xaddidaadda qorista faylasha, wuxuuna u muuqday mid rajo leh. Hadda waxaan u baahnayn xal lagu xaddidayo gelitaanka shabakadda ee sandbox-ka.

Xaddididda gelitaanka shabakadda waa qayb muhiim ah oo ka mid ah sandbox; la’aanteed, koodh waxyeello leh wuxuu xog si qarsoodi ah uga saari karaa mashiinka una gudbin karaa internetka. Maadaama aan rabnay inaan ka fogaano shuruudaha u baahan oggolaansho sare, waxaan haysanay ikhtiyaarro xaddidan oo aan si adag ugu xannibi karno taraafikada shabakadda. Qalabyadii aan rabnay inaan isticmaalno, sida Windows Firewall, guud ahaan lama rakibi karin iyadoo aan la haysan rukhsadaha maamulka.

Iyada oo aan loo haysan Windows Firewall ikhtiyaar ahaan, waxaan xaddidnay waxa aan xakamayn karno. Waxaan isku daynay inaan deegaanka "child-ka" ka dhigno mid gebi ahaanba xirma haddii ay cillad timaaddo marka la joogo agabka shabakadda ee ay soo saarayaashu isticmaalaan, si amarada Git-ka, rakibayaasha baakadaha, iyo wixii la mid ah ay ugu fashilmaan gudaha "sandbox-ka", isticmaalahuna uu qasab ugu noqoto inuu oggolaado hawl kasta oo u baahan internet-ka. Fikradda waxay ahayd in la xiro ama la fashiliyo waddooyinka cad-cad ee looga bixi karo: in xogta adeegsata 'proxy-ga' loo diro meel aan shaqaynayn, in nidaamka gaadiidka HTTP(S) ee Git-kana lagu sameeyo isla sidaas, iyo in Git-ka adeegsada SSH-na uu isla markaaba fashilmo. Intaa waxaa dheer, waxaan diyaarinay keyd yar denybin oo ku jira PATH waxaanan dib u habeynay PATHEXT si qoraallada SSH iyo SCP ay u xalliyaan ka hor inta aan la gelin laba-geesoodka dhabta ah.

Halkan waxaa ku qoran tusaale ahaan qaar ka mid ah amarrada gaarka ah ee aan u isticmaalnay deegaanka si aan u xaddidno helitaanka shabakadda:

• HTTPS_PROXY=http://127.0.0.1:9
• ALL_PROXY=http://127.0.0.1:9
• GIT_HTTPS_PROXY=http://127.0.0.1:9
• NO_PROXY=martigeliye maxali ah,127.0.0.1,::1
• GIT_SSH_COMMAND=cmd /c exit 1

Taasi waxay qabatay taraafiko badan oo caadi ah oo ku salaysan qalab, laakiin wali waxay ahayd talo bixin oo keliya. Geed-socodka wuxuu iska indho tiri karaa deegaanka, ka gudbi karaa PATH, ama si toos ah u furi kartaa socket-yo—taasina aad bay khatar u tahay.

Camuuman softiweer walba oo la hirgelinaayo isla markaana aad loo xiisaynaayo, nooca ugu horreeya ee tijaabada ah wuxuu lahadaa dhinacyo wanaagsan iyo qayb taban. In kasta oo ay shaqada ku qabatay kaliya dhowr awoodood oo Windows ah oo caadi ah, ay suurtagelisay qorisyada sistamka faylasha ee aad u cad oo heer-faahfaahsan, isla markaana ay ku shaqaynaysay iyada oo aan mudnaan sare lahayn—taas oo yaraysay baahida ah in isticmaalayaashu aqbalaan weydiimo kor-u-qaadis mudnaan oo xad-dhaaf ah ama ay maamuleyaal ka noqdaan mashiinkooda maxalliga ah—haddana waxay lahayd cillado dhab ah, qaar ka mid ahna waxay ka reebeen inay noqoto naqshadeenna kama dambaysta ah:

• Xawaaraha dejinta: Ku dabaqidda ACL-yada goobta shaqada waxay noqon kartaa mid qaali ah iyadoo ku xiran qaab-dhismeedka diwaanka goobta shaqada.
• Raad-raac: Waxaan ACL-yo dhab ah ku dabaqnay nidaamka soo saaraha, inkastoo Raad-raac aanu si gaar ah fara-gelin badan u lahayn sababtoo ah dhammaan ACL-yada la dabaqay waxay khuseeyaan SID macmal ah oo si gaar ah loo sameeyay, kaas oo uu isticmaalo oo keliya sandbox-ka.
• Macnaha adag in la beddelo: Ku tiirsanaanta ACL-yada xayiraadaha ku salaysan faylka waxay la macno tahay inuu qaali yahay oo ay adag tahay in la beddelo macnaha sandbox-ka. Halka macOS, aan si firfircoon u beddeli karno sida aan u soo saarno .sbpl Fayl loo isticmaalo in lagu habeeyo Seatbelt, sandbox-ka ee Windows wuxuu u baahan karaa hawl gaabis ah oo culus si loo hagaajiyo ACL-yada.
• Ilaalinta shabakadda waa daciif. Sida hore loo soo sheegay, waxay ahayd "talo-bixin," hubaal waxaa hareerayn doona barnaamijyo qaar oo hirgeliyay isku-xidhka shabakadeed ee u gaarka ah, mana loogu talagelin inay ilaaliso koodka iska soo horjeeda.

Saddexda arrimood ee ugu horreeya waxay ku dhex jiraan hirgelinta sandbox gaar loo habeeyey oo dabacsanaan ku filan u leh socodyada wakiillada AI-da. Hase yeeshee, sheekada ku saabsan xakamaynta shabakadda way ka duwanayd.

Marka laga soo tago wakiilka xaasidnimada leh ee si fudud uga gudbi kara xakamaynta shabakadda ku salaysan deegaanka, kood/binary badan oo ujeedo wanaagsan leh ayaa sidoo kale ka gudbi kara haddii aysan ixtiraamin doorsoomayaasha wakiillada deegaanka, ama haddii ay hirgeliyeen koodhkooda shabakad ee ku salaysan socket-ka. Waxaan u aragnay in qodobkani ku filnaa in la tixgeliyo in la maalgeliyo hab deegaan xaddidan oo ammaan ah oo ka wanaagsan.

Si aan u helno xakameyn shabakadeed oo wanaagsan, waxaan rabnay inaan isticmaalno Windows Firewall, kaas oo noo oggolaanaya inaan xannibno taraafikada shabakadda ee ka baxsan isticmaalayaasha ama barnaamijyada. Nasiib darro, si wax ku ool ah uma aanan abuuri karin xeerka firewall oo shaqeynaya kaas oo khuseeya oo keliya amarrada ay soo saartay qalabka Codex sababo dhowr ah awgood:

• Windows ma ogola in xeerka firewall-ka lagu waafajiyo aqoonsiga aan aasaasiga ahayn ee calaamad xaddidan. Tani waxay ka dhigan tahay inaanan awoodin inaan xeer firewall ku dabaqno “token kasta oo ay ku jirto SID-dayada macmalka ah liiskiisa SID-yada xaddidan."
• In kasta oo aan samayn karno xeerka firewall oo u dhigma binary gaar ah, taasi waxay noo oggolaanaysaa oo keliya inaan xaddidno isku-xirnaanta shabakadda ee codex.exe laftiisa. Kuma khuseyn doonto hababka uu wakiilku ku dhaliyo isagoo matalaya isticmaalaha, sida hababka Git ama Python.
• Cabbirrada kale ee iswaafajinta firewall-ka ayaa iyaguna ahaa qaab khaldan. Xeerarka isticmaalaha ee la cabbiray ayaa wali la jaanqaaday isticmaalaha dhabta ah ee Windows ee naqshadda aan la horumarin, ee maaha oo keliya faraca xaddidan. Xeerarka marin-hawleedka barnaamijku aad bay u qallafsanaayeen: waxay guud ahaan xannibi karaan codex.exe ama python.exe , laakiin ma aha codsigan keliya ee python.exe. Xeerarka ku salaysan port-ka ama cinwaanka sidoo kale wuxuu ahaa xeer gebi ahaanba khaldan. Tusaale ahaan, ma aanan rabin inaan xannibno port-ka 443; waxaan rabnay inaan xannibno marin dibadeed oo aan loo cayimin oo loogu talagalay geedkan hab-socodyada xaddidan ee gaarka ah.

Si aan xeerka firewall-ka ugu dabaqno gaar ahaan amarradeenna ku socda deegaan xaddidan oo ammaan ah, waxaan u baahannay inaan ku socodsiinno iyagoo isticmaalaya aqoonsi gooni ah, halkii ay ahaan lahaayeen isticmaalaha 'dhabta ah'. Habkani wuxuu nagu hoggaamiyay waddo cusub, mid aan ku dabcinay xaddidaaddeennii "aan kor loo qaadin".

Ku celcelinta xigta ee sandbox-ka, kaas oo ah hirgelintayada hadda jirta, waxay u baahan tahay oggolaansho maamul oo sarreeya wakhtiga dejinta. Sidaas darteed waxaan ugu yeeraa “sandbox-ka sare loo qaaday.” Xuduudda uu Codex ku soo saaro amar nidaamka, sandbox-ka ee kor loo qaaday wuxuu u eg yahay kan aan la horumarin. Wali wuxuu geeddi-socodyada hoosaadka ku socodsiiyaa token xaddidan hoostiisa—si la mid ah token write_restricted oo leh isla liiska SID-yada xaddidan ee [Everyone, Logon, Synthetic]—hase yeeshee, aqoonsiga asaasiga ah ee token-kan hadda ma aha isticmaalaha Windows ee dhabta ah, balse waa mid ka mid ah laba isticmaale maxalli ah oo Codex laftiisu sameeyay:

• CodexSandboxOffline (kan ay bartilmaameedsanayaan xeerarka firewall-ka)
• CodexSandboxOnline (kan aysan bartilmaameedsanayn xeerarka firewall-ka)

Faahfaahintan u muuqata mid yar dhab ahaantii waxay saamayn weyn ku leedahay sandbox-ka, cidda isticmaali karta, iyo kakanaanta dejintiisa iyo fulintiisa wakhtiga socodsiinta.

Muuqaal ahaan, waxa uu la mid yahay nooca tijaabada aan lahayn mudnaanta sare, iyadoo lagu daray xeerarka firewall-ka iyo isticmaale Windows u gaar ah, kaas oo dhab ahaantii fulinaya amarrada. (Si kastaba ha ahaatee, soo bandhigista fikradahan cusub waxay ka dhigan tahay in ay jirto shaqo dejin oo dheeraad ah oo la qabanayo ka hor inta sandbox-ka ammaanka ahi uusan bilaabin fulinta iyo ilaalinta amarrada.)

Naqshadda sandbox-ka ee aan la hagaajin waxay lahayd tallaabo dejin fudud, laakiin way yarayd:

• Haddii loo baahdo, samee SID macmal ah
• Ku dabaq ACL-yada SID-ga macmalka ah ee sandbox-write

Si kastaba ha ahaatee, sandbox-ka sare loo qaaday ee mudnaanta sare leh wuxuu leeyahay hawlo badan oo uu qabto.

• Samee SID macmal ah, haddii aan hore loo samayn
• Samee isticmaalayaasha deegaanka sandbox-ka ee onleenka ah iyo kuwa offleenka ah, haddii aan hore loo samayn
• U kaydi aqoonsiga isticmaaleyaasha cusub si maxalli ah oo ku qari adoo isticmaalaya Ilaalinta Xogta Windows API (DPAPI) meel aysan isticmaalayaasha sandbox-ka dhab ahaantii wax ka akhrin karin
• Samee xeerar firewall ah oo xannibaya dhammaan marin u helka shabakadda ee dibadda u baxa ee isticmaalaha CodexSandboxOffline, ama, haddii ay hore u jireen, xaqiiji inay sax yihiin

Waxaa jira arrin dheeraad ah oo sii murjinaysa marxaladda dejinta. Sandbox-ka Codex waxaa la filayaa inuu lahaado marin u helka akhriska oo u dhigma isticmaalaha Windows ee dhabta ah. Gudaha sandbox-ka aan mudnaan sare lahayn, halkaas oo SID-ga ugu weyn ee token-ka xaddidan uu ahaa isticmaalaha Windows, tan waa la gaaray. Si kastaba ha ahaatee, taasi bilaash kuma timaado marka maamulaha uu noqdo isticmaale cusub CodexSandbox ah. Diwaano badan oo khuseeya oo ku jira Windows ayaa siin doona rukhsadaha akhriska/fulinta “Authenticated Users”. Tusaale muhiim ah waa tusmada broofaylka isticmaalaha. Sida caadiga ah, isticmaaleyaasha Windows ma akhrin karaan diwaanada borofaylka ee isticmaaleyaasha kale ee Windows, sidaas darteed xitaa akhrinta faylasha fudud xaalado badan way fashilmi lahayd.

Si arrintan loo xalliyo, waxaan ku darnay lakab kale habka dejinta sandbox-ka—mid loogu talagalay in isticmaalayaasha sandbox-ka la siiyo ACL-yada read meelaha ACL-yada noocaas ahi laga yaabo inaysan hore uga jirin. Tusaale ahaan, qaar ka mid ah diwaanada Windows-ka ee sida caadiga ah loo isticmaalo:

• C:\Users\<real-user>
• C:\Windows\
• C:\Program Files\
• C:\Program Files (x86)\
• C:\ProgramData\

Maadaama liiskan diwaanada uu yahay mid dadaal fiican lagu sameeyo, isla markaana rakibidda ACL-yada mid kasta oo ka mid ah ay qaali noqon karto, waxaan u socodsiinnaa maangalkan si aan isku mid ahayn sidaa darteed tallaabada dejinta sandbox-ka, oo xannibaysa isticmaalayaasha, aysan ugu baahnayn inay sugto dhammaadka hawlahaas.

Waxaan caqli-galka dejinta ku koobnay binary u gaar ah, qayb ahaan si aan uga gudubno xadka UAC oo kaliya marka loo baahdo. Laakiin sababta qotada dheer waxay ahayd mid qaab-dhismeed ah: dejinta sandbox-ku waxay leedahay shaqo asal ahaan ka duwan tan codex.exe. Ku haynta caqliga dejinta sandbox-ka fayl fulineed oo u gaar ah waxay u oggolaatay codex.exe inuu ahaado harness caadi ah oo aan mudnaan sare lahayn; waxay ka ilaalisay mishiinnada dejinta ee Windows-kaliya inay ku buuriyaan codex.exe madallo kale; waxay kala saartay shaqada dejinta ee waqti dheer qaadan karta iyo muddada nolosha ee habka ugu weyn; waxayna na siisay hal meel oo aan ku maareyno waddooyinka dejinta ee kala duwan ee sandbox-ka u baahnaa.

Sababtoo ah sida ay u shaqeeyaan xuduudaha isticmaalaha Windows iyo gelitaanka token-ka, ma sii wadi karin inaan samayno token xaddidan oo aan hoostiisa ku bilaabno hab-raac, sidii aan ku samayn jirnay sandbox-ka aan la horumarin. Si dhab ahaan amarrada loogu bilaabo isticmaale Windows oo ka duwan, fikraddii noogu horraysay waxay ahayd hab-socodkan soo socda:

• codex.exe wuxuu u shaqeeyaa sida isticmaalaha dhabta ah ee Windows. Kadib, taxane ahaan, Codex:
  • Waxay ugu baaqdaa LogonUserW(...) isticmaalaha sandbox-ka.
  • Waxay ugu baaqdaa CreateRestrictedToken(...) token-ka isticmaalaha sandbox-ka.
  • Isagoo adeegsanaya token-ka isticmaale-sandbox ee xaddidan, wuxuu wacaa CreateProcessAsUserW(...) si uu u bilaabo howl hoosaadka ugu dambeeya.

Ficil ahaan, habsocodkaas la doonayay ma shaqayn sababtoo ah xannibaad dhanka mudnaanta ah ayaa ee ka jiray CreateProcessAsUserW(...). Tani waxay ka dhigan tahay in codex.exe uu u samayn kari lahaa token xaddidan isticmaalaha sandbox-ka, laakiin uusan si la isku halleyn karo uga bilaabi karin hab-socod farac ah token-kaas dhinaca isticmaalaha dhabta ah ee ee xadka Waxaan u baahnayn hab-socod horeba ugu socday magaca isticmaalaha sandbox-ka—tani waxay oggolaan lahayd in tallaabada xaddididda iyo samaynta kama dambaysta ah ay ka dhacaan dhinaca xadka ee isticmaalaha sandbox-ka, halkii ay ka dhici lahaayeen dhinaca isticmaalaha dhabta ah.

Shuruuddaas waxay keentay codex-command-runner.exe, fayl binary cusub oo shaqadiisa kaliya tahay inuu abuuro token xaddidan oo uu bilaabo amarka la codsaday. Halkii aan ka codsan lahayn codex.exe inuu keligiis sameeyo socodka oo dhan (isticmaalaha dhabta ah → isticmaalaha sandbox-ka → token xaddidan → hab-socod farac ah), waxaan socodka u kala qaybinay laba:

Qaybta 1

• codex.exe wuxuu wacaa CreateProcessWithLogonW(...) si uu u bilaabo codex-command-runner.exe isagoo ah isticmaalaha sandbox-ka, iyadoo aan weli la isticmaalin token xaddidan.

Qaybta 2-aad

• Gudaha barnaamijka hawl-fuliyaha, OpenProcessToken(GetCurrentProcess(), ...) wuxuu furayaa token-ka gaarka ah ee mishiinka fulinta, kaas oo mar horeba uu leedahay isticmaalaha sandbox-ka.
• Mishiinka fulinta ayaa u baaqaya GetTokenInformation(...) si uu u soo saaro SID-ka gelitaanka ee sandbox-ka, ka dibna CreateRestrictedToken(...) si uu u dhiso token-ka ugu dambeeya ee xaddidan.
• Isagoo weli ku dhex jira mishiinka fulinta, wuxuu u yeerayaa... CreateProcessAsUserW(...) isagoo adeegsanaysa token-kaas xaddidan si loo bilaabo habka faraca ee dhabta ah.

Albert Einstein ayaa yiri, “Wax walba waa in laga dhigaa sida ugu fudud ee suurtogalka ah, laakiin aan laga dhigin ka sii fudud.” Iyadoo taas laga duulayo taas, naqshaddeennu wuxuu si ku filan u xalliyay dhibaato kasta. Qaab-dhismeedka kama dambaysta ah wuxuu ka kooban yahay afarta lakab ee aan horey u soo daboolnay:

• codex.exe laftiisa
• codex-windows-sandbox-setup.exe si loo maareeyo dhammaan shaqada la xiriirta dejinta sare
• codex-command-runner.exe loogu talagalay socodsiinta amarrada token-ka xaddidan
• Habka howl-hoosaadka

Markii aan markii ugu horreysay u wajahay mashruucan, si cad uma aanan garanayn halka uu ku dambayn doono. Hanaankaygu wuxuu ahaa inaan ku bilaabo qalabayn iyo u-diyaarinta awoodda sandboxing-ka ee xadka u dhexeeya Codex iyo nidaamka hawlgalka. Habkani wuxuu si dhow ugu dhigmaa sida deegaanka xaddidan ee Codex looga hirgeliyay MacOs iyo Linux.

Markii aan wax badan ka bartay qalabka gaarka ah ee Windows bixiso, iyo iyada oo loo marayo daraasiin go'aanno ah oo dheellitiraya amniga iyo fududaynta isticmaalka, nidaamku wuxuu ku koray qaabkiisa hadda jira—laba-geesood oo badan, isticmaaleyaal gaar ah, xeerarka firewall-ka, tallaabo dejineed oo kor loo qaaday, habab aan isku mid ahayn, iyo waxyaabo kaloo badan.

Ma aha nidaam si gaar ah u fudud, laakiin qayb kasta oo kakanaansho ah waxaa lagu daray baahi darteed, si loo dhiso deegaan sandbox ah oo labadaba ammaan ah, isla markaana, intii suurtagal ah, aan isticmaalaha carqaladayn.

Annagoo ka shaqaynayna inaan u gudbino adeegsi isticmaale oo wanaagsan isticmaalayaasha Codex ee Windows, yoolkeennu wuxuu ahaa inaan samayno wax ammaan ah oo aan wax u dhimin waxtarka—ujeeddada ugu weyn ee isticmaalka Codex waa in wakiillo ay awoodaan inay shaqo qabtaan adigoon si joogto ah u siinaynin feejignaan.

Mid ka mid ah casharradii ugu weynaa ee laga bartay mashruucan wuxuu ahaa in Windows uusan na siin hal rukun/farsamo oo si hufan ugu dhigma “wakiil naqshadayneed oo madaxbannaan oo ammaan ah” Waxaan isku darnay qalabyo iyo fikrado dhowr ah si aan u dhisno wax isku-xiran. Fikradihii ugu horreeyay qaarkood waxay noqdeen kuwo jid-gooyo ah. Naqshaddii ugu dambaysay waxay ahayd isku-dar ka kooban noocyadii tijaabada ahaa ee hore, kuwaas oo mid kasta xalliyay qayb ka mid ah dhibaatada.

Casharka kale wuxuu ahaa in amniga wakiilka koodh-qorista uu yahay mid ka duwan amniga codsiyada caadiga ah. Codex waa inuu u shaqeeyaa habraacyada shaqada dhabta ah ee soo saarayaasha. Shaqada injineernimadu waxay ku saabsanayd isku dheellitiridda la jaanqaadidda culeysyada shaqo ee wakiil-ku-saleysan iyo dhaqan-gelinta dhabta ah. Xiisaddaasi waxay qaabeysay is-weydaarsigii naqshaddii ugu dambeysay.

Ma xiisaynaysaa inaad aragto sida Codex-ka xaddidan u shaqeeyo? Isku day⁠.