Wanneer je een (onbekende) site bezoekt of je installeert een of andere (gratis) tool dan loop je altijd wel een zeker risico. Er komt bijvoorbeeld heimelijk malware mee of de applicatie blijkt toch niet zo stabiel. Door de software geheel afgescheiden van de rest van je systeem te draaien, beperk of vermijd je die risico’s. Die techniek luistert naar de naam sandboxing.

Om malware, zoals virussen en ransomware, een stap voor te blijven installeer je natuurlijk een degelijke antivirustool en houd je die ook mooi up-to-date. Jammer genoeg weten zulke tools niet altijd alle malafide sites of software te ontmaskeren of te blokkeren. Vooral wanneer je onbekende sites bezoekt of nieuwe software wil uitproberen doe je er daarom goed aan extra beveiligingsmaatregelen te nemen.

Een beproefde techniek is sandboxing, waarbij individuele toepassingen van het onderliggende OS en van andere toepassingen worden geïsoleerd. Ze worden als het ware in een zandbak gestopt waaruit ze niet (horen te) kunnen ontsnappen.

Op een meer technisch niveau heeft men het ook wel over toepassingsvirtualisatie omdat die applicaties dan in een soort virtuele omgeving draaien. Immers, voor de software lijkt het alsof die in je echte (Windows-)omgeving opereert gezien die geen weet heeft van de afbakening binnen de sandbox.

In dit artikel bekijken we een aantal technieken en tools om allerlei applicaties in zo’n veilige sandbox op te starten. Blijkt alles koosjer, dan kun je die naderhand met een gerust hart in je ‘echte’ omgeving opnemen, als je dat wil.

01 Browsers

Het zal je misschien verbazen, maar heel wat browsers bieden standaard al een zekere mate van sandboxing. Dat geldt bijvoorbeeld al langer voor Google Chrome en ook voor Firefox vanaf versie 54. Die starten voor elke webpagina in principe een of meer nieuwe processen op om (de scripts op) die pagina uit te voeren, wat het voor potentiële malware lastiger maakt om andere browsertabs of bestanden te manipuleren.

Zelfs het goeie ouwe Internet Explorer biedt een vergelijkbare functionaliteit. Je moet die dan wel eerst even inschakelen: ga naar Internetopties / Geavanceerd en plaats een vinkje bij Uitgebreide beveiligde modus inschakelen. Het valt echter niet uit te sluiten dat bepaalde (incompatibele) add-ons nu niet meer correct functioneren.

Verder in dit artikel komen ook nog andere oplossingen aan bod, zoals Chrome of Edge opstarten binnen de contouren van Windows Sandbox, of in combinatie met Windows Defender Application Guard.

©PXimport

02 Antivirus

Betaalde versies van antivirussoftware hebben vaak allerlei extra beveiligingsfuncties. Zo voorzien de Internet Security Suites van zowel Avast! als Kaspersky beide in een sandboxing-functie. Bij deze laatste zorgt een gesandboxte browser onder andere voor de bescherming van je online financiële transacties.

Een sandbox tref je ook aan in de gratis versie van Comodo Antivirus. Die maakt niet alleen gebruik van een op Chromium-gebaseerde browser, inclusief sandboxing-technologie, maar je kunt er ook een willekeurige toepassing mee opstarten in een sandbox. Klik hiervoor op Taken en kies Containment taken / Start Virtueel / Kies en start. Verwijs naar een exe-bestand en start het op: een groen kader rond het applicatievenster geeft aan dat het programma in een sandbox draait. Je kunt op elk moment de sandbox (container) resetten met de wijzigingen van applicaties die je daarin hebt geplaatst.

©PXimport

03 Defender Antivirus

Ook Microsoft doet mee met toepassingsvirtualisatie en sandboxing. Vanaf Windows 10 1703 biedt het de mogelijkheid om het eigen Windows Defender Antivirus in een sandbox te draaien. Deze antivirustool wordt namelijk standaard uitgevoerd met verhoogde machtigingen, wat het een gewild doelwit maakt van malware. Je activeert deze functie als volgt. Klik met rechts op Windows PowerShell en kies Als administrator uitvoeren. Op de opdrachtprompt voer je het volgende commando uit:

setx /M MP_FORCE_USE_SANDBOX 1, waarna je Windows herstart.

Als je vervolgens het Windows Taakbeheer (Ctrl+Shift+Esc) opstart en op Meer details / Details klikt hoor je hier nu ook MsMpEngCP.exe te zien draaien.

©PXimport

04 WDAG

Gebruikers van Windows 10 Pro 64-bit 1803 en hoger kunnen tevens de ingebouwde Windows Defender Application Guard (WDAG) activeren voor gebruik in Edge. Hier staan de exacte systeemvereisten. Je browser wordt dan met behulp van Hyper-V in een beperkte, virtuele machine opgesloten. Deze machine heeft bijvoorbeeld geen toegang tot het klembord of tot externe bestanden. Voer Windows Powershell als administrator uit en voer het volgende commando uit:

Enable-WindowsOptionalFeature -online -FeatureName Windows-Defender-ApplicationGuard

Na een herstart van je pc start je Edge op. Afhankelijk van je Edge-verse moet je mogelijk eerst edge://flags in de adresbalk intikken en Microsoft Edge Application Guard inschakelen. Als het goed is krijg je nu via het …-knopje toegang tot een extra optie: Nieuw Application Guard-venster.

Om WDAG ook in Chrome te gebruiken heb je een browserextensie nodig, die je hier kunt downloaden. Als de extensie je ook een link aanbiedt naar de WDAG Companion-app in de Windows Store, dan moet je die ook even installeren. Herstart vervolgens Windows.

©PXimport

Sandbox configureren

©PXimport

05 Windows Sandbox

Microsoft plaatste de sandboxing-techniek in een stroomversnelling met het invoeren van een heuse Sandbox-tool in Windows 10 1903. Deze tool is in principe alleen beschikbaar voor gebruikers van Windows Pro en Enterprise (zie echter ook de kadertekst ‘Sandbox Home’). Ook deze technologie maakt dankbaar gebruik van Hyper-V: die zorgt voor een virtuele Windows-omgeving waarbinnen je veilig kunt experimenteren met onbekende sites en software. Deze ‘zandbak’ leunt weliswaar al heel dicht tegen systeemvirtualisatie aan, (zie tekstkader ‘Systeemvirtualisatie’).

Ook de Windows Sandbox dien je zelf in te schakelen. Druk op Windows-toets+R en voer optionalfeatures uit. Scrol naar de optie Windows-Sandbox en plaats hier een vinkje. Bevestig met OK en herstart je systeem. Dat moet wel aan bepaalde vereisten voldoen, zoals beschikken over een 64bit-processor, virtualisatie geactiveerd in het bios (AMD-V of Intel VT) en minimaal 4 GB ram.

Als Sandbox succesvol is geactiveerd hoef je alleen maar in de programmalijst Windows Sandbox op te starten. Even later duikt er een venster op met een virtuele Windows-omgeving. Die beperkt automatisch de toegang tot de onderliggende ‘echte’ Windows: dat merk je meteen wanneer je hier bijvoorbeeld de Verkenner opent. Alle aanpassingen verdwijnen ook zodra je de virtuele omgeving sluit. Houd er wel rekening mee dat andere virtualisatiesoftware, zoals VirtualBox, niet meer zal functioneren tot je de Windows-Sandbox-functie weer uitschakelt!

©PXimport

Sandbox Home

©PXimport

06 Sandboxie: opstart

Een uitstekend alternatief voor de Windows Sandbox is de freeware-tool Sophos Sandboxie, die werkt onder alle versies van Windows 7 en hoger, inclusief Windows Home. Na installatie tref je bij de eerste opstart weliswaar al een zandbak met de naam Sandbox Default aan, maar die is dan leeg. Vanuit het contextmenu kun je de naam trouwens aanpassen.

Je kunt bijvoorbeeld een browser binnen zo’n zandbak draaien door met rechts op je zandbak te klikken en Gesandboxt uitvoeren / Webbrowser starten te kiezen. Je kunt de werking makkelijk uittesten: download een willekeurig bestand en plaats dat op je bureaublad. Je zult merken dat het niet op je reguliere bureaublad terechtkomt, maar op het bureaublad van je sandbox.

©PXimport

07 Sandboxie: werking

Meteen na deze download duikt er een venster op met de naam ‘Onmiddellijk herstel’. Wil je het gedownloade bestand uit de afgeschermde omgeving alsnog op je echte bureaublad, klik dan op de knop Herstellen.

Het is ook achteraf nog mogelijk bestanden uit een zandbak te halen. Hiervoor open je in het hoofdvenster van Sandboxie het menu Beeld / Bestanden en mappen. Vervolgens navigeer je naar het gewenste bestand. Vanuit het contextmenu kun je het dan naar de gewenste locatie overhevelen. Terugkeren naar het Sandboxie-venster doe je via het menu Beeld / Programma’s.

Om andere applicaties in je zandbak uit te voeren klik je met rechts op je zandbak en kies je Gesandboxt uitvoeren / Programma uitvoeren of Uitvoeren vanaf startmenu. Een nieuwe zandbak maak je via Sandbox / Nieuwe sandbox aanmaken.

Om een programma uitsluitend nog in een zandbak te kunnen draaien klik je met rechts op je zandbak en kies je Sandbox-instellingen. Open de rubriek Start programma en klik op Geforceerde programma’s / Programma toevoegen / Bestanden openen/selecteren. Verwijs naar het programmabestand en bevestig je keuze. Om het programma snel te kunnen starten kun je er in de Verkenner met rechts op klikken en Gesandboxt uitvoeren kiezen (werkt niet met alle programma’s).

©PXimport

08 Toolwiz Time Freeze

Ook Toolwiz Time Freeze (geschikt voor Windows XP en hoger) is een sandboxing-tool, maar dan eentje die als het ware je hele systeem in de zandbak stopt. Letterlijk alle schrijfoperaties, althans die van je Windows-partitie, worden naar een cachebestand omgeleid en na een herstart van je systeem wordt die cache automatisch weer geledigd. Tijdens de installatie worden wel een paar kernel-drivers op je systeem gezet, dus maak voor alle zekerheid eerst een systeemback-up.

Tijdens de installatie kun je de standaardinstellingen ongemoeid laten. Na een herstart van je pc start je de tool. Klik met rechts op het programma-icoontje in het Windows systeemvak en kies Show Program, waarna je op de knop Start Time Freeze druk. Alle wijzigingen op je systeempartitie zullen nu na een herstart automatisch verdwijnen. Dat kun je uittesten door bijvoorbeeld enkele bestanden toe te voegen of te verwijderen, of het uitzicht van je bureaublad te wijzigen.

Je kunt een sessie ook altijd beëindigen door Stop Time Freeze aan te klikken. Na je bevestiging herstart Windows automatisch en worden alle wijzigingen genegeerd.

We geven nog even mee dat je in het hoofdvenster via Enable Folder Exclusion when Time Freeze is ON bestanden buiten de bescherming van Toolwiz Time Freeze kunt plaatsen. Het volstaat die hier via de knoppen Add File of Add Folder toe te voegen. Deze data blijven dan na een herstart behouden.

©PXimport

Systeemvirtualisatie

©CIDimport

In Nederland is elektrisch rijden het voordeligst als je je auto thuis kunt opladen met eigen stroom, bijvoorbeeld van zonnepanelen. Maar dan moet je wel een eigen oprit hebben of van de gemeente toestemming krijgen om een laadkabel over de stoep te leggen. Uit onderzoek van energiebedrijf Zonneplan blijkt dat slechts een op de drie gemeenten dit toestaat.

Je auto voor de deur opladen met je eigen stekker kan op verschillende manieren: met een kabelmat, speciale kabelgoottegels of een laadarm die over de stoep hangt. De laatstgenoemde optie wordt alleen toegestaan in Haarlem en Zuidplas. Kabelgoottegels, waarbij de laadkabel verzonken ligt in de stoep, zijn het populairst - een kwart van de gemeenten experimenteert hiermee of heeft dit in het verleden gedaan. Het gebruik van een kabelmat is de meest toegankelijke oplossing, wat in 27 gemeenten (8 procent) is toegestaan.

Bron: Zonneplan

Vooral in de Randstad, Zeeland en Noord-Brabant zijn gemeenten flexibeler wat betreft het opladen over de stoep. In Drenthe, Groningen en Limburg is dit vrijwel nergens toegestaan, al hebben woningen daar vaker een eigen oprit.

Momenteel beschikt één op de twaalf Nederlandse huishoudens (8 procent) over een eigen laadpaal. Dit percentage is het hoogst in de gemeente Laren, waar bijna een derde van de huizen een laadvoorziening heeft. Ook in Rozendaal, Blaricum, Bloemendaal, Bergen en Oostzaan ligt dit percentage boven de 20 procent. Financiële middelen lijken een grotere rol te spelen bij het aanschaffen van een elektrische auto dan de fysieke ruimte voor een laadpaal.

"Het voordeel van thuis kunnen opladen ten opzichte van de openbare laadpaal is aanzienlijk," licht Zonneplan toe. Bij een gemiddeld jaarkilometrage van 18.200 kilometer en een verbruik van 187 Wattuur per kilometer betaal je aan een openbare laadpaal ongeveer 1530 euro per jaar, uitgaande van een gemiddeld tarief van 45 cent per kWh.

Thuisladen is merkbaar voordeliger. Met een vast of variabel contract komt het gemiddelde tarief momenteel op 28 cent per kWh, wat neerkomt op 952 euro per jaar. EV-rijders met een dynamisch contract betaalden bij Zonneplan de afgelopen twaalf maanden gemiddeld 22 cent per kWh, wat resulteert in een jaarlijkse kostenpost van 748 euro. Bovendien hebben veel thuisladende elektrische rijders zonnepanelen, waardoor ze een groot deel van het jaar gratis kunnen laden.

Kosten

De mogelijkheden voor het opladen van een elektrische auto via de stoep zijn afhankelijk van het beleid van de gemeente waarin je woont. De kosten voor thuisladen variëren tussen de 748 en 952 euro per jaar, afhankelijk van je energiecontract, terwijl opladen aan een openbare laadpaal gemiddeld 1530 euro per jaar kost.

Bij ID.nl zijn we dol op kwaliteitsproducten waar je niet de hoofdprijs voor betaalt. Daarom speuren we een paar keer per week binnen een bepaald thema naar zulke deals. Je favoriete muziek of podcast luister je het liefst overal en wanneer het jou uitkomt. Dat doe je natuurlijk het best met je eigen oortjes in. We hebben vijf draadloze setjes voor minder dan 75 euro voor je gevonden.

Draadloze oordopjes zijn ontzettend praktisch, want zonder kabels heb je alle bewegingsvrijheid die je wilt, ideaal voor onderweg of tijdens het sporten. Ze zijn klein, licht en passen makkelijk in je zak of tas. De geluidskwaliteit is tegenwoordig prima en veel oordopjes hebben ook noise cancelling, waardoor je minder last hebt van omgevingsgeluid zoals pratende collega's of treingeluiden.

JLab GO Air Sport True Wireless

De JLab GO Air Sport is vooral gericht op sporters die oordopjes zoeken die goed blijven zitten. Dankzij de oorhaakconstructie blijven ze ook tijdens beweging op hun plek. De behuizing is eenvoudig, maar handig is wel de ingebouwde usb-kabel waarmee je de oplaadcase direct in een usb-poort kunt steken. Water- en zweetbestendigheid zijn op orde, wat ze geschikt maakt voor in de sportschool of tijdens een regenachtige wandeling. Bluetooth 5.1 zorgt voor een stabiele verbinding, en hoewel je geen geavanceerde geluidsinstellingen hebt, is de bediening met tikbewegingen eenvoudig genoeg.

🔋 Opgegeven batterijduur: 8 uur / 32 uur totaal met case
⚡ Oplaadtijd: 2 uur

JBL Wave Beam

De JBL Wave Beam is een degelijke keuze voor wie gewoon draadloze oordopjes zoekt zonder poespas. Het ontwerp is compact en qua geluid is er een duidelijke nadruk op bas, zoals je van JBL mag verwachten. Ze zijn niet waterdicht, maar wel enigszins beschermd tegen spatwater. Opladen gaat snel, en de case is klein genoeg om makkelijk in je zak mee te nemen. Bluetooth 5.2 zorgt voor een stabiele verbinding, maar verwacht geen ondersteuning voor high-res audio of geavanceerde ruisonderdrukking. Deze oordopjes zijn vooral bedoeld voor mensen die onderweg muziek luisteren of bellen en daarbij niet te veel willen instellen.

🔋 Batterijduur: 8 uur per oordopje / 32 uur totaal met case
⚡ Oplaadtijd: 2 uur

Sony WF-C700N

De Sony WF-C700N is een betaalbaar model met actieve ruisonderdrukking, iets wat je niet vaak ziet in deze prijsklasse. De oordopjes zitten licht en stevig in je oor en ze voelen comfortabel, ook bij langer gebruik. Handig is dat ze automatisch aanpassen aan je omgeving, bijvoorbeeld wanneer je onderweg bent of op kantoor. De app van Sony biedt wat extra instellingen, zoals geluidsprofielen of een persoonlijke equalizer. De IPX4-rating betekent dat je je geen zorgen hoeft te maken over zweet of lichte regen.

🔋 Batterijduur: 7,5 uur met ANC / 15 uur totaal met case
⚡ Oplaadtijd: 1,5 uur

Huawei FreeBuds 5i

De Huawei FreeBuds 5i bieden opvallend veel functies voor de prijs. Ze ondersteunen hi-res audio via LDAC, waardoor muziek beter tot zijn recht komt – mits je telefoon dit ook ondersteunt. De actieve ruisonderdrukking werkt redelijk goed, vooral bij kantoorgeluiden of tijdens reizen. Ook prettig is dat ze aan meerdere apparaten tegelijk gekoppeld kunnen worden, bijvoorbeeld je laptop én je telefoon. De afwerking is netjes en de bediening werkt vlot via tikbewegingen. Ze zijn bestand tegen stof en spatwater, dus ook bruikbaar in wisselende omstandigheden. Voor wie flexibiliteit zoekt en goede functies zonder de hoofdprijs te betalen, zijn dit interessante oordopjes.

🔋 Batterijduur: 6 uur met ANC / 28 uur totaal met case
⚡ Oplaadtijd: 1,5 uur

Sony WF-C500

De Sony WF-C500 zijn eenvoudige maar fijne oordopjes voor dagelijks gebruik. Ze missen luxe functies zoals ruisonderdrukking, maar maken dat goed met hun stevige batterijduur en betrouwbare prestaties. Het geluid is verrassend gebalanceerd en kan via de Sony-app nog wat worden bijgesteld. De oordopjes zijn klein en licht, waardoor je ze bijna niet voelt zitten. Dankzij IPX4 zijn ze beschermd tegen spatwater, dus geen problemen tijdens een korte regenbui of sportsessie. Je krijgt geen fancy draadloze functies, maar wel een degelijke bouw en gebruiksgemak dat precies doet wat je nodig hebt.

🔋 Batterijduur: 10 uur per oordopje / 20 uur totaal met case
⚡ Oplaadtijd: 2,5 uur