Awesome GitHub RepositoriesApplication Sandboxing

This repository provides a collection of interactive sample applications and reference implementations for the Electron framework. It serves as a library of API reference demos designed to help developers learn how to implement core desktop features. The project features visual demonstrations of cross-platform GUI management and practical examples of native operating system integration. It includes dedicated samples for handling native modules, crash reports, and the configuration of security implementations such as content security policies and process sandboxing. The codebase covers a broa

This project is a comprehensive security suite and knowledge base focused on the engineering and construction of trustworthy digital and physical systems. It provides a systematic framework for security engineering design, covering the establishment of high-assurance architectures and the implementation of security models that govern how a system achieves its safety goals. The project is distinguished by its focus on formal assurance and adversarial deterrence. It includes methodologies for creating security assurance cases and proofs to verify system trustworthiness, alongside economic and t

Firejail is a Linux application sandbox and kernel security wrapper that isolates untrusted applications from the host system. It uses kernel namespaces and seccomp filters to restrict filesystem access, drop kernel capabilities, and limit the system attack surface. The project is distinguished by its use of predefined security profiles to automatically apply filesystem restrictions and syscall limits based on the executable being launched. It provides specialized isolation for portable packages such as AppImages and implements X11 display isolation via proxy servers to prevent keyboard loggi

Bubblewrap is a Linux sandbox runner that creates lightweight, isolated execution environments for running untrusted applications. It combines Linux user, mount, network, PID, and UTS namespaces with seccomp-BPF system call filtering to restrict filesystem, network, process, and inter-process communication access. The project provides comprehensive process isolation by giving each sandbox its own private tmpfs root with selective bind-mounts, a separate network stack containing only a loopback interface, an independent process ID space, and remapped user and group identifiers. It applies secc

Dieses Projekt ist ein Microsoft Teams Linux-Client, der als nativer Desktop-Wrapper für den webbasierten Kommunikationsdienst fungiert. Er nutzt eine Electron-basierte Shell, um Systemintegration und Fensterverwaltung für die Anwendung auf Linux-Plattformen bereitzustellen. Der Client zeichnet sich durch einen Multi-Account-Sitzungsmanager aus, der Sitzungspartitionierung und isolierte Datenverzeichnisse verwendet, um den gleichzeitigen Zugriff auf mehrere Profile und Tenants zu ermöglichen. Er integriert sich zudem in die Hausautomation via MQTT-Bridge, veröffentlicht Präsenz- und Anrufstatus an einen Message-Broker und empfängt Fernbefehle, um Anwendungsaktionen auszulösen. Die Software deckt ein breites Spektrum an systemnahen Funktionen ab, einschließlich Enterprise-Authentifizierung mit SSO und sicherem Token-Speicher, Wayland-kompatiblem Screen-Sharing und Chromium-Engine-Tweaking durch Plattform-Emulation. Sie enthält zudem Tools für Medienoptimierung, globale Tastaturkürzel und native Desktop-Benachrichtigungsintegration. Das Projekt verwaltet Softwareversionen über ein Paket-Update-System, das Delta-Updates unterstützt.

Flatpak is a sandboxed application framework and standardized packaging format for Linux desktop applications. It functions as a distribution system that allows a single application bundle to run consistently across multiple Linux operating systems without requiring per-distribution builds. The project provides a runtime dependency manager that bundles specific library versions or shared runtimes to create predictable execution environments. It includes a sandbox permission manager to control application access to system hardware and resources, ensuring security and consistent behavior betwee

Das Windows App SDK ist eine Reihe von APIs und UI-Frameworks für die Erstellung nativer Windows-Desktopanwendungen. Es bietet eine Windows-Runtime-API für den Zugriff auf Systemfunktionen und ein dediziertes UI-Framework für die Erstellung responsiver, barrierefreier Oberflächen. Das Projekt fungiert zudem als Deployment-Framework für Desktop-Apps und als lokale KI-Ausführungsumgebung für das Ausführen hardwarebeschleunigter Modelle auf CPUs, GPUs und NPUs. Das SDK zeichnet sich dadurch aus, dass es die Modernisierung von Legacy-Anwendungen ermöglicht, indem Entwickler moderne Steuerelemente und Plattformfunktionen in bestehende Projekte einbetten können, ohne eine vollständige Neuentwicklung. Es nutzt eine native C++-Projektion für performante Systeminteraktionen und verwendet NuGet-basierte Verteilung, um die Framework-Version vom Betriebssystem zu entkoppeln und Side-by-Side-Runtime-Ausführung zu unterstützen. Breite Funktionsbereiche umfassen umfassendes Application-Lifecycle-Management, hardwarebeschleunigtes visuelles Rendering und flexible Bereitstellungsoptionen für sowohl paketierte als auch nicht-paketierte Anwendungen. Es deckt zudem Ressourcenmanagement für lokalisierte Assets, prozessisolierte Sandboxing-Sicherheit sowie Integration für systemweite Benachrichtigungen und Widgets ab. Das Framework unterstützt strukturelle Muster wie die Model-View-ViewModel-Architektur, um Anwendungsdaten von der Benutzeroberfläche zu entkoppeln.

Hyperlight ist ein eingebetteter Virtual-Machine-Manager, der darauf ausgelegt ist, Gast-Binärdateien innerhalb von hardwareisolierten Code-Sandboxes auszuführen. Er nutzt einen KVM-Micro-VM-Manager, um nicht vertrauenswürdigen Code von Drittanbietern auszuführen, wobei strikte Speichergrenzen erzwungen werden, um unbefugten Host-Zugriff zu verhindern. Das Projekt bietet eine Gast-Host-Funktionsbrücke, die eine bidirektionale Kommunikation ermöglicht, sowie ein State-Snapshot-Tool zum Speichern und Wiederherstellen des Speicherzustands einer Sandbox, um die Startlatenz zu reduzieren. Das System umfasst eine Toolchain für die Cross-Kompilierung von Gast-Binärdateien sowie Mechanismen zur Verwaltung von Ressourcenbeschränkungen, wie z. B. feste Heap- und Stack-Speicherzuweisungen. Es stellt Primitive bereit, um spezifische Funktionen innerhalb des Gastes aufzurufen und Host-Funktionen für den kontrollierten Ressourcenzugriff zu registrieren.

sudo-rs ist ein Low-Level-Systemdienstprogramm und ein privilegierter Befehlsausführer, der in Rust geschrieben wurde. Es bietet eine speichersichere Implementierung von sudo und su zum Ausführen von Programmen mit Superuser- oder alternativen Benutzerrechten und zum Wechseln von Sitzungsprivilegien zu anderen lokalen Benutzeridentitäten. Das Projekt integriert sich in Kernel-Sicherheitsmodule, um als sandboxed Prozess-Launcher zu fungieren, der Systemressourcen und Prozessfunktionen während der Ausführung einschränkt. Das Dienstprogramm umfasst Unterstützung für mehrsprachige Systemlokalisierung und nutzt kompilierte Message-Kataloge, um übersetzten UI-Text basierend auf dem System-Locale bereitzustellen.

Harden-Windows-Security is a security hardening tool and framework designed to reduce the attack surface of the Windows operating system through policy enforcement. It provides a collection of security presets and templates to implement official hardening standards across multiple devices. The project distinguishes itself through a comprehensive execution control system, featuring a manager for Windows Application Control and a kernel protection suite. It implements strict trust models, including kernel-mode driver whitelisting, signed policy implementation on the EFI partition, and code inte

Olares is a comprehensive suite of self-hosted identity, storage, AI, and orchestration services designed for private infrastructure management. It functions as a Kubernetes home server orchestrator, enabling the deployment of containerized applications, AI models, and GPU resources on local hardware to replace third-party cloud services. The platform distinguishes itself through a combination of self-hosted AI infrastructure for running large language models and image generators, alongside a decentralized identity manager that uses cryptographic keys and OIDC for trustless authentication. It

Archestra is a platform for enterprise AI agent deployment and Model Context Protocol orchestration. It provides a centralized system for configuring specialized agents with specific system prompts and toolsets, and managing the deployment of Model Context Protocol servers that provide large language models with external tools and data sources. The system features an AI agent gateway that exposes configured agents as networked services for external clients and integrated development environments. It incorporates a security suite that provides deterministic guardrails to prevent prompt injecti

Dify-sandbox is a secure runtime environment designed for the execution of untrusted code snippets. It functions as a containerized sandbox that isolates processes from the host operating system, ensuring that arbitrary scripts can be run without granting them unauthorized access to sensitive data or critical system resources. The project distinguishes itself through a multi-layered security approach that combines kernel-level isolation with strict resource management. By utilizing Linux namespaces and container-based process isolation, it partitions system resources to maintain visibility bo