为什么信号桌面需要 4755 和 root:root 在 chrome-sandbox 上？

Question

当我跑步时signal-desktop，现在我得到，

[2615:0926/162216.901688:FATAL:setuid_sandbox_host.cc(157)]已找到 SUID 沙箱助手二进制文件，但未正确配置。而不是在没有沙箱的情况下运行，我现在正在中止。您需要确保它/opt/Signal/chrome-sandbox由 root 拥有并且模式为 4755。

为什么信号需要以 root:root 身份运行的“沙箱助手”来运行消息传递应用程序？这安全吗？

Answer 1

Signal 是一个 Electron 应用程序，它基本上运行在 Chrome 的专用实例中。为了包含应用程序，Chrome 使用了一个沙箱，它需要 setuid root 才能设置沙箱（这似乎很矛盾）。在 Electron 问题跟踪器中对此进行了一些讨论；总之，Electron 开发人员认为，使用 setuid 帮助程序在 Chrome 沙箱中运行 Electron 应用程序比不使用它们更安全。

从signal-desktop版本 1.27.2 开始，您还可以使用以下命令运行--no-sandbox：

signal-desktop --no-sandbox