毎日使用しているユーザー（XY）以外のユーザー（XY）を使用して、OpenBSDデスクトップでWebブラウザ（xxxterm）を実行したいと思います。私のローカルコンピュータでssh -Xを使用してブラウザにアクセスします（またはより良いソリューションはありますか？）。 Webブラウザには、オーディオ、Flash、html5、JAVA、プラグイン、JAVASCRIPTなどは必要ありません。
できるだけ最小限の権限を持つユーザーを作成する方法は？スキルありますか？ （ユーザーは他のグループではなく自分のグループに属していますか？）
キーワード/ヒントを検索して数時間検索した後、後で「拡張」する必要がありました（ミニガイド）。
mount /home with nodev, nosuid, noexec AND/OR with read-only option?
set high umask for users that are not XY
minimal groups needed for user
regularly check that the user isn't in the sudoers file
no o+rwx on the files in the system or suids
**restricted shell for the user?**
systrace restrictions? (or doesn't worth it?*)
pf limitations - user uid only needs http https ftp dns - no other network needed for any user besides root
put the webbrowsing in a qemu vm??
security/limits.conf - ulimit for the user?
chroot the xxxterm?
xxxterm as shell? (instead of ksh?)
only let a few dozen MByte quota for the user or zero?
guest session like? - start with a clear QEMU guest or chrome directory at every chrome exit/start?
privoxy for filtering chrome traffic? (proxy can be set to anything by the XY user..)
can pf limit that what process can use http https ftp dns?
このガイドが完成したら、ゾンビターミネーターアポカリプスで役に立つと思います：D
ベストアンサー1
（質問のタイトルにもかかわらず）小さなサンドボックス以外のものに影響を与えることができない完全に隔離されたブラウザインスタンスが必要な場合は、単に仮想マシンを実行して何らかの方法で配信することをお勧めします。それに接続するX11転送を除く。この場合、SSHを使用するか暗号化を使用するかは重要ではありません。実際に転送中のデータを保護したくないので、あるアプリケーションを他のすべてのアプリケーションから分離したいからです。ブラウザと他のすべてを実行します。ブラウザに関する限り、オペレーティングシステムが仮想マシンにインストールされていると見て、その影響権の外には何もありません。
VNC、Microsoft Remote Desktop、または同様のものが機能します。 X11 転送は、これらの選択肢が提供しない方法で生データ ストリームを公開するため、使用されなくなりました。これにより、両側で実行されている悪意のあるアプリケーションが、ユーザーが実行するすべてのタスクをスヌーピングしてセキュリティ上の利点を無効にすることができます。 （これはrootを必要とせず、Xセッションがあるため、独自のアクセスのみが必要です。）もちろん、ブラウザが許可する場合Webページそのようなデータにアクセスしてください。
仮想マシンの外部で実行されている悪意のあるアプリケーションが、仮想マシン内のブラウザを使用して実行する操作をスヌーピングするのを防ぐことはできませんが、仮想マシン内の悪意のあるアプリケーションが仮想マシンの外部で実行されているすべてのアイテムをスヌーピングするのを防ぎます。する必要があります。