Instalar software de una fuente no verificada

Sí, la herramienta puede acceder a sus archivos después de instalarla y ejecutarla.

Es correcto que el sandboxing es una técnica para limitar el acceso de una aplicación a los archivos y otros recursos para contener los efectos de los virus, etc. Sin embargo, sólo las aplicaciones de la App Store son sandbox por defecto. Las aplicaciones descargadas de terceros no suelen tener sandboxing.

Sin embargo, puedes crear tu propio sandbox para una aplicación de terceros utilizando exactamente el mismo sandbox, llamado SeatBelt, que se utiliza para las aplicaciones del App Store. Sin embargo, no es tan fácil definir un "buen" perfil de caja de arena que permita sólo lo que usted quiere que la aplicación acceda, y deshabilite el resto.

En general puedes ejecutar tu aplicación en sandbox así desde Terminal.app:

sandbox-exec -f definition.sb /Applications/MyApp.app/Contents/MacOS/MyApp

aquí definition.sb debe ser sustituido por el nombre de un archivo de definición de la caja de arena, que ha creado para la aplicación. Obviamente, MyApp.app debe ser sustituido por el nombre de la aplicación que está tratando de sandbox.

Puedes inspeccionar las definiciones de sandbox por defecto del sistema en /usr/share/sandbox para inspirarte. También puedes encontrar definiciones hechas por la comunidad para aplicaciones populares como Skype y Firefox, por ejemplo, descargándolas desde aquí:

https://github.com/pansen/MacOS-sandbox-profiles https://github.com/s7ephen/OSX-Sandbox--Seatbelt--Profiles

También puedes echar un vistazo a la documentación orientada a los desarrolladores que Apple proporciona para su sandbox SeatBelt:

https://developer.apple.com/library/content/documentation/Security/Conceptual/AppSandboxDesignGuide/AboutAppSandbox/AboutAppSandbox.html

También aquí hay un enlace a una entrada de blog / tutorial sobre cómo crear definiciones simples, pero poderosas:

https://paolozaino.wordpress.com/2015/08/04/how-to-run-your-applications-in-a-mac-os-x-sandbox-to-enhance-security/

Su ejemplo muestra cómo permitir la lectura o ciertas carpetas, pero no otras - y similarmente negar a una aplicación el derecho a escribir en archivos y carpetas específicas.

Un simple archivo de definición de la caja de arena podría tener este aspecto:

(version 1)
(allow default)
(deny network*)

Cuando ejecute su aplicación con sandbox-exec utilizando ese archivo .sb, su aplicación se ejecutará sin acceso a la red.