微信号:infoqchina

介绍:有内容的技术社区媒体

【热点】Docker安全性探讨与实践:探讨篇

2014-09-11 21:37 InfoQ

DanielWalsh是计算机安全领域的专家,有30余年的从业经验,非常熟悉容器技术。他2001年加入红帽公司,自20138月期任RHEL Docker增强开发团队主管。著名的SELinux项目就出自他手,该项目关注应用的运行空间和部署策略。Dan还组织开发了安全虚拟化软件sVirt,并创造了SELinux沙盒、Xguest用户以及Secure KioskDan在今年七月参加Docker大会的时候做了一个主题演讲,解释了SELinux的工作原理,Docker如何在SELinux下运行以及强制访问控制是如何增强Docker安全性的。之后,基于这次演讲的视频,他又在开源网站上发表了两篇文章,一篇讨论Docker的安全性,另一篇则着重介绍了RHEL如何对Docker的安全性进行了大量的增强。本文即是Dan这两篇文章的梳理与讨论。

一、 容器的隔离能力不是万能的,应对才是王道

相信很多开发者都默认Docker这样的容器是一种沙盒(sandbox)应用,也就是说他们可以用root权限在Docker中运行随便什么应用,而Docker有安全机制能保护宿主系统。比如,有些人觉得Docker容器里面的进程跟虚拟机里面的进程一样安全;还有的人随便找个源就下载没有验证过的Docker镜像,看都不看内容就在宿主机器上尝试、学习和研究;还有一些提供PaaS服务的公司竟然允许用户向多租户系统中提交自己定制的Docker镜像。请读者注意,上述行为均是不安全的。

难怪有人说:“Docker其实就是从网上不知什么地方下载一堆随机的代码,然后用root权限运行。”现在Docker镜像遇到的情景,跟1999Linux兴起的时候类似:一个管理员觉得一个Linux命令挺酷,就随便从网上什么地方找到这个命令的rpm包,看都不看就安装运行。这显然是自取灭亡的典范。没过几天这个命令就爆出有bug,直接导致整个系统的瘫痪。

这种自取其辱的事情数不胜数,Dan的团队乃至整个红帽公司,就在致力减少类似事件发生的概率。比如一定要从可信源下载软件,定期进行安全更新,长期维护一个安全应急小组以及验证系统安全性的一整套规程。

二、 我们需要在乎容器的安全性么?出乎意料但是显然需要

Dan的团队近期不断提醒开发者,容器内外的权限基本没什么差别。如果开发者不是在多租户系统上运行Docker,并且对Docker里面运行的服务都采取了很好的安全措施,那他们可能的确不用担心Docker爆出什么安全性问题,因为他们把Docker镜像内部和宿主环境同等对待了,这两者之间的安全性确实没什么差别。

但是难免有挺多开发者从直觉出发,觉得Docker容器的安全性就高,这些人往往会把Docker容器机制当作一种更快速部署虚拟机的方法。这时候就需要提醒他们安全性的问题了。从安全角度来看,容器的安全性非常弱。正常来讲,Docker容器机制应该被当作一种服务来看待,就是说跑在Docker镜像上的Apache的安全措施,应该跟跑在自己服务器上的安全措施没什么区别才可以。比如,应该尽可能少的赋予软件各种权限,还应该总是用非root模式运行软件,以及万一在Docker内部用到了root权限,需要谨慎一如在宿主机上一样。

三、 是什么导致了安全漏洞?NameSpace

那么究竟是什么地方导致了Docker容器机制的安全问题呢?简单一句话,Linux系统中不是所有东西都有命名空间(Namespace)。最新版本的Docker有五个命名空间:进程、网络、挂载、宿主和共享内存。如此简单的命名空间显然无法给开发者提供复杂的安全保护。比如在类似KVM的环境里,虚拟机根本无法直接和宿主的内核交互,它没有任何方式可以访问内核文件系统中如/sys/sys/fs这样的地方。在这种情况下,想要脱离虚拟机来攻击宿主,比如要找到HyperVisor的弱点,攻克SELinux控制(这是个挺难的事情),然后才能够染指宿主的文件系统。而在Docker这样的容器里,原生就可以访问宿主的内核,安全性从何而来?

Dan在文章中列举了主流的没有命名空间的内核,有:

  • SELinux

  • Cgroups

  • filesystems under /sys

  • /proc/sys,/proc/sysrq-trigger, /proc/irq, /proc/bus

没有命名空间的设备有:

  • /dev/mem

  • /dev/sd*file system devices

  • KernelModules

如果开发者能访问或者攻击任何一个,就可以获得整个系统的控制权。


 
InfoQ 更多文章 Facebook如何实现PB级别数据库自动化备份 学术派Google软件工程师Matt Welsh谈移动开发趋势 Spotify为什么要使用一些“无聊”的技术? 妹纸们放假了,汉纸们做啥? 大多数重构可以避免
猜您喜欢 Android相机开发那些坑 五个python编写的开源机器学习算法 春节假期你可能错过的好文章(内附开工红包) [连载] 途客们的旅行梦 - 后记 UX/UI,使你的产品拥有病毒式传播力