Docker-ecosysteem beveiligd: Docker-ondertekening en inhoudsvertrouwen verkennen

Docker is een open-sourceplatform dat ontwikkelaars helpt bij het automatiseren van de implementatie, schaalbaarheid en het beheer van applicaties. Docker vereenvoudigt het beheer van applicaties door containers te creëren. Deze containers bundelen code en afhankelijkheden, zodat de software of applicatie soepel en betrouwbaar van de ene computeromgeving naar de andere draait.

Docker-containers zijn lichtgewicht en standalone, wat betekent dat ze overal kunnen draaien: op uw lokale machine, in een datacenter, in de cloud of in een combinatie van deze omgevingen. Deze draagbaarheid en consistentie maken Docker een populaire tool voor ontwikkelaars en operationele teams (DevOps) om samen te werken, hun applicaties te ontwikkelen, te verzenden en uit te voeren.

Daarnaast is Docker-ondertekening is een beveiligingsfunctie die Docker biedt, bekend als Docker Content Trust (DCT). Docker Content Trust gebruikt digitale handtekeningen om de integriteit en de uitgever van alle gegevens die via een register via welk kanaal dan ook worden ontvangen, te verifiëren

DCT wordt aangestuurd door Notary en The Update Framework (TUF), open-sourceprojecten die zijn ontworpen om de distributie van content te beveiligen. Wanneer DCT is ingeschakeld, ondertekent Docker automatisch images tijdens pushbewerkingen en verifieert het images tijdens pullbewerkingen. Dit garandeert de authenticiteit, integriteit en actualiteit van uw content.

Docker-ondertekening zorgt er in essentie voor dat de images die u in uw containers gebruikt, precies zijn wat u ervan verwacht. Dit voorkomt manipulatie of beschadiging tijdens de overdracht en zorgt ervoor dat derden de images niet hebben gemanipuleerd. Dit is cruciaal in een beveiligingscontext, omdat het voorkomt dat ongeautoriseerde of schadelijke code aan uw containers wordt toegevoegd.

Ontwikkeling van Docker Content Trust: aanpakken van kwetsbaarheden in het Docker-ecosysteem

Docker Content Trust (DCT), dat Docker-ondertekening mogelijk maakt, is ontwikkeld om te voldoen aan de behoefte aan verbeterde beveiliging in het containerecosysteem. Het toenemende gebruik van containers en Docker-images in ontwikkel- en implementatiepipelines bracht potentiële kwetsbaarheden in het ecosysteem aan het licht die moesten worden aangepakt.

Hieronder staan ​​enkele van de belangrijkste kwetsbaarheden die hebben geleid tot de ontwikkeling van Docker-ondertekening:

• Beeldauthenticiteit

  Voordat Docker-ondertekening werd geïntroduceerd, was er veel werk nodig om de authenticiteit van Docker-images te bepalen. Gebruikers konden onbedoeld schadelijke of gemanipuleerde images downloaden en gebruiken zonder het te beseffen.

• Beeldintegriteit

  Zonder Docker-ondertekening was het moeilijk om te garanderen dat er tijdens de overdracht of opslag niet met de Docker-images was geknoeid. Dit betekende dat, zelfs als de originele image veilig en legitiem was, deze gewijzigd en schadelijk kon zijn.

• Beeldversheid

  Zonder een systeem dat de actualiteit van Docker-images garandeert, kunnen gebruikers verouderde en mogelijk onveilige images downloaden en gebruiken.

• Beveiliging van de toeleveringsketen

  Naarmate Docker en andere containertechnologieën populairder werden, werden ze gebruikt in complexere en kritiekere systemen. Dit maakte de beveiliging van de toeleveringsketen – de reeks processen die betrokken zijn bij het bouwen, implementeren en uitvoeren van Docker-images – een kritiek punt van zorg. Zonder Docker-ondertekening was er een gebrek aan vertrouwen in de toeleveringsketen.

• Vertrouwen bij eerste gebruik (TOFU):

  Voordat Docker-ondertekening mogelijk was, kon Docker, als u een afbeelding ophaalde die u nog niet eerder had opgehaald, niet controleren of de afbeelding wel intact was en of ermee was geknoeid.

Deze kwetsbaarheden kunnen leiden tot ernstige beveiligingsinbreuken. Met de introductie van Docker Signing en Docker Content Trust heeft Docker een belangrijke stap gezet in de verbetering van de beveiliging van het Docker-ecosysteem en de bijbehorende toeleveringsketens. Gebruikers kunnen er nu op vertrouwen dat de Docker-images die ze downloaden en gebruiken authentiek, ongewijzigd en up-to-date zijn.

Voordelen van Docker Signing: Verbetering van de beveiliging

Docker Content Trust (DCT), dat Docker-ondertekening mogelijk maakt, biedt talloze voordelen, met name wat betreft de beveiliging en integriteit van Docker-images. Enkele van de belangrijkste voordelen van Docker-ondertekening:

• Beeldauthenticiteit

  Docker-ondertekening garandeert dat de images die uit een register worden gehaald authentiek zijn. Dit betekent dat u erop kunt vertrouwen dat de images die u gebruikt, zijn gemaakt door de entiteit waarvan ze beweren dat ze zijn gemaakt.

• Beeldintegriteit

  Docker-ondertekening verifieert dat de images niet zijn gemanipuleerd tijdens de overdracht of opgeslagen in het register. Dit garandeert dat de Docker-images die u gebruikt, exact dezelfde images zijn die oorspronkelijk naar het register zijn gepusht.

• Beveiliging van de toeleveringsketen

  Docker Signing verbetert de beveiliging van uw supply chain door ervoor te zorgen dat de images die u in uw implementatiepijplijnen gebruikt authentiek zijn en niet zijn gemanipuleerd. Dit is met name cruciaal in zakelijke omgevingen waar beveiliging van de supply chain van cruciaal belang is.

• Beeldversheid

  Docker-ondertekening zorgt ervoor dat u de meest recente versie van een Docker-image gebruikt. Dit voorkomt het gebruik van verouderde en mogelijk onveilige images.

• Naleving en controle

  In sectoren waar software aan specifieke normen moet voldoen of controleerbaar moet zijn (bijvoorbeeld in de financiële sector, de gezondheidszorg, enzovoort), biedt Docker-ondertekening een methode om te garanderen en aan te tonen dat er niet is geknoeid met de geïmplementeerde software en dat deze precies is wat ervan verwacht wordt.

• Voorkom Man-in-the-Middle (MITM)-aanvallen

  Docker-ondertekening voorkomt MITM-aanvallen. A MITM-aanval Hierbij geeft de aanvaller heimelijk een bericht door aan twee partijen die denken dat ze rechtstreeks met elkaar praten, en verandert dit mogelijk.

Door de integriteit, authenticiteit en actualiteit van Docker-images te garanderen, maakt Docker-ondertekening het Docker-ecosysteem veel veiliger. Dit is van cruciaal belang, aangezien Docker- en containertechnologieën een steeds belangrijkere rol spelen in moderne ontwikkelings- en implementatiepijplijnen.

Inzicht in de uitdagingen en beperkingen van Docker Content Trust

Hoewel Docker Signing of Docker Content Trust (DCT) veel voordelen biedt, kent het ook enkele beperkingen en mogelijke nadelen waar rekening mee moet worden gehouden:

• Ingewikkeldheid

  Docker-ondertekening vereist het beheer van cryptografische sleutels, wat uw gebruik complexer kan maken. Dit omvat het veilig genereren, opslaan en gebruiken van deze sleutels. Voor grote organisaties met veel ontwikkelaars kan dit aanzienlijke overhead met zich meebrengen.

• Operationele overhead

  Het gebruik van Docker-ondertekening vereist wijzigingen in uw bestaande workflows, inclusief de manier waarop u images pusht en pullt. Dit kan leiden tot extra operationele overhead, vooral tijdens de initiële adoptiefase.

• compatibiliteitsproblemen

  Docker Content Trust is slechts soms compatibel met alle Docker-opdrachten en -opties, wat de bruikbaarheid in bepaalde contexten kan beperken.

• Verloren of gecompromitteerde sleutels

  Als je je privésleutels kwijtraakt, verliezen alle afbeeldingen die ermee ondertekend zijn ook hun betrouwbaarheid. Als je sleutels gecompromitteerd raken, kunnen aanvallers schadelijke afbeeldingen ondertekenen alsof ze jou zijn. Sleutelbeheer is daarom een ​​cruciaal aspect van Docker-ondertekening.

• Afhankelijkheid van Notary Server

  Docker Content Trust is afhankelijk van een Notary-server om de trust te beheren. Deze afhankelijkheid creëert een potentieel punt van falen in uw Docker-workflow.

• Verlengde bouwtijd

  Docker-ondertekening kan de buildtijd enigszins verlengen, omdat er tijdens het buildproces een stap wordt toegevoegd voor het ondertekenen van de image.

• Gebrek aan gedetailleerde controle

  Docker Content Trust werkt op het niveau van de Docker-image, maar biedt geen controle of vertrouwen op het niveau van individuele bestanden of lagen binnen een image. Dit betekent dat u de integriteit of authenticiteit van afzonderlijke componenten van een image niet kunt verifiëren, alleen de image als geheel.

Ondanks deze nadelen blijft Docker-ondertekening een cruciale beveiligingsfunctie voor veel Docker-gebruikers, met name in zakelijke omgevingen of andere omgevingen met een hoge mate van beveiliging. Zoals bij elke beveiligingstool is het belangrijk om de noodzaak van beveiliging af te wegen tegen de operationele overhead en complexiteit die het met zich meebrengt.

Het beperken van de uitdagingen van Docker Content Trust: de aanpak van EC

Om de nadelen van Docker-ondertekening te overwinnen, nemen we verschillende maatregelen:

• Vereenvoudiging van sleutelbeheer

  We maken gebruik van veilige en geautomatiseerde oplossingen voor sleutelbeheer om de complexiteit en het risico van het beheer van cryptografische sleutels te verminderen. Dit kan onder meer bestaan ​​uit: hardware beveiligingsmodules (HSM's) or cloudgebaseerde sleutelbeheeroplossingen.

• Opleiding en documentatie

  We bieden onze ontwikkelaars grondige training en duidelijke, beknopte documentatie. Dit helpt de operationele overhead die gepaard gaat met de implementatie van Docker-ondertekening te beperken en zorgt ervoor dat iedereen het proces en het belang ervan begrijpt.

• Regelmatige audits

  We controleren onze processen regelmatig om ervoor te zorgen dat compatibiliteitsproblemen snel worden opgelost. Dit zorgt ervoor dat Docker-ondertekening volledig in onze workflows kan worden geïntegreerd met minimale verstoring.

• Robuust sleutelherstelproces

  We implementeren een robuust proces voor sleutelherstel in geval van verlies van sleutels. Bovendien beperken we de potentiële impact van gecompromitteerde sleutels door, waar mogelijk, verschillende sleutels te gebruiken voor verschillende images of groepen images.

• Failover-mechanismen

  We implementeren failovermechanismen om ervoor te zorgen dat onze Docker-workflows blijven functioneren, zelfs als de Notary-server niet beschikbaar is. Dit kan betekenen dat we een secundaire Notary-server moeten opzetten of de offline ondertekeningsmogelijkheden van Docker moeten benutten.

• Optimaliseren van bouwtijden

  We optimaliseren ons buildproces continu om eventuele extra buildtijd als gevolg van Docker-ondertekening te compenseren. Dit kan onder meer door builds te paralleliseren of andere onderdelen van het buildproces te optimaliseren.

• Het gebruik van aanvullende beveiligingsmaatregelen

  Ter aanvulling op het vertrouwen op imageniveau dat Docker Content Trust biedt, gebruiken we andere beveiligingsmaatregelen, zoals het scannen op kwetsbaarheden in Docker-images, het verifiëren van de integriteit en authenticiteit van basisimages en het naleven van best practices voor Dockerfile- en imagecreatie.

Door deze maatregelen te nemen, kunnen we de nadelen van Docker-ondertekening aanzienlijk beperken en de beveiligingsvoordelen ervan ten volle benutten.

Docker-images beveiligen met CodeSign Secure van EC

Er zijn bepaalde vereisten voor Docker Image-ondertekening, namelijk:

• Cosign installeren

          
          
    # binary
    wget "https://github.com/sigstore/cosign/releases/download/v2.0.0/cosign-linux-amd64"
    mv cosign-linux-amd64 /usr/local/bin/cosign
    chmod +x /usr/local/bin/cosign
  
    # rpm
    Wget "https://github.com/sigstore/cosign/releases/download/v2.0.0/cosign-2.0.0.x86_64.rpm"
    rpm -ivh cosign-2.0.0.x86_64.rpm
  
    # dkpg
    Wget "https://github.com/sigstore/cosign/releases/download/v2.0.0/cosign_2.0.0_amd64.deb"
    dpkg -i cosign_2.0.0_amd64.deb
          
          
        

• Python en Docker installeren en instellen

  • sudo apt-get install docker.io
  • sudo apt-get install python-is-python3
  • sudo apt installeer python3-pip
  • pip docker installeren
  • sudo apt-get install -y docker-ce-rootless-extras
  • sudo apt-get install -y dbus-user-session
  • docker inloggen

De volgende stap is om de code van GitHub te bekijken:

Voer daarna de volgende stappen uit:

• Terminal openen.

• Uitvoeren –

  ./ec-signer –project_name=<certificate name> --image_name=<target container> --docker_username=<your docker username> --docker_passwd=<your docker password>

Kubernetes moet worden ingezet om de containerimage te verifiëren, wat kan worden gedaan vanaf hier.

Implementeer nu de volgende twee services:

• Afbeeldingvalidatie-webhook

  • Bekijk de code van GitHub en ga vervolgens naar de map – ../VerifyImage/validating-webhook
  • Open terminal

  • Uitvoeren –

    sudo kubectl apply -f webhook-secret.yaml

  • Uitvoeren –

    sudo kubectl apply -f webhook-deploy.yaml

  • Uitvoeren –

    sudo kubectl apply -f webhook-config.yaml

• VerifiërenAfbeelding

  

  • Bekijk de code op GitHub en ga vervolgens naar de map – ../VerifyImage/image-verifier
  • Open terminal

  • Uitvoeren –

    sudo kubectl apply -f validator-deploy.yaml

Nadat de images succesvol zijn geïmplementeerd, voert u de volgende opdracht uit:

Bekijk ook de demo van Docker Signing met behulp van onze EC's CodeSign Secure hier.

Conclusie

Concluderend is Docker Signing een krachtige tool om de beveiliging van Docker-workflows te verbeteren. Het is een cruciaal aspect van Docker, met name in omgevingen met een hoge mate van beveiliging of in zakelijke omgevingen. Zoals bij elke tool is het belangrijk om de beperkingen ervan te begrijpen en te beheren, maar de voordelen die het biedt op het gebied van meer vertrouwen en beveiliging zijn aanzienlijk.