搜索

[23943] 2015-05-31_浅谈Docker隔离性和安全性

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2015-05-31_浅谈Docker隔离性和安全性 浅 谈   D o c k e r   隔 离 性 和 安 全 性 L i n u x 中 国   2 0 1 5 - 0 5 - 3 1 介 绍 相 信 很 多 开 发 者 都 默 认 D o c k e r 这 样 的 容 器 是 一 种 沙 盒 （ s a n d b o x ） 应 用 ， 也 就 是 说 他 们 可 以 用 r o o t 权 限 在 D o c k e r 中 运 行 随 便 什 么 应 用 ， 而 D o c k e r 有 安 全 机 制 能 保 护 宿 主 系 统 。 比 如 ， 有 些 人 觉 得 D o c k e r 容 器 里 面 的 进 程 跟 虚 拟 机 里 面 的 进 程 一 样 安 全 ； 还 有 的 人 随 便 找 个 源 就 下 载 没 有 验 证 过 的 D o c k e r 镜 像 ， 看 都 不 看 内 容 就 在 宿 主 机 器 上 尝 试 、 学 习 和 研 究 ； 还 有 一 些 提 供 P a a S 服 务 的 公 司 竟 然 允 许 用 户 向 多 租 户 系 统 中 提 交 自 己 定 制 的 D o c k e r 镜 像 。 请 注 意 ， 上 述 行 为 均 是 不 安 全 的 。 本 文 将 介 绍 D o c k e r 的 隔 离 性 和 安 全 性 ， 以 及 为 什 么 它 在 隔 离 和 安 全 性 上 不 如 传 统 的 虚 拟 机 。 更 多 信 息 何 谓 安 全 性 ？ 何 谓 安 全 性 ？ 单 单 就 D o c k e r 来 说 ， 安 全 性 可 以 概 括 为 两 点 ： 1 .   不 会 对 主 机 造 成 影 响 2 .   不 会 对 其 他 容 器 造 成 影 响 所 以 安 全 性 问 题 9 0 % 以 上 可 以 归 结 为 隔 离 性 问 题 。 而 D o c k e r 的 安 全 问 题 本 质 上 就 是 容 器 技 术 的 安 全 性 问 题 ， 这 包 括 共 用 内 核 问 题 以 及 N a m e s p a c e 还 不 够 完 善 的 限 制 ： / p r o c 、 / s y s 等 未 完 全 隔 离 T o p ,   f r e e ,   i o s t a t 等 命 令 展 示 的 信 息 未 隔 离 R o o t 用 户 未 隔 离 / d e v 设 备 未 隔 离 内 核 模 块 未 隔 离 S E L i n u x 、 t i m e 、 s y s l o g 等 所 有 现 有 N a m e s p a c e 之 外 的 信 息 都 未 隔 离 当 然 ， 镜 像 本 身 不 安 全 也 会 导 致 安 全 性 问 题 。 真 的 不 如 虚 拟 机 安 全 ？ 真 的 不 如 虚 拟 机 安 全 ？ 其 实 传 统 虚 拟 机 系 统 也 绝 非 1 0 0 % 安 全 ， 只 需 攻 破 H y p e r v i s o r 便 足 以 令 整 个 虚 拟 机 毁 于 一 旦 ， 问 题 是 有 谁 能 随 随 便 便 就 攻 破 吗 ？ 如 上 所
述 ， D o c k e r 的 隔 离 性 主 要 运 用 N a m e s p a c e   技 术 。 传 统 上 L i n u x 中 的 P I D 是 唯 一 且 独 立 的 ， 在 正 常 情 况 下 ， 用 户 不 会 看 见 重 复 的 P I D 。 然 而 在 D o c k e r 采 用 了 N a m e s p a c e ， 从 而 令 相 同 的 P I D 可 于 不 同 的 N a m e s p a c e 中 独 立 存 在 。 举 个 例 子 ， A   C o n t a i n e r   之 中 P I D = 1 是 A 程 序 ， 而 B   C o n t a i n e r 之 中 的 P I D = 1 同 样 可 以 是 A 程 序 。 虽 然 D o c k e r 可 透 过 N a m e s p a c e 的 方 式 分 隔 出 看 似 是 独 立 的 空 间 ， 然 而 L i n u x 内 核 （ K e r n e l ） 却 不 能 N a m e s p a c e ， 所 以 即 使 有 多 个 C o n t a i n e r ， 所 有 的 s y s t e m   c a l l 其 实 都 是 通 过 主 机 的 内 核 处 理 ， 这 便 为 D o c k e r 留 下 了 不 可 否 认 的 安 全 问 题 。 传 统 的 虚 拟 机 同 样 地 很 多 操 作 都 需 要 通 过 内 核 处 理 ， 但 这 只 是 虚 拟 机 的 内 核 ， 并 非 宿 主 主 机 内 核 。 因 此 万 一 出 现 问 题 时 ， 最 多 只 影 响 到 虚 拟 系 统 本 身 。 当 然 你 可 以 说 黑 客 可 以 先 H a c k 虚 拟 机 的 内 核 ， 然 后 再 找 寻 H y p e r v i s o r 的 漏 洞 同 时 不 能 被 发 现 ， 之 后 再 攻 破 S E L i n u x ， 然 后 向 主 机 内 核 发 动 攻 击 。 文 字 表 达 起 来 都 嫌 繁 复 ， 更 何 况 实 际 执 行 ？ 所 以 D o c k e r 是 很 好 用 ， 但 在 迁 移 业 务 系 统 至 其 上 时 ， 请 务 必 注 意 安 全 性 ！ 如 何 解 决 ？ 如 何 解 决 ？ 在 接 纳 了 “ 容 器 并 不 是 全 封 闭 ” 这 种 思 想 以 后 ， 开 源 社 区 尤 其 是 红 帽 公 司 ， 连 同 D o c k e r 一 起 改 进 D o c k e r 的 安 全 性 ， 改 进 项 主 要 包 括 保 护 宿 主 不 受 容 器 内 部 运 行 进 程 的 入 侵 、 防 止 容 器 之 间 相 互 破 坏 。 开 源 社 区 在 解 决 D o c k e r 安 全 性 问 题 上 的 努 力 包 括 ： A u d i t   n a m e s p a c e 作 用 ： 隔 离 审 计 功 能 未 合 入 原 因 ： 意 义 不 大 ， 而 且 会 增 加 a u d i t 的 复 杂 度 ， 难 以 维 护 。 S y s l o g n a m e s p a c e 作 用 ： 隔 离 系 统 日 志 未 合 入 原 因 ： 很 难 完 美 的 区 分 哪 些 l o g 应 该 属 于 某 个 c o n t a i n e r 。 D e v i c e   n a m e s p a c e 作 用 ： 隔 离 设 备 （ 支 持 设 备 同 时 在 多 个 容 器 中 使 用 ） 未 合 入 原 因 ： 几 乎 要 修 改 所 有 驱 动 ， 改 动 太 大 。 T i m e   n a m e s p a c e 作 用 ： 使 每 个 容 器 有 自 己 的 系 统 时 间 未 合 入 原 因 ： 一 些 设 计 细 节 上 未 达 成 一 致 ， 而 且 感 觉 应 用 场 景 不 多 。 T a s k   c o u n t   c g r o u p 作 用 ： 限 制 c g r o u p 中 的 进 程 数 ， 可 以 解 决 f o r k   b o m b 的 问 题 未 合 入 原 因 ： 不 太 必 要 ， 增 加 了 复 杂 性 ， k m e m l i m i t 可 以 实 现 类 似 的 效 果 。 ( 最 近 可 能 会 被 合 入 ) 隔 离 / p r o c / m e m i n f o 的 信 息 显 示 作 用 ： 在 容 器 中 看 到 属 于 自 己 的 m e m i n f o 信 息 未 合 入 原 因 ： c g r o u p f s 已 经 导 出 了 所 有 信 息 ， / p r o c 展 现 的 工 作 可 以 由 用 户 态 实 现 ， 比 如 f u s e 。 不 过 ， 从 0 8 年 c g r o u p / n s 基 本 成 型 后 ， 至 今 还 没 有 新 的 n a m e s p a c e 加 入 内 核 ， c g r o u p 在 子 系 统 上 做 了 简 单 的 补 充 ， 多 数 工 作 都 是 对 原 有
s u b s y s t e m 的 完 善 。 内 核 社 区 对 容 器 技 术 要 求 的 隔 离 性 ， 本 的 原 则 是 够 用 就 好 ， 不 能 把 内 核 搞 的 太 复 杂 。 一 些 企 业 也 做 了 很 多 工 作 ， 比 如 一 些 项 目 团 队 采 用 了 层 叠 式 的 安 全 机 制 ， 这 些 可 选 的 安 全 机 制 具 体 如 下 ： 1 、 文 件 系 统 级 防 护 、 文 件 系 统 级 防 护 文 件 系 统 只 读 ： 有 些 L i n u x 系 统 的 内 核 文 件 系 统 必 须 要 m o u n t 到 容 器 环 境 里 ， 否 则 容 器 里 的 进 程 就 会 罢 工 。 这 给 恶 意 进 程 非 常 大 的 便 利 ， 但 是 大 部 分 运 行 在 容 器 里 的 A p p 其 实 并 不 需 要 向 文 件 系 统 写 入 数 据 。 基 于 这 种 情 况 ， 开 发 者 可 以 在 m o u n t 时 使 用 只 读 模 式 。 比 如 下 面 几 个 ：   / s y s   、 / p r o c / s y s   、 / p r o c / s y s r q - t r i g g e r   、   / p r o c / i r q 、 / p r o c / b u s 写 入 时 复 制 （ C o p y - O n - W r i t e ） ： D o c k e r 采 用 的 就 是 这 样 的 文 件 系 统 。 所 有 运 行 的 容 器 可 以 先 共 享 一 个 基 本 文 件 系 统 镜 像 ， 一 旦 需 要 向 文 件 系 统 写 数 据 ， 就 引 导 它 写 到 与 该 容 器 相 关 的 另 一 个 特 定 文 件 系 统 中 。 这 样 的 机 制 避 免 了 一 个 容 器 看 到 另 一 个 容 器 的 数 据 ， 而 且 容 器 也 无 法 通 过 修 改 文 件 系 统 的 内 容 来 影 响 其 他 容 器 。 2 、 、 C a p a b i l i t y 机 制 机 制 L i n u x 对 C a p a b i l i t y 机 制 阐 述 的 还 是 比 较 清 楚 的 ， 即 为 了 进 行 权 限 检 查 ， 传 统 的 U N I X 对 进 程 实 现 了 两 种 不 同 的 归 类 ， 高 权 限 进 程 （ 用 户 I D 为 0 ， 超 级 用 户 或 者 r o o t ） ， 以 及 低 权 限 进 程 （ U I D 不 为 0 的 ） 。 高 权 限 进 程 完 全 避 免 了 各 种 权 限 检 查 ， 而 低 权 限 进 程 则 要 接 受 所 有 权 限 检 查 ， 会 被 检 查 如 U I D 、 G I D 和 组 清 单 是 否 有 效 。 从 2 . 2 内 核 开 始 ， L i n u x 把 原 来 和 超 级 用 户 相 关 的 高 级 权 限 划 分 成 为 不 同 的 单 元 ， 称 为 C a p a b i l i t y ， 这 样 就 可 以 独 立 对 特 定 的 C a p a b i l i t y 进 行 使 能 或 禁 止 。 通 常 来 讲 ， 不 合 理 的 禁 止 C a p a b i l i t y ， 会 导 致 应 用 崩 溃 ， 因 此 对 于 D o c k e r 这 样 的 容 器 ， 既 要 安 全 ， 又 要 保 证 其 可 用 性 。 开 发 者 需 要 从 功 能 性 、 可 用 性 以 及 安 全 性 多 方 面 综 合 权 衡 C a p a b i l i t y 的 设 置 。 目 前 D o c k e r 安 装 时 默 认 开 启 的 C a p a b i l i t y 列 表 一 直 是 开 发 社 区 争 议 的 焦 点 ， 作 为 普 通 开 发 者 ， 可 以 通 过 命 令 行 来 改 变 其 默 认 设 置 。 3 、 、 N a m e S p a c e 机 制 机 制 D o c k e r 提 供 的 一 些 命 名 空 间 也 从 某 种 程 度 上 提 供 了 安 全 保 护 ， 比 如 P I D 命 名 空 间 ， 它 会 将 全 部 未 运 行 在 开 发 者 当 前 容 器 里 的 进 程 隐 藏 。 如 果 恶 意 程 序 看 都 看 不 见 这 些 进 程 ， 攻 击 起 来 应 该 也 会 麻 烦 一 些 。 另 外 ， 如 果 开 发 者 终 止 p i d 是 1 的 进 程 命 名 空 间 ， 容 器 里 面 所 有 的 进 程 就 会 被 全 部 自 动 终 止 ， 这 意 味 着 管 理 员 可 以 非 常 容 易 地 关 掉 容 器 。 此 外 还 有 网 络 命 名 空 间 ， 方 便 管 理 员 通 过 路 由 规 则 和 i p t a b l e 来 构 建 容 器 的 网 络 环 境 ， 这 样 容 器 内 部 的 进 程 就 只 能 使 用 管 理 员 许 可 的 特 定 网 络 。 如 只 能 访 问 公 网 的 、 只 能 访 问 本 地 的 和 两 个 容 器 之 间 用 于 过 滤 内 容 的 容 器 。 4 、 、 C g r o u p s 机 制 机 制 主 要 是 针 对 拒 绝 服 务 攻 击 。 恶 意 进 程 会 通 过 占 有 系 统 全 部 资 源 来 进 行 系 统 攻 击 。 C g r o u p s 机 制 可 以 避 免 这 种 情 况 的 发 生 ， 如 C P U 的 c g r o u p s 可 以 在 一 个 D o c k e r 容 器 试 图 破 坏 C P U 的 时 候 登 录 并 制 止 恶 意 进 程 。 管 理 员 需 要 设 计 更 多 的 c g r o u p s ， 用 于 控 制 那 些 打 开 过 多 文 件 或 者 过 多 子 进 程 等 资 源 的 进 程 。 5 、 、 S E L i n u x S E L i n u x 是 一 个 标 签 系 统 ， 进 程 有 标 签 ， 每 个 文 件 、 目 录 、 系 统 对 象 都 有 标 签 。 S E L i n u x 通 过 撰 写 标 签 进 程 和 标 签 对 象 之 间 访 问 规 则 来 进 行 安 全 保 护 。 它 实 现 的 是 一 种 叫 做 M A C （ M a n d a t o r y   A c c e s s   C o n t r o l ） 的 系 统 ， 即 对 象 的 所 有 者 不 能 控 制 别 人 访 问 对 象 。 安 全 建 议 安 全 建 议 最 简 单 的 就 是 不 要 把 D o c k e r 容 器 当 成 可 以 完 全 替 代 虚 拟 机 的 东 西 。 跑 在 D o c k e r 容 器 中 的 应 用 在 很 长 一 段 时 间 内 都 将 会 是 选 择 性 的 ， 通 常 只 跑 测 试 系 统 或 可 信 业 务 。 门 槛 再 高 一 点 ， 我 们 对 系 统 做 减 法 ， 通 过 各 种 限 制 来 达 到 安 全 性 。 这 也 是 最 主 流 的 、 有 效 的 安 全 加 固 方 法 ， 比 如 上 一 章 节 介 绍 的 几 种 安 全 机 制 。 同 时 一 定 要 保 证 内 核 的 安 全 和 稳 定 。 外 部 工 具 的 监 控 、 容 错 等 系 统 也 必 不 可 少 。 总 之 通 过 适 配 、 加 固 的 D o c k e r 容 器 方 案 ， 在 安 全 性 上 完 全 可 以 达 到 商 用 标 准 。 就 是 可 能 对 实 施 人 员 的 技 术 要 求 和 门 槛 较 高 。 参 考
D o c k e r 在 线 文 档 ： D o c k e r   S e c u r i t y O p e n S o u r c e . c o m ： B r i n g i n g   n e w   s e c u r i t y   f e a t u r e s   t o   D o c k e r I n f o Q ： 从 社 区 和 内 核 看 D o c k e r 隔 离 性 和 安 全 性 发 展 来 源 ： h t t p s : / / c o m m u n i t y . e m c . c o m / d o c s / D O C - 4 4 9 3 0 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理