Издание на Bottlerocket 1.3, дистрибутив, базиран на изолирани контейнери

Публикувана версия на Linux дистрибуцията Bottlerocket 1.3.0, разработвана с участието на компанията Amazon за ефективно и безопасно стартиране на изолирани контейнери. Инструментите и управляващите компоненти на дистрибуцията са написани на езика Rust и се разпространяват под лицензиите MIT и Apache 2.0. Поддържа се стартиране на Bottlerocket в клъстери Amazon ECS, VMware и AWS EKS Kubernetes, както и създаване на произволни сборки и издания, позволяващи използването на различни инструменти за оркестрация и runtime за контейнери.

Дистрибутивът предоставя атомарно и автоматично обновяемо неделимо системно изображение, включващо ядро Linux и минимална системна среда, съдържаща само компоненти, необходими за стартиране на контейнери. В средата са включени системният мениджър systemd, библиотеката Glibc, сборъчният инструментариум Buildroot, зареждачът GRUB, конфигураторът на мрежата wicked, runtime за изолирани контейнери containerd, платформата за оркестрация на контейнери Kubernetes, аутентификаторът aws-iam-authenticator и агентът Amazon ECS.

Инструментите за оркестрация на контейнери се предоставят в отделен управляващ контейнер, който е включен по подразбиране и се управлява чрез API и AWS SSM Agent. В базовото изображение липсва команден интерфейс, сървър SSH и интерпретируемите езици (например, няма Python или Perl) — средствата за администратори и отладъчните инструменти са изнесени в отделен помощен контейнер, който по подразбиране е деактивиран.

Ключовата разлика от подобни дистрибутиви, като Fedora CoreOS, CentOS/Red Hat Atomic Host, е основната ориентация към предоставяне на максимална сигурност в контекста на усилването на защитата на системата от възможни заплахи, усложняване на експлоатацията на уязвимости в компонентите на ОС и повишаване на изолацията на контейнерите. Контейнерите се създават с помощта на стандартните механизми на ядрото Linux — cgroups, пространства за име и seccomp. За допълнителна изолация в дистрибутива се прилага SELinux в режим „enforcing“.

Коренният дял се монтира в режим само за четене, а дялът с настройки 등 монтируется в tmpfs и възстановява първоначалното състояние след рестарт. Пряко изменение на файловете в каталога 등, като 등/resolv.conf и 등/containerd/config.toml, не се поддържа — за дългосрочно запазване на настройките трябва да се използва API или да се изнасят функции в отделни контейнери. За криптографска проверка на целостта на коренния дял се използва модулът dm-verity, а при установяване на опити за модификация на данни на ниво блоково устройство системата се рестартира.

Повечето системни компоненти са написани на езика Rust, който предоставя средства за безопасна работа с паметта, позволяващи избягване на уязвимости, предизвикани от достъп до зоната на паметта след нейното освобождаване, разименоване на нулеви указатели и извън границите на буфера. При компилиране по подразбиране се използват режимите enable-default-pie и enable-default-ssp, за да се включи рандомизацията на адресното пространство на изпълнимите файлове (PIE) и защита от препълване на стека чрез подмяна на канарен маркер. За пакетите, написани на C/C++, допълнително се включват флаговете -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

В новото издание:

• Устранени са уязвимости в инструментите docker и runtime containerd (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), свързани с неправилна настройка на правата за достъп, което е позволявало на непривилегировани потребители да излизат извън основната директория и да изпълняват външни програми.
• Добавена е възможност за рестартиране на контейнера след промяна на настройките му. поддръжка на IPv6.
• Към пакета eni-max-pods е добавена поддръжка на инстанции Amazon EC2 M6i.
• В open-vm-tools е добавена поддръжка на устройства за филтри, реализирана на базата на инструментите на Cilium.
• За платформата x86_64 е реализиран хибриден режим на зареждане (с поддръжка на EFI и BIOS).
• Актуализирани са версиите на пакетите и зависимостите за езика Rust.
• Спират подкрепата за варианта на дистрибуцията aws-k8s-1.17, базиран на Kubernetes 1.17. Препоръчва се да се използва вариантът aws-k8s-1.21 с поддръжка на Kubernetes 1.21. В вариантите k8s са активирани настройки cgroup runtime.slice и system.slice.
• Публикувана версия на Linux дистрибуцията Bottlerocket 1.3.0, разработвана с участието на компанията Amazon за ефективно и безопасно стартиране на изолирани контейнери.

Източник: opennet.ru