Erscheinung von Bottlerocket 1.3, einer Distribution basierend auf isolierten Containern

Die neue Version des Linux-Distribution Bottlerocket 1.3.0 wurde veröffentlicht. Diese wird in Zusammenarbeit mit Amazon entwickelt und dient dem effektiven und sicheren Betrieb isolierter Container. Die Werkzeuge und Verwaltungskomponenten der Distribution sind in Rust geschrieben und stehen unter den Lizenzen MIT und Apache 2.0 zur Verfügung. Bottlerocket unterstützt Einsätze in Amazon ECS-Clustern, VMware sowie AWS EKS Kubernetes und ermöglicht die Erstellung individueller Builds und Editierungen, die den Einsatz verschiedener Orchestrierungswerkzeuge und Runtime-Umgebungen für Container zulassen.

Die Distribution bietet ein atomar und automatisch aktualisierbares, unteilbares System-Image, das den Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die erforderlichen Komponenten zum Starten von Containern enthält. In der Umgebung kommen der Systemmanager systemd, die Glibc-Bibliothek, das Buildroot-Bausystem, der Bootloader GRUB, der Netzwerk-Configurator wicked, die Runtime für isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Agent von Amazon ECS zum Einsatz.

Container-Orchestrierungswerkzeuge werden in einem separaten Management-Container bereitgestellt, der standardmäßig aktiviert ist und über die API und AWS SSM Agent verwaltet wird. Im Basis-Image fehlt eine Kommandozeilen-Schnittstelle. der Server SSH und interpretierte Sprachen (z. B. kein Python oder Perl) – Administrations- und Debugging-Tools sind in einen separaten Dienstcontainer ausgelagert, der standardmäßig deaktiviert ist.

Ein wesentliches Unterscheidungsmerkmal zu ähnlichen Distributionen wie Fedora CoreOS, CentOS/Red Hat Atomic Host ist der primäre Fokus auf die Bereitstellung maximaler Sicherheit im Hinblick auf die Verstärkung des Schutzes des Systems gegen potenzielle Bedrohungen, die Erschwernis der Ausnutzung von Schwachstellen in Betriebssystemkomponenten sowie die Erhöhung der Isolation von Containern. Container werden mithilfe der integrierten Mechanismen des Linux-Kernels – cgroups, Namespaces und seccomp – erstellt. Für zusätzliche Isolation wird in der Distribution SELinux im Modus 'enforcing' eingesetzt.

Das Root-Verzeichnis wird im Nur-Lese-Modus gemountet, während das Verzeichnis mit den Einstellungen "/etc" in tmpfs gemountet wird und nach einem Neustart den ursprünglichen Zustand wiederherstellt. Direkte Änderungen an Dateien im Verzeichnis "/etc", wie z.B. "/etc/resolv.conf" und "/etc/containerd/config.toml", werden nicht unterstützt – für die dauerhafte Speicherung von Einstellungen sollte die API verwendet oder die Funktionalität in separate Container ausgelagert werden. Für die kryptographische Verifizierung der Integrität des Root-Verzeichnisses wird das dm-verity-Modul eingesetzt, und im Falle eines versuchten Datenmodifikationen auf Blockgerätebene wird das System neu gestartet.

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die sicherere Speicherverwaltungsfunktionen bietet, um Schwachstellen wie den Zugriff auf den freigegebenen Speicher, das Dereferenzieren von Nullzeigern und Bufferüberläufe zu vermeiden. Standardmäßig werden die Kompilierungsparameter „—enable-default-pie“ und „—enable-default-ssp“ verwendet, um die Adressraumrandomisierung für ausführbare Dateien (PIE) und den Schutz vor Stacküberläufen durch das Platzieren von Canary-Tags zu aktivieren. Für in C/C++ geschriebene Pakete werden zusätzlich die Flags „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ und „-fstack-clash-protection“ aktiviert.

In der neuen Version:

• Sicherheitsanfälligkeiten im docker-Toolkit und im runtime containerd (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) wurden behoben. Diese hingen mit einer fehlerhaften Berechtigungszuweisung zusammen, die es unprivilegierten Benutzern ermöglichte, über das Basisverzeichnis hinauszugehen und externe Programme auszuführen.
• In kubelet und pluto wurde eine neue Funktion hinzugefügt. IPv6-Unterstützung.
• Es besteht die Möglichkeit, den Container nach einer Änderung seiner Einstellungen neu zu starten.
• Das Paket eni-max-pods unterstützt jetzt Amazon EC2 M6i-Instanzen.
• In open-vm-tools wurde die Unterstützung für Gerätefilter hinzugefügt, die auf dem Cilium-Toolkit basiert.
• Ein hybrider Bootmodus für die x86_64-Plattform wurde implementiert, der sowohl EFI- als auch BIOS-Unterstützung bietet.
• Die Versionen der Pakete und Abhängigkeiten für die Sprache Rust wurden aktualisiert.
• Die Unterstützung für die Distribution aws-k8s-1.17 auf der Basis von Kubernetes 1.17 wurde eingestellt. Es wird empfohlen, die Version aws-k8s-1.21 mit Unterstützung für Kubernetes 1.21 zu verwenden. In den k8s-Versionen werden die Einstellungen cgroup runtime.slice und system.slice verwendet.

Quelle: opennet.ru