{"id":91364,"date":"2020-08-12T07:42:33","date_gmt":"2020-08-12T05:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes"},"modified":"2020-08-12T07:42:33","modified_gmt":"2020-08-12T05:42:33","slug":"izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","title":{"rendered":"\u00c9tude de la s\u00e9curit\u00e9 (manquante) des installations types Docker et Kubernetes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"\u00c9tude
\nJe travaille dans l'informatique depuis plus de 20 ans, mais je n'avais jamais eu l'occasion de m'occuper des conteneurs. En th\u00e9orie, je comprenais comment ils fonctionnent et comment ils sont con\u00e7us. Mais comme je n'avais jamais eu \u00e0 les utiliser en pratique, je n'\u00e9tais pas s\u00fbr de la fa\u00e7on dont ils fonctionnent r\u00e9ellement en coulisse. <\/p>\n

<\/p>\n

De plus, je n'avais aucune id\u00e9e de leur s\u00e9curit\u00e9. Mais encore une fois, la th\u00e9orie semble belle, et l'ancienne chanson \u00ab avec une s\u00e9curit\u00e9 accrue, la facilit\u00e9 d'utilisation diminue \u00bb trottait dans ma t\u00eate. J'ai donc pens\u00e9 que si tout \u00e9tait si facile avec les conteneurs, leur s\u00e9curit\u00e9 devait \u00eatre au plus bas. Il s'est av\u00e9r\u00e9 que j'avais raison.<\/p>\n

<\/a><\/noindex><\/p>\n

Pour un d\u00e9marrage rapide, je me suis inscrit \u00e0 des cours Black Hat<\/a><\/noindex> 2020 intitul\u00e9s \u00abDe la boue \u00e0 la noblesse : p\u00e9n\u00e9tration et protection des environnements Docker Swarm et Kubernetes<\/a><\/noindex>\u00bb. <\/p>\n

<\/p>\n

Le cours, anim\u00e9 par Sheila A. Berta et Sol Ozzan, a imm\u00e9diatement commenc\u00e9 par expliquer comment fonctionnent les conteneurs Docker, ainsi que le parcours qu'ils suivent lors de leur d\u00e9ploiement dans Kubernetes. C'\u00e9tait une s\u00e9ance enti\u00e8rement pratique : les \u00e9tudiants devaient installer Docker et microk8s sur leurs machines avant les cours \u2014 une excellente fa\u00e7on de voir l'interaction des outils entre eux, de trouver des points faibles et, surtout, d'essayer de les bloquer.<\/p>\n

<\/p>\n

Malheureusement, bien que les cours promettent de devenir \u00ab nobles \u00bb en deux jours, je ressentais que tout ne faisait que commencer et que j'avais encore beaucoup \u00e0 apprendre.<\/p>\n

<\/p>\n

\"\u00c9tude<\/p>\n

<\/p>\n

Avant de plonger dans mes observations \u00e9lev\u00e9es, il est important d'expliquer ce qu'est un conteneur. Dans le monde du d\u00e9veloppement, il est normal que le code \u00e9crit sur votre machine personnelle fonctionne parfaitement, mais qu'\u00e0 l'essai sur un serveur, il cesse de fonctionner. Les conteneurs essaient de r\u00e9soudre ce probl\u00e8me en fournissant des machines autonomes que vous pouvez facilement transf\u00e9rer d'un serveur \u00e0 un autre, en sachant qu'elles fonctionneront toujours. Comme son nom l'indique, ils contiennent le code, les biblioth\u00e8ques et d'autres logiciels n\u00e9cessaires \u00e0 leur fonctionnement. Kubernetes, en revanche, est une plateforme d'orchestration pour les conteneurs<\/a><\/noindex>. En principe, il vous permet de g\u00e9rer sans couture des centaines ou des milliers de conteneurs diff\u00e9rents.<\/p>\n

<\/p>\n

Voici quelques-unes de mes conclusions du point de vue des \u00e9quipes rouge et bleue.<\/p>\n

<\/p>\n

\u00c9quipe rouge<\/h2>\n

<\/p>\n

La plupart des contenus des conteneurs s'ex\u00e9cutent sous root<\/strong>: cela signifie que si vous compromettez le conteneur, vous aurez un acc\u00e8s complet au conteneur. Cela rend les \u00e9tapes suivantes consid\u00e9rablement plus faciles.<\/p>\n

<\/p>\n

Monter docker.sock \u00e0 l'int\u00e9rieur du conteneur est dangereux<\/strong>: si vous obtenez un acc\u00e8s root \u00e0 l'int\u00e9rieur du conteneur et que vous avez \u00e9galement install\u00e9 Docker \u00e0 l'int\u00e9rieur d'un conteneur ayant le socket Docker (\\\/var\\\/run\\\/docker.sock), vous avez la possibilit\u00e9 d'explorer tout un cluster, y compris l'acc\u00e8s \u00e0 tout autre conteneur. Cet acc\u00e8s ne peut \u00eatre pr\u00e9venu par l'isolation r\u00e9seau ni par d'autres moyens.<\/p>\n

<\/p>\n

Les variables d'environnement contiennent souvent des donn\u00e9es sensibles<\/strong>: dans la plupart des cas, les gens envoient des mots de passe dans le conteneur en utilisant des variables d'environnement ordinaires. Donc, si vous avez acc\u00e8s \u00e0 un compte, vous pouvez espionner ces variables d'environnement dans le but d'\u00e9largir vos privil\u00e8ges par la suite.<\/p>\n

<\/p>\n

L'API Docker peut fournir une multitude d'informations<\/strong>: l'API Docker, dans sa configuration par d\u00e9faut, fonctionne sans autorisation et peut fournir une multitude d'informations. En utilisant Shodan, il est facile de trouver une liste de ports ouverts, puis d'obtenir des informations d\u00e9taill\u00e9es sur le cluster \u2014 et de proc\u00e9der \u00e0 sa capture compl\u00e8te. TrendMicro a \u00e9crit un article fascinant<\/a><\/noindex>.<\/p>\n

<\/p>\n

L'\u00e9quipe bleue<\/h2>\n

<\/p>\n

Ne pas ex\u00e9cuter le contenu des conteneurs sous root<\/strong>: bien que le lancement sous root soit plus simple, vous ne devez pas le faire. Au lieu de cela, lancez les applications avec des droits r\u00e9duits en affichant l'uid, soit en utilisant le param\u00e8tre \u2014user lors de l'utilisation du CLI, soit en sp\u00e9cifiant USER dans le Dockerfile.<\/p>\n

<\/p>\n

Ne pas autoriser l'installation de programmes dans les conteneurs<\/strong>: presque chaque attaque commence par l'installation de quelque chose. Commencer par nmap et aller jusqu'\u00e0 ifconfig et Docker lui-m\u00eame (\u00e0 l'int\u00e9rieur du conteneur), l'installation de quoi que ce soit dans le conteneur a \u00e9t\u00e9 une pratique courante. Pour cette raison, il est toujours n\u00e9cessaire de bloquer tous les ports inutilis\u00e9s. Cela aide \u00e9galement \u00e0 pr\u00e9venir l'ex\u00e9cution de commandes de contr\u00f4le lors de l'infection de votre machine. En plus d'emp\u00eacher l'installation de logiciels, il est prudent de s'assurer que le conteneur contient le minimum d'applications n\u00e9cessaires pour accomplir la t\u00e2che.<\/p>\n

<\/p>\n

Prot\u00e9gez docker.sock<\/strong>: il doit \u00eatre prot\u00e9g\u00e9, car ce socket g\u00e8re la communication entre le conteneur et le cluster. \u00c9tant donn\u00e9 que je ne veux pas entrer dans les d\u00e9tails dans cet article, lisez note de Docker<\/a><\/noindex>, ce qui peut arriver, ainsi que comment tout cela bloquer.<\/p>\n

<\/p>\n

Utilisez les secrets Docker au lieu des variables d'environnement<\/strong>: Les secrets existent depuis environ 2017<\/a><\/noindex>. Bien que cela soit peu s\u00fbr, c'est n\u00e9anmoins mieux que les variables d'environnement pour transmettre des donn\u00e9es sensibles dans un conteneur.<\/p>\n

<\/p>\n

Si cet article vous a int\u00e9ress\u00e9 par les conteneurs, vous pouvez installer Docker ou microk8s (une version l\u00e9g\u00e8re de Kubernetes) assez facilement. Ici<\/a><\/noindex> des instructions pour installer Docker sur Linux et MacOS, et ici<\/a><\/noindex> des instructions pour installer microk8s sur Windows, Linux et MacOS.<\/p>\n

<\/p>\n

Apr\u00e8s l'installation, vous pouvez consulter ce guide de d\u00e9marrage rapide<\/a><\/noindex> de Docker, une option similaire propose<\/a><\/noindex> et pour microk8s.<\/p>\n

<\/p>\n

Si vous souhaitez ou devez suivre un cours complet sur Docker, o\u00f9 des intervenants praticiens discutent de tous ses outils : des abstractions de base aux param\u00e8tres r\u00e9seau, des nuances de fonctionnement avec diff\u00e9rents syst\u00e8mes d'exploitation et langages de programmation, essayez \u00abCours vid\u00e9o sur Docker<\/a><\/noindex>\u00bb. Vous d\u00e9couvrirez la technologie et comprendrez o\u00f9 et comment utiliser Docker au mieux. En m\u00eame temps, vous obtiendrez des cas de bonnes pratiques \u2014 il vaut mieux apprendre en toute s\u00e9curit\u00e9 avec le soutien de praticiens sur des histoires d'erreurs que personnellement sur les erreurs avec des poign\u00e9es \u00e9pineuses.<\/p>\n

Source : habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91365,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91364","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47\u00c9tudions la (manquante) s\u00e9curit\u00e9 des installations typiques de Docker et Kubernetes | ProHoster","description":"Je travaille dans l'IT.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437\u0443\u0447\u0430\u0435\u043c (\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e) \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a Docker \u0438 Kubernetes | ProHoster","og:description":"\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-12T05:42:33+00:00","article:modified_time":"2020-08-12T05:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91364","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:29:22","updated":"2022-09-28 18:39:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/91364","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=91364"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/91364\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/91365"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=91364"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=91364"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=91364"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}