{"id":91364,"date":"2020-08-12T07:42:33","date_gmt":"2020-08-12T05:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes"},"modified":"2020-08-12T07:42:33","modified_gmt":"2020-08-12T05:42:33","slug":"izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","title":{"rendered":"Vi utforskar den (saknade) s\u00e4kerheten i typiska installationer av Docker och Kubernetes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Vi
\nJag har arbetat inom IT i mer \u00e4n 20 \u00e5r, men jag har aldrig riktigt kommit mig f\u00f6r att arbeta med containrar. I teorin f\u00f6rstod jag hur de fungerar och hur de \u00e4r uppbyggda. Men eftersom jag aldrig har st\u00f6tt p\u00e5 dem i praktiken var jag os\u00e4ker p\u00e5 hur deras mekanismer fungerar under ytan. <\/p>\n

<\/p>\n

Dessutom hade jag ingen aning om deras s\u00e4kerhet. \u00c5terigen l\u00e5ter teorin vacker, men den gamla visan 'ju st\u00f6rre s\u00e4kerhet, desto mindre anv\u00e4ndarv\u00e4nlighet' har fastnat i mitt huvud. S\u00e5 jag t\u00e4nkte att eftersom det \u00e4r s\u00e5 enkelt att arbeta med containrar s\u00e5 kan s\u00e4kerheten d\u00e4r vara under all kritik. Som det visade sig hade jag r\u00e4tt.<\/p>\n

<\/a><\/noindex><\/p>\n

F\u00f6r en snabb start anm\u00e4lde jag mig till en kurs Black Hat<\/a><\/noindex> 2020 med titeln 'Fr\u00e5n skr\u00e4p till kung: intr\u00e5ng och skydd av Docker Swarm- och Kubernetes-milj\u00f6er<\/a><\/noindex>\u00bb. <\/p>\n

<\/p>\n

Kursen som leddes av Sheila A. Berta och Sol Ozzan b\u00f6rjade genast med en beskrivning av hur Docker-containrar fungerar samt vilken v\u00e4g de tar n\u00e4r de distribueras i Kubernetes. Det var helt praktiska lektioner \u2013 studenterna m\u00e5ste installera Docker och microk8s p\u00e5 sina maskiner innan lektionerna \u2013 ett utm\u00e4rkt s\u00e4tt att se hur verktygen interagerar med varandra, uppt\u00e4cka svagheter och, viktigast av allt, prova att blockera dem.<\/p>\n

<\/p>\n

Tyv\u00e4rr, \u00e4ven om kurserna lovade att g\u00f6ra oss till 'kungar' p\u00e5 tv\u00e5 dagar, k\u00e4nde jag att allt bara hade b\u00f6rjat och att jag fortfarande hade mycket att l\u00e4ra.<\/p>\n

<\/p>\n

\"Vi<\/p>\n

<\/p>\n

Innan jag dyker ner i mina h\u00f6ga insikter \u00e4r det viktigt att f\u00f6rklara vad en container \u00e4r. Inom utveckling \u00e4r det en vanlig situation att koden som skrivs p\u00e5 din personliga maskin fungerar perfekt, men n\u00e4r du f\u00f6rs\u00f6ker k\u00f6ra den p\u00e5 en server s\u00e5 fungerar den helt enkelt inte. Containrar f\u00f6rs\u00f6ker \u00f6vervinna detta problem genom att erbjuda autonoma milj\u00f6er som du enkelt kan flytta mellan servrar, med vetskap om att de alltid kommer att fungera. Som namnet antyder inneh\u00e5ller de koden, biblioteken och annan programvara som beh\u00f6vs f\u00f6r att fungera. Kubernetes, \u00e5 sin sida, \u00e4r en orchestreringsplattform f\u00f6r containrar<\/a><\/noindex>. I princip kan man med den hantera hundratals eller tusentals olika containrar s\u00f6ml\u00f6st.<\/p>\n

<\/p>\n

Nedan f\u00f6ljer n\u00e5gra av mina insikter fr\u00e5n perspektivet av det r\u00f6da och bl\u00e5 laget.<\/p>\n

<\/p>\n

Det r\u00f6da laget<\/h2>\n

<\/p>\n

Det mesta av inneh\u00e5llet i containrar k\u00f6rs under root<\/strong>: det inneb\u00e4r att om du komprometterar containern, f\u00e5r du fullst\u00e4ndig \u00e5tkomst till containern. Detta g\u00f6r de efterf\u00f6ljande stegen betydligt enklare.<\/p>\n

<\/p>\n

Montering av docker.sock inuti containern \u00e4r farligt<\/strong>: om du f\u00e5r root\u00e5tkomst inuti containern och dessutom installerar Docker inuti containern som har Docker-socket (\\\/var\\\/run\\\/docker.sock), har du en potentiell m\u00f6jlighet att utforska hela klustret, inklusive \u00e5tkomst till alla andra containrar. S\u00e5dan \u00e5tkomst kan inte f\u00f6rhindras varken genom n\u00e4tverksisolering eller p\u00e5 andra s\u00e4tt.<\/p>\n

<\/p>\n

Milj\u00f6variabler inneh\u00e5ller ofta hemliga data<\/strong>: i de flesta fall skickar folk l\u00f6senord till containrar med hj\u00e4lp av vanliga milj\u00f6variabler. S\u00e5 om du har \u00e5tkomst till kontot kan du avlyssna dessa milj\u00f6variabler f\u00f6r att senare ut\u00f6ka dina befogenheter.<\/p>\n

<\/p>\n

Docker API kan ge massor av information<\/strong>: Docker API, n\u00e4r det \u00e4r inst\u00e4llt p\u00e5 standard, fungerar utan autentisering och kan ge massor av information. Med hj\u00e4lp av Shodan kan du enkelt hitta en lista \u00f6ver \u00f6ppna portar, f\u00e5 detaljerad information om klustret \u2014 och g\u00e5 vidare till fullst\u00e4ndig \u00f6vertagning. TrendMicro har skrivit om detta en mycket intressant artikel<\/a><\/noindex>.<\/p>\n

<\/p>\n

Det bl\u00e5 laget<\/h2>\n

<\/p>\n

K\u00f6r inte inneh\u00e5llet i containrar under root<\/strong>: \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043f\u043e\u0434 root \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043f\u0440\u043e\u0449\u0435, \u0432\u044b \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u044d\u0442\u043e\u0433\u043e \u0434\u0435\u043b\u0430\u0442\u044c. \u0412\u043c\u0435\u0441\u0442\u043e \u044d\u0442\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0439\u0442\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0441 \u0441\u0431\u0440\u043e\u0448\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043e\u0442\u043e\u0431\u0440\u0430\u0437\u0438\u0432 uid \u043b\u0438\u0431\u043e \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 —user \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 \u0441 CLI, \u043b\u0438\u0431\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044f USER \u0432 Dockerfile.<\/p>\n

<\/p>\n

Till\u00e5t inte installation av program i containrar<\/strong>: n\u00e4stan varje attack b\u00f6rjar med att installera n\u00e5got. Fr\u00e5n nmap till ifconfig och sj\u00e4lva Docker (inuti containern) har det att installera n\u00e5got i containern varit vanligt. Av samma anledning b\u00f6r alltid alla oanv\u00e4nda portarna blockeras. Detta hj\u00e4lper ocks\u00e5 till att f\u00f6rhindra \u00f6verf\u00f6ring av kontrollkommandon vid infektion av din maskin. F\u00f6rutom att f\u00f6rhindra installation av program b\u00f6r du se till att det finns ett minimum av applikationer installerade i containern som beh\u00f6vs f\u00f6r att utf\u00f6ra uppgiften.<\/p>\n

<\/p>\n

Skydda docker.sock<\/strong>: den m\u00e5ste skyddas eftersom kommunikation mellan containern och klustret hanteras via denna socket. Eftersom jag inte vill g\u00e5 in p\u00e5 detaljer i denna artikel, l\u00e4s anteckningen fr\u00e5n Docker<\/a><\/noindex>, vad som kan h\u00e4nda och hur man blockerar allt detta.<\/p>\n

<\/p>\n

Anv\u00e4nd Docker-hemligheter ist\u00e4llet f\u00f6r milj\u00f6variabler<\/strong>: Det finns hemligheter ungef\u00e4r sedan 2017<\/a><\/noindex>. \u00c4ven om det inte \u00e4r s\u00e4kert, \u00e4r det \u00e4nd\u00e5 b\u00e4ttre \u00e4n milj\u00f6variabler f\u00f6r att \u00f6verf\u00f6ra hemliga data till containrar.<\/p>\n

<\/p>\n

Om artikeln v\u00e4ckte ditt intresse f\u00f6r containrar - kan du ganska l\u00e4tt installera Docker eller microk8s (en liten version av Kubernetes). H\u00e4r<\/a><\/noindex> Det finns installationsinstruktioner f\u00f6r Docker f\u00f6r Linux och MacOS, och h\u00e4r<\/a><\/noindex> \u2013 installationsinstruktioner f\u00f6r microk8s f\u00f6r Windows, Linux och MacOS.<\/p>\n

<\/p>\n

Efter installationen kan du f\u00f6lja denna snabbinstruktion<\/a><\/noindex> fr\u00e5n Docker, en liknande variant f\u00f6resl\u00e5s<\/a><\/noindex> finns \u00e4ven f\u00f6r microk8s.<\/p>\n

<\/p>\n

Om det finns ett intresse och\/eller behov av att g\u00e5 en omfattande kurs om Docker, d\u00e4r praktiker diskuterar alla dess verktyg: fr\u00e5n grundl\u00e4ggande abstraktioner till n\u00e4tverksalternativ, detaljer i hur det fungerar med olika operativsystem och programmeringsspr\u00e5k, testa \u201cVideokurs om Docker<\/a><\/noindex>\u201d. Du kommer att l\u00e4ra dig teknologin och f\u00f6rst\u00e5 var och hur man b\u00e4st anv\u00e4nder Docker. Samtidigt f\u00e5r du best practice-fall \u2014 det \u00e4r b\u00e4ttre att l\u00e4ra sig i s\u00e4kerhet och med st\u00f6d av praktiker genom ber\u00e4ttelser om misstag, snarare \u00e4n att personligen uppleva dem.<\/p>\n

K\u00e4lla: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91365,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91364","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vi studerar (den saknade) s\u00e4kerheten hos typiska installationer av Docker och Kubernetes | ProHoster","description":"Jag arbetar inom IT.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437\u0443\u0447\u0430\u0435\u043c (\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e) \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a Docker \u0438 Kubernetes | ProHoster","og:description":"\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-12T05:42:33+00:00","article:modified_time":"2020-08-12T05:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91364","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:29:22","updated":"2022-09-28 18:39:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/91364","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=91364"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/91364\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/91365"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=91364"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=91364"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=91364"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}