Quali sono i potenziali problemi di sicurezza che eseguono codice non affidabile in un contenitore Docker come utente non root?

Question

Ho visto un sacco di inchiostro rovesciato ormai su come Docker non è sufficientemente isolato per consentire l'esecuzione di contenitori arbitrari in un ambiente multi-tenant, e questo ha senso. "Se è root in Docker, consideralo come root nel computer host." Che dire di non-root però?

Se si desidera prendere un codice non affidabile ed eseguirlo in un contenitore, può essere eseguito in modo sicuro fino a quando il contenitore è in esecuzione come utente non sudo non root? Quali sono le potenziali insidie ​​della sicurezza nel fare qualcosa del genere?

Sono abbastanza sicuro che ci siano applicazioni di produzione che lo fanno oggi (sistemi CI, paste in esecuzione), ma sono semplicemente fortunati a non aver avuto un attaccante determinato o è una cosa ragionevole da fare in un sistema di produzione?

Answer 1

Come di Docker v1.12, se si corre un contenitore come utente non root con spazi dei nomi utente abilitati, ci sono due livelli di escalation di privilegi un attore malintenzionato deve eseguire per diventare root su host:

1. Escalate da non root all'utente root all'interno del contenitore
2. Escalate a root nel contenitore di radicare utente sull'host

Quindi, nel caso di codice non attendibile viene eseguito all'interno di un contenitore Docker come non-root utente, sarà leggermente più difficile per un atta cker per diventare root sull'host, poiché aggiungiamo un ulteriore passaggio per diventare root all'interno del contenitore. Questo è l'unico vantaggio in termini di sicurezza rispetto all'esecuzione di container con privilegi di root.

In caso di escalation dei privilegi attraverso entrambi gli strati di sicurezza, in seguito dovrebbe contribuire a limitare la superficie di attacco:

1. carichi di lavoro (più precisamente finestra mobile contenitori, in questo contesto) con diversi livelli di attendibilità devono essere isolati gli uni dagli altri mediante l'uso di reti sovrapposte che seguono il principio dei privilegi minimi.
2. Abilitazione disponibile modulo di sicurezza di Linux in modalità di applicazione (ad esempio SELinux, AppArmor)

Riferimenti:

• in corso con i privilegi di non-root all'interno di contenitori: https://groups.google.com/forum/#!msg/docker-user/e9RkC4y-21E/JOZF8H-PfYsJ
• reti overlay: https://docs.docker.com/engine/userguide/networking/get-started-overlay/
• Spazi dei nomi utente: https://docs.docker.com/engine/security/security/#/other-kernel-security-features

Answer 2

Tutti i contenitori condividono lo stesso kernel. Nel caso in cui il codice non affidabile riesca a eseguire un exploit del kernel, può fare tutto ciò che vuole sull'host e/o su qualsiasi altro contenitore in esecuzione.