Docker Security
PreviousD-Bus Enumeration & Command Injection Privilege EscalationNextAbusing Docker Socket for Privilege Escalation
Last updated
Dowiedz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Dowiedz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
Użyj Trickest, aby łatwo budować i automatyzować workflowy zasilane przez najbardziej zaawansowane narzędzia społecznościowe na świecie. Zdobądź dostęp już dziś:
Silnik Docker wykorzystuje Namespaces i Cgroups jądra Linuxa do izolowania kontenerów, oferując podstawową warstwę zabezpieczeń. Dodatkową ochronę zapewnia upuszczanie uprawnień, Seccomp oraz SELinux/AppArmor, zwiększając izolację kontenerów. Plugin auth może dodatkowo ograniczyć działania użytkownika.
Silnik Docker można uzyskać lokalnie za pomocą gniazda Unix lub zdalnie za pomocą protokołu HTTP. W przypadku zdalnego dostępu istotne jest korzystanie z HTTPS i TLS w celu zapewnienia poufności, integralności i uwierzytelniania.
Silnik Docker domyślnie nasłuchuje na gnieździe Unix pod adresem unix:///var/run/docker.sock. W systemach Ubuntu opcje uruchamiania Dockera są zdefiniowane w pliku /etc/default/docker. Aby umożliwić zdalny dostęp do interfejsu API i klienta Dockera, wystarczy wystawić demona Dockera na gnieździe HTTP, dodając następujące ustawienia:
Jednak wystawianie demona Dockera przez HTTP nie jest zalecane ze względów bezpieczeństwa. Zaleca się zabezpieczenie połączeń za pomocą protokołu HTTPS. Istnieją dwa główne podejścia do zabezpieczania połączenia:
Klient weryfikuje tożsamość serwera.
Zarówno klient, jak i serwer wzajemnie uwierzytelniają swoje tożsamości.
Certyfikaty są wykorzystywane do potwierdzenia tożsamości serwera. Aby uzyskać szczegółowe przykłady obu metod, zapoznaj się z tym przewodnikiem.
Obrazy kontenerów można przechowywać zarówno w prywatnych, jak i publicznych repozytoriach. Docker oferuje kilka opcji przechowywania obrazów kontenerów:
Docker Hub: Usługa publicznego rejestru od Dockera.
Docker Registry: Projekt open-source, który pozwala użytkownikom hostować własny rejestr.
Docker Trusted Registry: Komercyjny rejestr Dockera oferujący uwierzytelnianie użytkowników oparte na rolach oraz integrację z usługami katalogowymi LDAP.
Kontenery mogą mieć luki bezpieczeństwa zarówno z powodu obrazu bazowego, jak i z powodu zainstalowanego oprogramowania na nim. Docker pracuje nad projektem o nazwie Nautilus, który skanuje kontenery pod kątem bezpieczeństwa i wyświetla znalezione luki. Nautilus działa poprzez porównanie każdej warstwy obrazu kontenera z repozytorium podatności w celu zidentyfikowania luk bezpieczeństwa.
Aby uzyskać więcej informacji, przeczytaj to.
docker scan
Polecenie docker scan pozwala skanować istniejące obrazy Dockera, używając nazwy obrazu lub identyfikatora. Na przykład, wykonaj następujące polecenie, aby przeskanować obraz hello-world:
Podpisywanie obrazów Docker zapewnia bezpieczeństwo i integralność obrazów używanych w kontenerach. Oto zwięzłe wyjaśnienie:
Aby aktywować zaufanie do zawartości Dockera, ustaw export DOCKER_CONTENT_TRUST=1. Ta funkcja jest domyślnie wyłączona w wersji Dockera 1.10 i nowszych.
Po włączeniu tej funkcji można pobierać tylko podpisane obrazy. Pierwsze przesłanie obrazu wymaga ustawienia haseł dostępu do kluczy root i tagowania, a Docker obsługuje również Yubikey dla zwiększonego bezpieczeństwa. Więcej szczegółów można znaleźć tutaj.
Próba pobrania niepodpisanego obrazu przy włączonym zaufaniu do zawartości kończy się błędem "Brak danych zaufania dla najnowszej wersji".
Przy przesyłaniu obrazu po raz kolejny Docker prosi o hasło dostępu do klucza repozytorium w celu podpisania obrazu.
Aby zabezpieczyć swoje prywatne klucze, użyj polecenia:
Podczas przełączania się między hostami Docker, konieczne jest przeniesienie kluczy roota i repozytorium, aby utrzymać operacje.
Użyj Trickest, aby łatwo budować i automatyzować przepływy pracy z wykorzystaniem najbardziej zaawansowanych narzędzi społecznościowych na świecie. Otrzymaj dostęp już dziś:
Przestrzenie nazw są funkcją jądra Linuxa, która dzieli zasoby jądra tak, że jedna grupa procesów widzi jeden zestaw zasobów, podczas gdy inna grupa procesów widzi inny zestaw zasobów. Funkcja działa poprzez posiadanie tej samej przestrzeni nazw dla zestawu zasobów i procesów, ale te przestrzenie odnoszą się do odrębnych zasobów. Zasoby mogą istnieć w wielu przestrzeniach.
Docker wykorzystuje następujące przestrzenie nazw jądra Linuxa do osiągnięcia izolacji kontenerów:
przestrzeń nazw pid
przestrzeń nazw montowania
przestrzeń nazw sieci
przestrzeń nazw ipc
przestrzeń nazw UTS
Dla więcej informacji na temat przestrzeni nazw sprawdź następującą stronę:
NamespacesFunkcja jądra Linuxa cgroups zapewnia możliwość ograniczania zasobów, takich jak cpu, pamięć, io, przepustowość sieci wśród zestawu procesów. Docker pozwala tworzyć kontenery przy użyciu funkcji cgroup, co umożliwia kontrolę zasobów dla konkretnego kontenera. Poniżej znajduje się kontener utworzony z ograniczeniem pamięci przestrzeni użytkownika do 500m, pamięci jądra do 50m, udziału CPU do 512, wagi blkioweight do 400. Udział CPU to współczynnik kontrolujący użycie CPU kontenera. Ma domyślną wartość 1024 i zakres od 0 do 1024. Jeśli trzy kontenery mają ten sam udział CPU wynoszący 1024, każdy kontener może zużyć do 33% CPU w przypadku konfliktu zasobów CPU. blkio-weight to współczynnik kontrolujący IO kontenera. Ma domyślną wartość 500 i zakres od 10 do 1000.
Aby uzyskać cgroup kontenera, można wykonać:
Dla dalszych informacji sprawdź:
CGroupsUprawnienia pozwalają na dokładniejszą kontrolę uprawnień, które mogą być udzielone użytkownikowi root. Docker wykorzystuje funkcję możliwości jądra Linuxa do ograniczenia operacji, które mogą być wykonywane wewnątrz kontenera niezależnie od rodzaju użytkownika.
Gdy uruchamiany jest kontener Docker, proces odrzuca wrażliwe uprawnienia, które proces mógłby wykorzystać do ucieczki z izolacji. Ma to zapewnić, że proces nie będzie w stanie wykonywać wrażliwych działań i uciec:
Linux CapabilitiesJest to funkcja zabezpieczeń, która pozwala Dockerowi ograniczyć wywołania systemowe, które mogą być używane wewnątrz kontenera:
SeccompAppArmor to ulepszenie jądra do ograniczania kontenerów do ograniczonego zestawu zasobów z profilami na poziomie programu:
AppArmorSystem Etykietowania: SELinux przypisuje unikalną etykietę do każdego procesu i obiektu systemu plików.
Egzekwowanie Polityki: Wymusza polityki bezpieczeństwa, które definiują, jakie działania etykieta procesu może wykonać na innych etykietach w systemie.
Etykiety Procesów Kontenera: Gdy silniki kontenerów inicjują procesy kontenera, zazwyczaj są one przypisywane do ograniczonej etykiety SELinux, zwykle container_t.
Etykietowanie Plików w Kontenerach: Pliki w kontenerze są zazwyczaj oznaczane jako container_file_t.
Zasady Polityki: Polityka SELinux głównie zapewnia, że procesy z etykietą container_t mogą jedynie współdziałać (czytać, pisać, wykonywać) z plikami oznaczonymi jako container_file_t.
Ten mechanizm zapewnia, że nawet jeśli proces w kontenerze zostanie skompromitowany, jest on ograniczony do współdziałania tylko z obiektami posiadającymi odpowiednie etykiety, znacznie ograniczając potencjalne szkody wynikające z takich kompromitacji.
SELinuxW Dockerze wtyczka autoryzacji odgrywa kluczową rolę w zabezpieczeniach, decydując o zezwoleniu lub zablokowaniu żądań do demona Dockera. Decyzja ta jest podejmowana poprzez analizę dwóch kluczowych kontekstów:
Kontekst Autoryzacji: Obejmuje kompleksowe informacje o użytkowniku, takie jak kim są i w jaki sposób się uwierzytelnili.
Kontekst Komendy: Obejmuje wszystkie istotne dane związane z żądaniem.
Te konteksty pomagają zapewnić, że tylko legalne żądania od uwierzytelnionych użytkowników są przetwarzane, zwiększając bezpieczeństwo operacji w Dockerze.
AuthZ& AuthN - Docker Access Authorization PluginJeśli nie ograniczasz odpowiednio zasobów, jakie może wykorzystać kontener, skompromitowany kontener może przeprowadzić atak typu DoS na host, na którym działa.
Atak DoS CPU
Atak DoS na pasmo
Na następnej stronie możesz dowiedzieć się, co oznacza flaga --privileged:
Jeśli uruchamiasz kontener, w którym atakujący uzyskuje dostęp jako użytkownik o niskich uprawnieniach. Jeśli masz źle skonfigurowany binarny suid, atakujący może go wykorzystać i eskalować uprawnienia wewnątrz kontenera. Co może pozwolić mu na jego opuszczenie.
Uruchomienie kontenera z opcją no-new-privileges włączoną zapobiegnie tego rodzaju eskalacji uprawnień.
Aby uzyskać więcej opcji --security-opt, sprawdź: https://docs.docker.com/engine/reference/run/#security-configuration
Niezwykle istotne jest unikanie osadzania tajemnic bezpośrednio w obrazach Dockera lub korzystania z zmiennych środowiskowych, ponieważ te metody ujawniają Twoje wrażliwe informacje każdemu, kto ma dostęp do kontenera za pomocą poleceń takich jak docker inspect lub exec.
Woluminy Dockera są bezpieczniejszą alternatywą, zalecaną do dostępu do wrażliwych informacji. Mogą być wykorzystywane jako tymczasowy system plików w pamięci, zmniejszając ryzyko związane z docker inspect i logowaniem. Niemniej jednak, użytkownicy root oraz ci z dostępem exec do kontenera mogą wciąż uzyskać dostęp do tajemnic.
Tajemnice Dockera oferują jeszcze bardziej bezpieczną metodę obsługi wrażliwych informacji. Dla przypadków wymagających tajemnic podczas fazy budowy obrazu, BuildKit prezentuje wydajne rozwiązanie z obsługą tajemnic w czasie budowy, zwiększając prędkość budowy i zapewniając dodatkowe funkcje.
Aby skorzystać z BuildKit, można go aktywować na trzy sposoby:
Poprzez zmienną środowiskową: export DOCKER_BUILDKIT=1
Poprzez prefiksowanie poleceń: DOCKER_BUILDKIT=1 docker build .
Poprzez włączenie go domyślnie w konfiguracji Dockera: { "features": { "buildkit": true } }, a następnie ponowne uruchomienie Dockera.
BuildKit pozwala na użycie tajemnic w czasie budowy za pomocą opcji --secret, zapewniając, że te tajemnice nie są uwzględniane w pamięci podręcznej budowy obrazu ani w końcowym obrazie, korzystając z polecenia:
Do tajemnic potrzebnych w uruchomionym kontenerze, Docker Compose i Kubernetes oferują solidne rozwiązania. Docker Compose wykorzystuje klucz secrets w definicji usługi do określania plików z tajemnicami, jak pokazano w przykładowym pliku docker-compose.yml:
Ta konfiguracja pozwala na korzystanie z tajemnic podczas uruchamiania usług za pomocą Docker Compose.
W środowiskach Kubernetes, tajemnice są obsługiwane natywnie i mogą być dalsze zarządzane za pomocą narzędzi takich jak Helm-Secrets. Kontrole dostępu oparte na rolach (RBAC) Kubernetes wzmacniają bezpieczeństwo zarządzania tajemnicami, podobnie jak Docker Enterprise.
gVisor to jądro aplikacji napisane w Go, które implementuje znaczną część powierzchni systemu Linux. Zawiera środowisko wykonawcze Open Container Initiative (OCI) o nazwie runsc, które zapewnia granice izolacji między aplikacją a jądrem hosta. Środowisko wykonawcze runsc integruje się z Dockerem i Kubernetes, ułatwiając uruchamianie kontenerów w piaskownicy.
Kata Containers to społeczność open source pracująca nad budową bezpiecznego środowiska wykonawczego kontenerów z lekkimi maszynami wirtualnymi, które działają i wydajnościowo przypominają kontenery, ale zapewniają silniejszą izolację obciążenia przy użyciu technologii wirtualizacji sprzętowej jako drugiej warstwy obrony.
Nie używaj flagi --privileged ani nie montuj gniazda Dockera wewnątrz kontenera. Gniazdo Dockera pozwala na uruchamianie kontenerów, więc jest łatwym sposobem na przejęcie pełnej kontroli nad hostem, na przykład poprzez uruchomienie innego kontenera z flagą --privileged.
Nie uruchamiaj jako root wewnątrz kontenera. Użyj innego użytkownika i przestrzenie nazw użytkownika. Root w kontenerze jest taki sam jak na hoście, chyba że jest przemapowany za pomocą przestrzeni nazw użytkownika. Jest on jedynie lekko ograniczony, głównie przez przestrzenie nazw Linuxa, zdolności i cgroups.
Odrzuć wszystkie zdolności (--cap-drop=all) i włącz tylko te, które są wymagane (--cap-add=...). Wiele obciążeń nie potrzebuje żadnych zdolności, a dodanie ich zwiększa zakres potencjalnego ataku.
Użyj opcji bez nowych uprawnień bezpieczeństwa, aby zapobiec procesom zdobywaniu większych uprawnień, na przykład poprzez binarne suid.
Ogranicz zasoby dostępne dla kontenera. Limity zasobów mogą chronić maszynę przed atakami typu odmowa usługi.
Używaj oficjalnych obrazów Dockera i wymagaj podpisów lub buduj swoje własne na ich podstawie. Nie dziedzicz obrazów lub nie używaj obrazów z tylnymi drzwiami. Przechowuj również klucze root, hasło w bezpiecznym miejscu. Docker planuje zarządzać kluczami za pomocą UCP.
Regularnie przebudowuj swoje obrazy, aby zastosować łatki bezpieczeństwa na hoście i obrazach.
Mądrze zarządzaj swoimi tajemnicami, aby utrudnić atakującemu dostęp do nich.
Jeśli udsłuchujesz demona Dockera, użyj protokołu HTTPS z uwierzytelnianiem klienta i serwera.
W pliku Dockerfile, preferuj COPY zamiast ADD. ADD automatycznie wypakowuje skompresowane pliki i może kopiować pliki z adresów URL. COPY nie ma tych możliwości. Zawsze, gdy to możliwe, unikaj użycia ADD, aby nie być podatnym na ataki poprzez zdalne adresy URL i pliki ZIP.
Miej oddzielne kontenery dla każdej mikro-usługi.
Nie umieszczaj ssh wewnątrz kontenera, polecenie "docker exec" może być użyte do połączenia się przez ssh z kontenerem.
Używaj mniejszych obrazów kontenerowych
Jeśli jesteś wewnątrz kontenera Dockera lub masz dostęp do użytkownika w grupie docker, możesz spróbować uciec i eskalować uprawnienia:
Docker Breakout / Privilege EscalationJeśli masz dostęp do gniazda Dockera lub dostęp do użytkownika w grupie docker, ale twoje działania są ograniczone przez plugin uwierzytelniania Dockera, sprawdź, czy możesz go ominąć:
AuthZ& AuthN - Docker Access Authorization PluginNarzędzie docker-bench-security to skrypt, który sprawdza dziesiątki powszechnych praktyk dotyczących wdrażania kontenerów Dockera w produkcji. Testy są zautomatyzowane i oparte na CIS Docker Benchmark v1.3.1. Należy uruchomić narzędzie z hosta uruchamiającego Dockera lub z kontenera z wystarczającymi uprawnieniami. Dowiedz się, jak go uruchomić w pliku README: https://github.com/docker/docker-bench-security.
Użyj Trickest, aby łatwo budować i automatyzować przepływy pracy zasilane przez najbardziej zaawansowane narzędzia społeczności na świecie. Zdobądź dostęp już dziś:
Naucz się i praktykuj Hacking AWS: HackTricks Szkolenie AWS Red Team Expert (ARTE) Naucz się i praktykuj Hacking GCP: HackTricks Szkolenie GCP Red Team Expert (GRTE)
