Docker --privileged
O que Afeta
Quando você executa um contêiner como privilegiado, estas são as proteções que você está desativando:
Montar /dev
Em um contêiner privilegiado, todos os dispositivos podem ser acessados em /dev/
. Portanto, você pode escapar montando o disco do host.
Sistemas de arquivos do kernel somente leitura
Os sistemas de arquivos do kernel fornecem um mecanismo para que um processo modifique o comportamento do kernel. No entanto, quando se trata de processos de contêiner, queremos impedir que eles façam quaisquer alterações no kernel. Portanto, montamos os sistemas de arquivos do kernel como somente leitura dentro do contêiner, garantindo que os processos do contêiner não possam modificar o kernel.
Mascarando sobre sistemas de arquivos do kernel
O /proc sistema de arquivos é seletivamente gravável, mas por segurança, certas partes estão protegidas contra acesso de gravação e leitura, sobrepondo-as com tmpfs, garantindo que os processos do contêiner não possam acessar áreas sensíveis.
tmpfs é um sistema de arquivos que armazena todos os arquivos na memória virtual. tmpfs não cria nenhum arquivo no seu disco rígido. Portanto, se você desmontar um sistema de arquivos tmpfs, todos os arquivos que residem nele são perdidos para sempre.
Capacidades do Linux
Os mecanismos de contêiner lançam os contêineres com um número limitado de capacidades para controlar o que acontece dentro do contêiner por padrão. Os privilegiados têm todas as capacidades acessíveis. Para aprender sobre capacidades, leia:
Linux CapabilitiesVocê pode manipular as capacidades disponíveis para um contêiner sem executar no modo --privileged
usando as flags --cap-add
e --cap-drop
.
Seccomp
Seccomp é útil para limitar as syscalls que um contêiner pode chamar. Um perfil seccomp padrão é habilitado por padrão ao executar contêineres docker, mas no modo privilegiado ele é desativado. Saiba mais sobre Seccomp aqui:
SeccompAlém disso, note que quando o Docker (ou outros CRIs) são usados em um cluster Kubernetes, o filtro seccomp está desativado por padrão.
AppArmor
AppArmor é uma melhoria do kernel para confinar containers a um conjunto limitado de recursos com perfis por programa. Quando você executa com a flag --privileged
, essa proteção é desativada.
SELinux
Executar um contêiner com a flag --privileged
desabilita os rótulos SELinux, fazendo com que ele herde o rótulo do mecanismo de contêiner, tipicamente unconfined
, concedendo acesso total semelhante ao do mecanismo de contêiner. No modo sem root, usa container_runtime_t
, enquanto no modo root, aplica-se spc_t
.
O Que Não Afeta
Namespaces
Namespaces NÃO são afetados pela flag --privileged
. Mesmo que não tenham as restrições de segurança habilitadas, eles não veem todos os processos no sistema ou na rede do host, por exemplo. Os usuários podem desabilitar namespaces individuais usando as flags de engines de contêiner --pid=host
, --net=host
, --ipc=host
, --uts=host
.
Namespace do usuário
Por padrão, os mecanismos de contêiner não utilizam namespaces de usuário, exceto para contêineres sem root, que os requerem para montagem de sistema de arquivos e uso de múltiplos UIDs. Os namespaces de usuário, essenciais para contêineres sem root, não podem ser desativados e aumentam significativamente a segurança ao restringir privilégios.
Referências
Last updated