还没对Docker加以限制？埋下的安全隐患了解一下

林伟壕 2019-07-26 10:11:00

作者介绍

林伟壕，腾讯高级工程师，专注于企业SDL、SecDevOps建设。目前从事安全风险评估与代码审计，曾在国内大型电信运营商与顶尖游戏公司从事运维、安全体系建设工作。

众所周知，Docker使用Namespace进行环境隔离、使用CGroup进行资源限制。但是在实际应用中，还是有很多企业或者组织没有使用Namespace或者CGroup对容器加以限制，从而埋下安全隐患。

本文将简单介绍Namespace和CGroup的基本原理，再通过具体配置和应用向读者展示如何应用这些技术保护Docker容器安全，不过Namespace和CGroup并不是万能的，他们只是保障Docker容器安全的多种方案中的一类而已。

一、Namespace

1、概述

我们可以给容器分配有限的资源，这有助于限制系统和恶意攻击者可用的系统资源。每个容器所能获取的组件有：

网络堆栈；
进程空间；
文件系统实例。

可通过使用Namespace来实现限制资源。Namespace就像一个“视图”，它只显示系统上所有资源的一个子集。这提供了一种隔离形式：在容器中运行的进程不能看到或影响其他容器中的进程或者宿主本身。

以下是一些常见的Namespace类型实例。

Namespace例子：

Cgroup CLONE_NEWCGROUP 限制root目录

IPC CLONE_NEWIPC System V IPC, POSIX消息队列

Network CLONE_NEWNET 网络设备、栈、端口等

Mount CLONE_NEWNS 挂载点

PID CLONE_NEWPID 进程ID

User CLONE_NEWUSER 用户和组ID

UTS CLONE_NEWUTS 主机名和NIS域名

Docker run命令有几个参数和Namespace相关：

IPC:

--ipc string IPC namespace to use

PID:

--pid string PID namespace to use

User:

--userns string User namespace to use

UTS:

--uts string UTS namespace to use

2、确定当前Docker用户

默认情况下，Docker守护程序在主机上以root用户身份运行。通过列出所有进程，你可以识别Docker守护程序运行的用户。

ps aux | grep docker

由于守护程序以root身份运行，因此启动的任何容器将具有与主机的root用户相同的安全上下文。

docker run --rm alpine id

这样是有安全风险的：如果root用户拥有的文件可从容器访问，则可以由正在运行的容器修改。

3、删除文件

下面让我们看看用root用户运行容器的具体风险。

首先，在我们的主机上创建touch命令的副本。

sudo cp /bin/touch /bin/touch.bak && ls -lha /bin/touch.bak

由于容器的/hos目录和宿主的/bin是同一个，因此可以从容器删除宿主上的文件，不信你试试。

docker run -it -v /bin/:/host/ alpine rm -f /host/touch.bak

结果，该命令被删的一干二净。

ls -lha /bin/touch.bak

在这种情况下，容器能够从主机删除触摸二进制文件。

4、更改容器用户

可以通过更改用户、组上下文以及使用非特权用户运行的容器来规避以上风险。

docker run --user = 1000：1000 --rm alpine id

作为无特权用户，将无法删除二进制文件。

$ docker run -it -v /bin/:/host/ alpine rm -f /host/touch.bak

$ docker run --user=1000:1000 --rm alpine id

uid=1000 gid=1000

$ sudo cp /bin/touch /bin/touch.bak

$ docker run --user=1000:1000 -it -v /bin:/host/ alpine rm -f /host/touch.bak

rm: can't remove '/host/touch.bak': Permission denied

但是，如果我们在容器内部需要访问根目录，那么我们仍然会将自己暴露给前一个场景。这是Namespace出现的原因。

5、启用用户Namespace

Docker建议不要在启用Namespace模式和禁用Namespace模式之间来回切换Docker daemon，执行此操作可能会导致镜像权限出现问题。

Namespace是Linux内核安全功能，该功能允许Namespace或容器内的root用户访问主机上的非特权用户ID。

6、任务

使用参数userns-remap启动Docker daemon时，将启用Namespace。运行以下命令以修改Docker daemon设置并重新启动该进程。

使用cat /etc/docker/daemon.json查看设置。

cat /etc/docker/daemon.json

{

"bip":"172.18.0.1/24",

"debug": true,

"storage-driver": "overlay",

"userns-remap": "1000:1000",

"insecure-registries": ["registry.test.training.katacoda.com:4567"]

}

重新启动后，你可以使用以下命令验证Namespace是否到位。

docker info | grep "Root Dir"

WARNING: No swap limit support

Docker Root Dir: /var/lib/docker/100000.100000

Docker将不再以root用户身份存储数据。相反，所有内容都作为映射用户进行处理。Docker Root Dir定义了Docker为映射用户存储数据的位置。

注意：在现有系统上启用此功能时，需要重新下载Docker Images。

7、Namespace保护

启用Namespace后，Docker dameon将以其他用户身份运行。

ps aux | grep dockerd

启动容器时，容器内的用户将具有root权限。

docker run --rm alpine id

但是，用户将无法修改主机上运行的任何内容。

sudo cp / bin / touch /bin/touch.bak

docker run -it -v / bin /：/ host / alpine rm -f /host/touch.bak

与此前不同，我们的ps命令仍然存在。

ls -lha /bin/touch.bak

通过使用Namespace，可以将Docker root用户分开，并提供比以前更强的安全性和隔离性。

uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)

$ sudo cp /bin/touch /bin/touch.bak

$ docker run -it -v /bin/:/host/ alpine rm -f /host/touch.bak

rm: can't remove '/host/touch.bak': Permission denied

$ ls -lha /bin/touch.bak

-rwxr-xr-x 1 root root 63K Aug 27 03:59 /bin/touch.bak

8、使用网络Namespace

虽然CGroup可以限制进程使用的资源，但还需要Namespace控制进程的访问权限。

1）例子

启动容器时，将定义并创建网络接口。这为容器提供了唯一的IP地址和接口。

[root@host01 ~]# docker run -it alpine ip addr show

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1000

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

inet 127.0.0.1/8 scope host lo