Docker中怎么防止信息泄露

发布时间:2022-02-16 15:14:40 作者:iii
来源:亿速云 阅读:155

今天小编给大家分享一下Docker中怎么防止信息泄露的相关知识点,内容详细,逻辑清晰,相信大部分人都还太了解这方面的知识,所以分享这篇文章给大家参考一下,希望大家阅读完这篇文章后有所收获,下面我们一起来了解一下吧。

Docker中怎么防止信息泄露

概述

容器和Docker让我们的日常更加便捷,但是同时也会很容易将一些信息不小心泄露给公众造成安全问题。密码,云凭证和SSH私钥,如果配置不当,一不小心就会泄露。除非建立一套安全事件策略,综合防护,一些案例:

Codecov供应链攻击:

2021年4月1日,由于Codecov一个Docker文件配置失误,攻击者可以窃取凭据并修改客户使用的Bash Uploader脚本。通过恶意代码修改Bash Uploaders,并将环境变量和从一些客户的CI/CD环境中收集的密钥泄露给了一个受攻击者控制的服务器

Docker中怎么防止信息泄露

受到该事件影响,HashiCorp用于发布签名和验证的GPG密钥被泄露,目前已经采用轮换机制定期更换私钥。

其他由于Docker Hub公共镜像导致的泄露还包括(不限于):

AWS账户和凭据,SSH私钥,Azure密钥,.npmrc令牌,Docker Hub账户,PyPI存储库密钥,SMTP服务器认证信息,eCAPTCHA密码,Twitter API密钥,Jira密钥,Slack密钥以及其他一些密钥等。

COPY方法

DockerFile语法中常见的一个COPY方法:

FROM debian:buster
COPY . /app

默认情况下,该语句会将当前目录中所有内容的复制到镜像中。这些内容中可能会包含敏感信息的文件:例如站点.env。

一旦敏感信息,被放到Docker镜像中,则任何可以访问该镜像的用户都可以看到这些信息。为了防止由于COPY导致的敏感信息泄露:

限制复制内容:只复制必须的特定文件或目录。 例如:

COPY setup.py myapp/app

.dockerignore:使用.dockerignore确保敏感文件不被复制到镜像中去,一个典型的配置:

NOTICE
README.md
LICENSE
AUTHORS.md
CONTRIBUTING.md
.vscode/
vendor/
env/
ENV/
build/
dist/
target/
downloads/
eggs/
.eggs/
lib/
lib64/
parts/
sdist/
var/
Dockerfile
.git
.editorconfig
*.egg-info/
.installed.cfg
*.egg
*.manifest
*.spec
.gcloudignore
.gitignore
.tox/
.dockerignore
.coverage
.coverage.*
.cache
htmlcov/
nosetests.xml
coverage.xml
*,cover
.hypothesis/
ssh/
id_rsa
.git-credentials
config.*

避免手动生成镜像:与CICD自动生成系统相比,开发环境更容易涉及敏感文件,因此在开发环境手动生成公共镜像更容易导致泄露。

使用CI环境变量:如果CI或构建环境需要使机密信息,需要将其配置在环境变量中,而不要通过文件访问。

镜像编译

有时需要在构建Docker镜像时使用机密,例如访问私有软件包存储库的密码。

FROM python:3.9
RUN pip install \
--extra-index-url User:pass@priveapk.example \
package privatepackage

直接在URL包含了用户名和密码会直接导致其泄露。可以使用环境变量形式来应用:

export MYSECRET=secretpasswordexport DOCKER_BUILDKIT=1
docker build --secret --secret id=mysecret,env=MYSECRET .

运行时

有些密码是需要在容器运行时候需要访问的,比如访问数据库的凭据。同样的运行时机密也不能直接存储在镜像中。

除了镜像内容导致意外泄露,这种存储在镜像中的配置也绑定了环境,不便于镜像灵活运行。在运行容器时可以通过多种方法将机密传递给容器:

使用环境变量。

与绑定机密文件的卷。

编排系统(如K8S)的密码管理机制。

在公有云环境中,可以使用云环境变量和授权。比如AWS 的IAM角色管理。

外部密钥库。

通过以上这些机制,可以避免运行时敏感信息存储在镜像本身中。

安全扫描

除了上面一些管理方面策略外,还有一个主动方法就是自动地进行安全扫描。市面上有很多密码扫描工具,可以扫描目录或者Git仓库,如果包含敏感信息则会直接告警。比如detect-secrets,trufflehog

Docker中怎么防止信息泄露

也有对镜像扫描的工具,比如pentester可以扫描Docker Hub镜像,发现问题。

Docker中怎么防止信息泄露

以上就是“Docker中怎么防止信息泄露”这篇文章的所有内容,感谢各位的阅读!相信大家阅读完这篇文章都有很大的收获,小编每天都会为大家更新不同的知识,如果还想学习更多的知识,请关注亿速云行业资讯频道。

推荐阅读:
  1. 大数据信息时代,如何防止数据泄露,大数据防泄漏解决方案
  2. 默认口令可能导致 iPhone 用户信息泄露!

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

docker

上一篇:centos7中怎么安装及配置Docker

下一篇:Docker中怎么部署ELK和Filebeat日志中心

相关阅读

您好,登录后才能下订单哦!

密码登录
登录注册
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》