Apa manfaat dan kerugian dari wadah yang tidak terjangkau?
16
Penjelasan teknis tentang apa itu wadah yang tidak terjangkau cukup bagus. Namun, ini bukan untuk pengguna PC biasa. Apakah ada jawaban sederhana kapan dan mengapa orang harus menggunakan wadah yang tidak terjangkau, dan apa manfaat dan kerugiannya?
Menjalankan kontainer yang tidak terjangkau adalah cara paling aman untuk menjalankan kontainer di lingkungan produksi. Kontainer mendapatkan publisitas yang buruk ketika datang ke keamanan dan salah satu alasannya adalah karena beberapa pengguna telah menemukan bahwa jika pengguna mendapatkan root di wadah maka ada kemungkinan mendapatkan root pada host juga. Pada dasarnya apa yang dilakukan oleh wadah yang tidak terjangkau adalah menutupi userid dari host. Dengan wadah yang tidak terjangkau, pengguna non-root dapat membuat kontainer dan akan memiliki dan muncul di dalam wadah sebagai root tetapi akan muncul sebagai userid 10000 misalnya pada host (apa pun yang Anda petakan sebagai userids). Baru-baru ini saya menulis posting blog berdasarkan seri blog Stephane Graber di LXC (Salah satu pengembang / pemimpin brilian LXC dan seseorang yang pasti akan mengikuti). Saya katakan lagi, sangat cemerlang.
Seperti yang Anda lihat proses berjalan di dalam wadah sebagai root tetapi tidak muncul sebagai root tetapi sebagai 100000 dari host.
Jadi kesimpulannya: Manfaat - keamanan tambahan dan isolasi tambahan untuk keamanan. Kelemahan - Sedikit membingungkan untuk membungkus kepala Anda pada awalnya dan bukan untuk pengguna pemula.
Jadi, jika saya memahaminya dengan benar, kontainer tidak 100% aman sendiri. Tidak peduli wadah mana yang Anda jalankan, ada kemungkinan binatang itu bisa melarikan diri. Dan itu hanya di sini, ketika jenis wadah menjadi penting. Untuk wadah istimewa, binatang buas itu akan berjalan di bawah root, menanam rootkit, dan mengunyah kunci SSL yang berharga. Untuk yang tidak mampu, itu hanya akan terbatas pada akun pengguna yang membuat wadah, bukan? Mencuri kunci SSH dll. Apakah itu benar-benar lebih aman? Bisakah itu dijelaskan dengan gambar empat kotak bersarang?
anatoly techtonik
2
Singkatnya, Wadah sendiri di luar kotak tidak aman untuk penggunaan produksi. Perlakukan lingkungan LXC Anda seperti halnya lingkungan Linux lainnya. Anda juga tidak akan membiarkan kotak Linux Anda terbuka lebar kan ?! Ya, wadah Anda akan dibatasi hanya untuk yang dipetakan oleh akun pengguna. Lihat posting Graber pada conatiners yang tidak diprivasi: Saya pikir masalah terbesar adalah mampu mengeksploitasi kernel dan syscalls karena setiap kontainer berbagi kernel yang sama. Ada beberapa cara untuk meningkatkan keamanan melalui cgroup dan aplikasi lain seperti selinux, apparmor dan seccomp dan banyak lagi.
Jadi, buat pengguna terbatas terpisah untuk menjalankan kontainer. Tampak adil. Saya menerima ini sebagai jawabannya. Terima kasih.
anatoly techtonik
4
Mereka adalah alat yang sangat berharga untuk pengujian, kotak pasir dan enkapsulasi. Ingin server web terkunci dengan aman di lingkungan kerjanya sendiri, tidak dapat mengakses file pribadi yang sensitif? Gunakan wadah. Anda memiliki aplikasi yang memerlukan pustaka versi lama, dan file konfigurasi tertentu, tidak kompatibel dengan aplikasi lain? Juga sebuah wadah. Ini pada dasarnya chroot dilakukan dengan benar. Hal ini memungkinkan Anda untuk menjaga layanan cukup terpisah sehingga menjaga masing-masing layanan menjadi lebih mudah, dan mereka dapat dipindahkan atau disalin ke mesin lain tanpa harus mengganggu sistem yang ada.
The downside adalah bahwa Anda perlu mengingat namespace untuk hampir semuanya lokal ke wadah. Anda harus menyadari di mana Anda berada, dan komunikasi antar wadah tidak sepele. Ini adalah ide yang baik ketika Anda membutuhkan modularitas, tetapi tidak ingin overhead mesin virtual, dan hal-hal yang Anda simpan dalam wadah benar-benar tidak terkait banyak.
Untuk pengguna "biasa", Anda dapat menggunakan wadah untuk menggunakan satu mesin untuk dua orang sambil menjaganya seolah-olah mereka berada di mesin yang sama sekali berbeda. Teman sekamar, misalnya.
Sementara deskripsi manusia yang baik tentang untuk apa wadah, ini masih tidak menjelaskan perbedaan antara yang istimewa dan yang tidak terjangkau.
anatoly techtonik
1
Nah, dengan kernel yang dibagikan, meskipun meningkatkan persyaratan musuh untuk membebaskan diri dalam beberapa hal (atau lebih tepatnya; itu membantu membatasi permukaan serangan), wadah tidakrivasi masih belum sepenuhnya terisolasi dari peretasan lurus yang mendapatkan root host, meskipun demikian .
Untuk alasan itu, itu adalah asumsi / klaim yang salah. Karena itu, tingkat bakat teknis di banyak pengguna di internet masih akan menjalankan layanan inet, dalam banyak cara yang mereka tidak benar-benar mampu secara teknis, jadi hei. :)
Mereka adalah alat yang sangat berharga untuk pengujian, kotak pasir dan enkapsulasi. Ingin server web terkunci dengan aman di lingkungan kerjanya sendiri, tidak dapat mengakses file pribadi yang sensitif? Gunakan wadah. Anda memiliki aplikasi yang memerlukan pustaka versi lama, dan file konfigurasi tertentu, tidak kompatibel dengan aplikasi lain? Juga sebuah wadah. Ini pada dasarnya chroot dilakukan dengan benar. Hal ini memungkinkan Anda untuk menjaga layanan cukup terpisah sehingga menjaga masing-masing layanan menjadi lebih mudah, dan mereka dapat dipindahkan atau disalin ke mesin lain tanpa harus mengganggu sistem yang ada.
The downside adalah bahwa Anda perlu mengingat namespace untuk hampir semuanya lokal ke wadah. Anda harus menyadari di mana Anda berada, dan komunikasi antar wadah tidak sepele. Ini adalah ide yang baik ketika Anda membutuhkan modularitas, tetapi tidak ingin overhead mesin virtual, dan hal-hal yang Anda simpan dalam wadah benar-benar tidak terkait banyak.
Untuk pengguna "biasa", Anda dapat menggunakan wadah untuk menggunakan satu mesin untuk dua orang sambil menjaganya seolah-olah mereka berada di mesin yang sama sekali berbeda. Teman sekamar, misalnya.
sumber
Nah, dengan kernel yang dibagikan, meskipun meningkatkan persyaratan musuh untuk membebaskan diri dalam beberapa hal (atau lebih tepatnya; itu membantu membatasi permukaan serangan), wadah tidakrivasi masih belum sepenuhnya terisolasi dari peretasan lurus yang mendapatkan root host, meskipun demikian .
Untuk alasan itu, itu adalah asumsi / klaim yang salah. Karena itu, tingkat bakat teknis di banyak pengguna di internet masih akan menjalankan layanan inet, dalam banyak cara yang mereka tidak benar-benar mampu secara teknis, jadi hei. :)
sumber