‫Bạn nghĩ gì về những hình ảnh không kiểm soát?
‫Nó có phải là một sự đánh đổi tốt giữa kích thước và an ninh?
‫Tôi sẽ nói nếu bạn có thể tạo ra những hình
‫ảnh không kiểm soát, và ý chúng tôi nói về điều này,
‫thuật ngữ này là thay đổi.
‫Tôi cảm thấy như những hình ảnh không kiểm
‫soát là phức tạp. Tôi cảm thấy chỉ cần nói hình ảnh xước có
‫thể là một cách dễ dàng hơn để nói điều đó. Tuy nhiên, nói chính xác là
‫hình ảnh không kiểm soát, nghĩa là không có hệ thống gói
‫cơ sở. Không có apt. Không có Yum.
‫Không phải tất cả các lệnh khác nhau mà bạn cho
‫rằng đều nằm trong một vùng chứa nếu bạn sử dụng một
‫trong các hình ảnh chính thức. Vấn đề là, hình ảnh không
‫kiểm soát được không phổ biến vì hai lý do.
‫Một, hầu hết các chương trình
‫cần tất cả những thứ đó để hoạt động.
‫Họ cần các gói phụ thuộc apt.
‫Họ cần thư
‫viện SSL mở của riêng họ. Họ cần tất cả các thứ ngoài chương trình
‫có trong đó, đúng không.
‫Đó là hầu hết các ứng dụng ngày nay.
‫Golang, C, một số ngôn ngữ khác có thể xây dựng
‫các tệp nhị phân về cơ bản có mọi
‫thứ chúng cần để chạy, ngoại
‫trừ hạt nhân. Những thứ đó về mặt
‫kỹ thuật có thể loại bỏ mọi thứ bên dưới nó.
‫Tất cả các lớp và hình ảnh của bạn có thể biến mất.
‫Tôi không nhìn thấy chúng nhiều trong tự nhiên bởi vì tôi
‫không làm việc với Google, Netflix và các nhóm khổng lồ gồm
‫những người siêu chuyên nghiệp trong lĩnh vực này.
‫Hai lý do ở đây là, một là, bạn phải có
‫một ngôn ngữ hỗ trợ nó, và bạn phải có một nhóm hiểu
‫cách xây dựng những ngôn ngữ này đúng cách.
‫Sau đó, bạn phải thực sự giỏi trong việc khắc phục sự cố và cách các
‫vùng chứa trong không gian tên hoạt động.
‫Bởi vì phút mà hình ảnh không rõ ràng đó chạy trong một
‫vùng chứa và bạn gặp sự cố, bạn thậm chí không thể
‫truy cập vào nó.
‫Không có vỏ. Bạn không thể vào đó.
‫Bạn không thể nhìn vào nó. Vì vậy, bây giờ công cụ
‫của bạn bị hạn chế và bạn phải bắt đầu xem xét các cách khác
‫để kết nối công cụ của bạn với các thùng chứa đó.
‫Điều đó tồn tại. Có những thứ ngoài kia sẽ
‫làm điều đó cho bạn, nhưng nó phụ thuộc phần lớn vào bộ kỹ năng của
‫bạn về cách bạn xử lý không gian tên.
‫Làm thế nào bạn có thể nhảy vào như một sidecar vào
‫một vùng chứa đang chạy trong không gian tên của nó từ dòng lệnh mà
‫không cần sử dụng Docker?
‫Đó là những loại vấn đề nảy sinh khi bạn đang xử
‫lý khắc phục sự cố hoặc giám sát và bảo trì hệ
‫thống khi bạn có hình ảnh không kiểm soát được.
‫Đối với tất cả những người mà tôi làm việc bắt
‫đầu với container, một vài dự án đầu tiên của
‫họ về container, tôi không đề cập đến vấn đề này vì kích thước chỉ là kích thước.
‫Bạn luôn có thể thêm nhiều dung lượng đĩa hơn vào máy chủ, đúng không.
‫Không có lý do gì để khiến cả một nhóm chạy xung quanh tìm
‫hiểu tất cả các loại công cụ và nội dung mới chỉ để bạn có thể sử
‫dụng ít dung lượng ổ đĩa hơn trên máy chủ.
‫Cá nhân tôi không quan tâm đến kích thước.
‫An ninh là một điều lý thuyết.
‫Về lý thuyết, tất cả những thứ đó bị xóa khỏi
‫hình ảnh vùng chứa có thể làm cho
‫nó an toàn hơn. Tuy nhiên, chúng ta hãy nói về việc ở ngoài tự nhiên.
‫Ai đó có bao nhiêu cơ hội để xáo trộn
‫các công cụ khác trong vùng chứa bên ngoài
‫ứng dụng của bạn? Giả sử rằng cURL có một lỗ hổng trong đó,
‫nhưng ứng dụng của bạn không sử dụng cURL.
‫Nó chỉ xảy ra trong hình ảnh.
‫Làm thế nào để một người nào đó có quyền truy cập vào điều đó, phải không?
‫Họ sẽ phải vượt qua ứng dụng của bạn.
‫Vì vậy, ứng dụng của bạn phải có một khai thác.
‫Sau đó, về lý thuyết, họ có thể chạy lệnh cURL
‫trong vùng chứa, đúng không. Vì vậy, đó thực
‫sự là những gì công cụ phân biệt này là về phần thưởng
‫bảo mật lý thuyết của việc không bao gồm các ứng dụng khác.
‫Tuy nhiên, thực tế là khi bạn xây dựng một
‫nhị phân tĩnh, bạn đã bao gồm rất nhiều thư viện có
‫thể dễ bị tấn công như SSL mở, đây
‫là một cách phổ biến để kết nối các ứng dụng với bảo
‫mật SSL, đúng không.
‫Chà, nếu lỗ hổng đó có lỗ hổng và bạn cố định xây dựng nó vào
‫ứng dụng của mình thì nó vẫn ở đó.
‫Nó chỉ không phải là một tệp riêng biệt trên vùng chứa.
‫Nó nằm trong ứng dụng của bạn trong một tệp nhị phân duy nhất.
‫Trên thực tế, nó thực sự khiến việc quét bảo mật trở
‫nên khó khăn hơn vì hiện tại, mọi máy quét mà tôi biết sẽ
‫không bắt được mã nhị phân SSL mở đó nếu nó
‫được tích hợp sẵn. Vì vậy, rất nhiều thứ này chỉ là lý thuyết.
‫Tôi không có xu hướng thúc đẩy các nhóm hướng tới các
‫tính năng bảo mật trên lý thuyết. Tôi nhìn nhiều hơn vào những gì
‫đang xảy ra trong tự nhiên, phải không.
‫Docker daemon đang bị lộ.
‫Kubernetes không có xác thực thích hợp, vì
‫vậy nó bị lộ. Đó là những vấn đề thực
‫sự mà tôi thấy, bạn biết đấy, những thứ tập trung vào là những
‫thứ mà chúng ta liên tục nghe về những tin tức mà
‫mọi người đang bị tấn công, đúng không. Đây là loại công cụ có tính
‫bảo mật lý thuyết trong việc xóa tệp khỏi hình ảnh.
‫Đó chỉ là nhiều hơn trong lĩnh vực lý thuyết.
‫Đó không phải là lý do để không làm điều đó.
‫Cũng giống như danh sách này, mọi thứ trong danh sách này,
‫tôi sẽ làm đầu tiên trước khi bắt đầu đi vào con
‫đường khó khăn đó.
‫Tôi xem xét những hình ảnh không rõ ràng là tương đối khó.
‫Trừ khi bạn đã là một lập trình viên cờ vây và
‫cả nhóm của bạn đã thực sự giỏi không gian tên,
‫lệnh Docker và những thứ tương tự.
‫Ý tôi không chỉ là các lệnh Docker thông thường.
‫Ví dụ, ý tôi là những thứ phức tạp giúp bạn khắc phục
‫sự cố các vùng chứa không có vỏ trong đó.
‫Vì vậy, đó là một câu hỏi tuyệt vời.
‫Nó xuất hiện mọi lúc.
‫Mọi người đều hỏi tôi về nó khi chúng tôi thảo luận về bảo mật vì
‫đó là một chủ đề phổ biến. Nhưng, nó thậm chí còn không nằm trong
‫top 10 của tôi.
‫Tôi hy vọng điều đó sẽ giúp.