Argumentos de compilación: Comodidad que puede comprometer la seguridad
Los argumentos de compilación de Docker facilitan el paso de valores de configuración durante la compilación, pero conllevan un coste que a menudo se pasa por alto: dichos argumentos persisten en los metadatos y capas de la imagen. Los desarrolladores suelen asumir que estos valores desaparecen tras la compilación, pero en realidad, las instrucciones de Docker para los argumentos de compilación los incorporan al historial de la imagen.
⚠️Ejemplo inseguro, solo con fines educativos. No utilizar en producción.
FROM node:18
ARG API_KEY=my-Secreto-key
RUN echo "API_KEY=$API_KEY" > /app/config.txt
Cualquiera que corra historia de la ventana acoplable or ventana acoplable inspeccionar encontrará el CLAVE API valor incrustado en los metadatos de la imagen. Esto sucede debido a la instrucción de argumento de compilación de Docker. commitCada paso de construcción se considera una capa permanente.
Versión segura:
# Use Docker BuildKit Secretos instead of ARG
# docker build --Secreto id=api_key,src=./api.key .
FROM node:18
RUN --mount=type=Secreto,id=api_key cat /run/Secretos/api_key > /app/config.txt
Nota educativa: Evite inyectar Secretos a través de los argumentos de compilación de Docker. Utilice –Secreto Los puntos de anclaje proporcionados por BuildKit para datos sensibles nunca se almacenan en capas ni en metadatos.
Cómo persisten los secretos en capas y metadatos
Cada instrucción en un Dockerfile crea una nueva capa de imagen. Incluso al sobrescribir o eliminar archivos, las capas anteriores permanecen en la caché. Por eso Secretos inyecta argumentos de compilación de Docker o los argumentos de compilación de Docker persisten indefinidamente.
⚠️Ejemplo inseguro, solo con fines educativos. No utilizar en producción.
FROM python:3.10
ARG GITHUB_TOKEN=ghp_ABC123TOKEN
RUN pip install private-package --extra-index-url https://user:$GITHUB_TOKEN@pypi.example.com
El uso de ARG De esta forma, el token se incrusta en la capa de imagen, visible a través de inspección de imágenes de Docker o extraído de la caché. Versión segura:
# Secure alternative using BuildKit Secretos
# docker build --Secreto id=gh_token,src=.Secretos/token.txt .
FROM python:3.10
RUN --mount=type=Secreto,id=gh_token pip install private-package --extra-index-url https://pypi.example.com
Nota educativa: Durante su uso, los valores confidenciales permanecen en el historial. En su lugar, utilice montajes efímeros de Secreto para proteger tokens y credenciales.
Errores de configuración comunes en CI/CD Pipelines
In tapas españolas pipelinesLos desarrolladores suelen pasar Secretos a través de CI/CD En entornos que utilizan argumentos de Docker o cachés compartidas, esta práctica provoca filtraciones de Secretos en los registros, los ejecutores y las cachés del registro. Con corredores compartidos en Acciones de GitHub, GitLab CI, o JenkinsEstos secretos pueden propagarse fácilmente a trabajos no relacionados.
⚠️Ejemplo inseguro, solo con fines educativos. No utilizar en producción.
# Never expose real tokens, credentials, or internal URLs in pipelines
- name: Build image
run: docker build -t app --build-arg TOKEN=${{ Secretos.API_TOKEN }} .
El archivo Secreto termina en los registros de compilación y en los metadatos de la imagen, violando los principios de mínimo privilegio. Versión segura:
# Secure build command using BuildKit Secreto mount
- name: Secure Docker build
run: docker buildx build --Secreto id=api_token,src=.Secretos/api_token.txt .
Nota educativa: Evitando --argumento de compilación para Secretos. En CI/CDSecretos nunca debe pasar por variables de entorno ni registros. Siempre es preferible usar montajes efímeros de Secretos.
Buenas prácticas para prevenir la exposición de secretos
Para evitar la exposición de Secreto, primero hay que reconocer que los argumentos de compilación de Docker son públicos por diseño. Son excelentes para la configuración (como las etiquetas de versión o las banderas de características), pero no para las credenciales.
BUENAS PRÁCTICAS
- Utilice BuildKit — Secreto para datos sensibles.
- Nunca defina Secretos mediante ARG o ENV.
- Agregar .env, Secretos/, y config / directorios a .dockerignore.
- Aplicar compilaciones en varias etapas aislar las etapas privadas.
- Borrar cachés después de etapas de construcción delicadas.
- Validar metadatos de imagen con el historial de Docker antes de publicar.
Mini lista de verificación preventiva
- Auditar todos los Dockerfiles para argumentos de compilación de Docker uso.
- Reemplace las credenciales con BuildKit. –Secreto.
- Asegúrese de que .dockerignore Excluye archivos confidenciales.
- Desinfectar CI/CD Variables de entorno.
- Automatice el escaneo de Secreto antes de enviar las imágenes.
Nota educativa: Si un valor pasa por un argumento de compilación de Docker, se vuelve permanente. Utilice montajes Secreto y etapas de compilación aisladas para proteger los datos confidenciales.
Detección del uso inseguro de argumentos de compilación antes del despliegue
El escaneo automatizado es esencial para identificar patrones de argumentos de compilación de Docker riesgosos antes de que una imagen se implemente en producción. Herramientas como curiosidades, hadolin, y xygeni Puede detectar credenciales incrustadas en Dockerfiles o capas de imagen.
Fragmento funcional, con contexto y control de seguridad.
# CI/CD guardrail: pre-deployment Dockerfile security scan
- name: Dockerfile security scan
run: trivy config --severity HIGH, CRITICAL --ignore-unfixed.
Este paso actúa como un control preventivo, bloqueando las instrucciones Docker con argumentos de compilación inseguros antes de la implementación.
Nota educativa: Integrar el escaneo de Dockerfiles como un requisito obligatorio CI/CD etapa. Las herramientas automatizadas ayudan a garantizar una higiene de compilación consistente y segura.
Cómo Xygeni protege contra las filtraciones de secretos durante la compilación
xygeni Protección de secretos Proporciona detección especializada para el mal uso de los argumentos de Docker. Identifica definiciones de ARG inseguras, rastrea los valores de Secreto a través de las etapas de compilación y señala las credenciales residuales en los metadatos de la imagen o en las capas almacenadas en caché. Al integrarte con tu CI/CD pipeline, aplica las políticas de seguridad de los argumentos de compilación de Docker antes de las fusiones o las versiones.
Fragmento funcional, ejemplo de aplicación contextual
# Secure enforcement of Docker build arg usage
- name: Xygeni Docker ARG enforcement
run: dotnet xygeni enforce --rules dockerfile,Secretos,build --fail-on-risk
Añade este trabajo a tu lista pipelineEtapa de validación para la protección continua.
Nota educativa: Xygeni aplica automáticamente prácticas seguras de Docker, evitando que configuraciones de compilación riesgosas filtren Secretos entre entornos.
En resumen: Docker nunca debería manejar secretos en los argumentos de compilación.
Los argumentos de compilación de Docker son un arma de doble filo: convenientes para la configuración, pero riesgosos para Secretos. Cada valor de Docker que inyectes en tu compilación puede persistir en metadatos, historial de imágenes o cachés.
Proteja sus creaciones mediante:
- Usando BuildKit –Secreto para credenciales.
- Aislamiento de datos confidenciales en compilaciones de varias etapas.
- Escaneo en busca de valores filtrados antes de la implementación.
- Aplicar las políticas de seguridad mediante Xygeni Code Security.
Tu construcción pipeline Su seguridad depende de la seguridad de Secretos que no expongas. Trata cada argumento de compilación de Docker como un posible vector de divulgación y protégelo antes de que los atacantes lo encuentren.
