Jak działają sekrety Dockera i gdzie programiści je nadużywają
Sekrety Dockera zostały wprowadzone w celu bezpiecznego zarządzania poufnymi danymi, takimi jak klucze API, hasła do baz danych i tokeny. Działają one poprzez montowanie sekretów jako plików w /uruchom/sekrety wewnątrz kontenera, dostępnego tylko dla usługi konteneryzowanej. Ten mechanizm, przynajmniej w teorii, chroni zmienne środowiskowe i logi przed poufnymi informacjami. Problem zaczyna się, gdy programiści omijają ten mechanizm. Zamiast korzystać z sekretów Docker Compose aby funkcja działała prawidłowo, sekrety są często zakodowane na stałe Dockerfile, commitPrzenoszone do Gita lub wstrzykiwane przez zmienne środowiskowe. Te skróty sprawiają, że sekrety są podatne na przypadkowe ujawnienie poprzez logi, warstwy kontenerów lub historię wersji.
⚠️ Niebezpieczny przykład, nie używać w środowisku produkcyjnym
Po dodaniu tej linii jest ona umieszczana w obrazie. Każdy, kto ma dostęp do obrazu (kompiluje pamięć podręczną, rejestr lub CI/CD logi) mogą go wyodrębnić. Co gorsza, ten schemat często pozostaje niezauważony podczas recenzji, ponieważ „po prostu działa”.
Sekrety Docker Compose i ukryte zagrożenia w konfiguracjach współdzielonych
Docker Compose upraszcza aplikacje wielokontenerowe, ale Sekrety Docker Compose niosą ze sobą ukryte ryzyko. Deweloperzy często dzielą się Docker Compose.yml or .env plików pomiędzy zespołami i środowiskami za pośrednictwem Git, Slack lub dysków współdzielonych.
⚠️ Przykład demonstracyjny: nie umieszczaj prawdziwych sekretów w plikach wersjonowanych
Problem? Te Docker Compose tajniki Odwołania zakładają pliki lokalne, ale w praktyce pliki te są wersjonowane lub dystrybuowane w sposób niezabezpieczony. Sekrety wkradają się do repozytoriów Git i pojawiają się w pull requestslub skopiować do innych folderów. Założenie, że „wszyscy wiemy, żeby nie commit „tajemnice” nie są polityką bezpieczeństwa.
Co gorsza, środowiska takie jak środowisko testowe i produkcyjne mogą ponownie wykorzystywać te same docker-compose.yml, tworząc fałszywe poczucie separacji. Jeden źle skonfigurowany .env Plik i sekrety produkcyjne są wstrzykiwane do środowiska testowego.
CI/CD Pipelines: Gdzie obsługa tajnych funkcji Dockera jest przerwana
In CI/CD, Sekrety Dockera rozpadną się, jeśli nie zostaną odizolowane. Sekrety często wyciekają w trzech miejscach: w dziennikach, warstwach obrazu i współdzielonych modułach uruchamiających.
Dzienniki: Drukowanie kroków CI echo $SECRET_KEY do debugowania problemów. Ale te logi są przechowywane, czasami publicznie. Narzędzia takie jak Akcje GitHub or GitLab przechowuj dzienniki przez dni lub tygodnie.
Warstwy obrazu:Jeśli Dockerfile dodaje sekret podczas kompilacji:
⚠️ Niebezpieczny przykład, ujawniający sekrety w warstwach obrazu
Że Sekret Dockera jest teraz częścią warstwy obrazu. Nawet jeśli później usuniesz plik, poprzednia warstwa pozostanie w historii obrazu.
Współdzieleni biegacze: Wiele CI/CD Platformy korzystają ze współdzielonych programów uruchamiających. Jeśli sekrety nie mają odpowiedniego zakresu lub nie są odpowiednio oczyszczone, inne kompilacje mogą uzyskać do nich dostęp. Co gorsza, sekrety są czasami domyślnie przekazywane jako zmienne środowiskowe do wszystkich kroków.
Zabezpieczanie Dockera w kodzie, Pipelines i rejestry
Zablokować Sekrety DockeraZespoły deweloperskie potrzebują wielowarstwowych zabezpieczeń:
- Użyj tajnych menedżerów Takie jak AWS Secrets Manager, HashiCorp Vault czy Doppler. Te narzędzia bezpiecznie rotują i wstrzykują sekrety do kontenerów w czasie wykonywania.
- Zakresy graniczneNigdy nie ujawniaj sekretów produkcyjnych w środowiskach deweloperskich/testowych. Używaj kontroli dostępu opartej na rolach (RBAC), aby ograniczyć, kto może wstrzykiwać lub odczytywać sekrety.
- Unikaj zmiennych ENV dla sekretów, Posługiwać się Sekret Dockera woluminy lub montuj sekrety jako pliki w sposób jawny.
- Wyczyść kompilacje: Upewnij się, że sekrety nie są wbudowane w obrazy lub pozostawione w plikach pośrednich.
- Skanuj kontenery i repozytoria:Używaj narzędzi, które sprawdzają obrazy, historię git i CI/CD konfiguracje wyciekłych sekretów.
Najlepsze praktyki zapobiegające ujawnieniu poufnych informacji Dockera
- Ulotne sekrety:Generuj jednorazowe sekrety podczas cykli CI. Wygasają i nie można ich ponownie użyć w przypadku kradzieży.
- Zapieczętowane sekrety: Użyj Kubernetes Sealed Secrets (SOPS) do szyfrowania sekretów w Git. Zapewnia to bezpieczne wersjonowanie sekretów.
- CI/CD polityka:Egzekwuj zasady takie jak brak sekretów w Dockerfile, blok buduje się na wykrywaniu sekretów i rejestrowaniu użycia Sekrety Dockera dla pipeline.
- Pre-commit hooks: Blok commitz sekretami, używając narzędzi takich jak sekrety git or wykryć sekrety.
- Niezmienna infrastruktura: Nie modyfikuj sekretów w kontenerach. Przebuduj i wdróż ponownie z nowymi Sekrety Dockera zamiast.
Wniosek
W przypadku niewłaściwego użycia, Sekrety Dockera stać się obciążeniem, a nie zabezpieczeniem. Od Sekrety Docker Compose przeciekanie przez pliki YAML do CI/CD pipelineUjawnianie tajemnic w dziennikach lub warstwach wiąże się z realnym ryzykiem, któremu można zapobiec.
Korzystanie z narzędzi takich jak Xygenizespoły mogą wykryć narażone tajniki wcześnie, egzekwuj zasady dotyczące obsługi tajnych informacji i skanuj pod kątem odchyleń od standardów bezpieczeństwa w kodzie, kontenerach i pipelines. Zajmij się swoim Dsekret ockera Strategia jako infrastruktura krytyczna. Zabezpiecz ją tak, jak tego chcesz.
