Jak montaż wiązany zmienia bezpieczeństwo kontenera na serwerze domowym?

Montaż bind zmienia bezpieczeństwo kontenera, dając procesowi wewnątrz kontenera bezpośredni dostęp do rzeczywistej ścieżki na serwerze domowym. Ten dostęp omija część granicy jednorazowego systemu plików kontenera i sprawia, że pliki hosta, zasady własności, etykiety i opcje montowania stają się częścią modelu bezpieczeństwa kontenera.

Montaż nie jest automatycznie niebezpieczny. Ryzyko zależy od tego, która ścieżka hosta jest ujawniona, czy kontener może do niej zapisywać, pod jakim użytkownikiem działa proces oraz czy uwzględniono wrażliwe ścieżki, takie jak gniazdo Dockera, katalogi konfiguracyjne lub foldery kopii zapasowych.

Jaką granicę przekracza montaż bind?

Kontener normalnie widzi własny warstwowy system plików i wybrane zarządzane wolumeny. montaż bind ujawnia rzeczywistą ścieżkę hosta, więc pliki tworzone lub zmieniane przez tę ścieżkę to zmiany w systemie plików hosta.

Kontener nadal używa przestrzeni nazw i jądra hosta, ale zamontowany katalog nie jest już izolowany za warstwą zapisywalną obrazu. Aplikacja może współdziałać z tymi samymi plikami, które mogą używać usługi hosta, narzędzia do kopii zapasowych lub inne kontenery.

To zmienia pytanie o bezpieczeństwo z „Co jest wewnątrz obrazu?” na „Do których obiektów hosta ten proces ma dostęp?” Mały katalog multimediów i główny system plików serwera to zupełnie inne narażenia, nawet jeśli obraz kontenera jest identyczny.

Dlaczego dostęp zapisywalny zwiększa zakres szkód?

Montaże bind są zazwyczaj zapisywalne, chyba że skonfigurowano inaczej. Montaż zapisywalny oznacza, że procesy kontenera mogą modyfikować pliki na hoście używając uprawnień dostępnych dla procesu kontenera.

Zainfekowany serwer multimedialny może wtedy zaszyfrować zamontowaną bibliotekę, zmienić konfigurację, zastąpić skrypty lub usunąć pliki, które normalnie przetrwałyby usunięcie kontenera. Szkody utrzymują się, ponieważ dane znajdują się poza warstwą kontenera.

Migawki i kopie zapasowe nadal mogą pomóc, ale muszą zawierać zdrowy wcześniejszy stan. migawki mogą zachować już uszkodzone dane, dlatego projekt montowania powinien ograniczać szkody zanim będzie potrzebna historia wersji.

Jak montowanie tylko do odczytu zmniejsza ryzyko?

Montaż wiązany tylko do odczytu zachowuje widoczność hosta, blokując normalne zapisy przez ten montaż. Dla konfiguracji, danych wejściowych multimediów, certyfikatów lub danych referencyjnych, montaże tylko do odczytu ograniczają zmiany w systemie plików bez ukrywania plików potrzebnych aplikacji.

Tryb tylko do odczytu znacznie ogranicza zakres szkód, ale nie zapewnia całkowitej izolacji. Kontener może nadal odczytywać sekrety, pliki osobiste, metadane lub poświadczenia, jeśli montowana ścieżka jest zbyt szeroka.

Aplikacje potrzebują również wyraźnie zapisywalnych lokalizacji dla baz danych, przesyłanych plików, pamięci podręcznej lub logów. Montowanie tylko tych wąskich katalogów jako zapisywalnych jest bezpieczniejsze niż udostępnianie całego drzewa aplikacji lub katalogu domowego użytkownika.

Dlaczego UID, GID i etykiety nadal mają znaczenie?

Montaż wiązany zachowuje własność i zasady dostępu systemu plików hosta. Proces kontenera nie zyskuje abstrakcyjnych uprawnień wolumenu; montaże wolumenów mogą ujawniać informacje hosta przez dokładne mapowanie ścieżek i tożsamości.

Gdy root kontenera jest bezpośrednio mapowany na root hosta, ścieżka zapisywalna może być szczególnie niebezpieczna. Uruchamianie aplikacji jako nie-rootowy UID zawęża dostęp, ale niezgodne wartości UID i GID mogą również powodować błędy uprawnień, które użytkownicy czasem „rozwiązują” zbyt szerokimi ustawieniami chmod.

SELinux lub inny system obowiązkowej kontroli dostępu dodaje drugą decyzję poza bitami trybu Unix. Poprawne etykiety mogą ograniczyć kontener nawet wtedy, gdy numeryczne własności wydają się zezwalać na dostęp, podczas gdy wyłączenie etykietowania może usunąć tę ochronę.

Dlaczego niektóre ścieżki hosta są znacznie bardziej niebezpieczne?

Ryzyko zależy od uprawnień, a nie tylko od liczby plików. Montowanie gniazda Dockera ujawnia kontrolę nad demonem, co może pozwolić skompromitowanemu kontenerowi na tworzenie uprzywilejowanych kontenerów lub montowanie dodatkowych ścieżek hosta.

Montowanie katalogu root serwera, `/etc`, kluczy SSH, konfiguracji pakietów lub sekretów aplikacji może zamienić jedno naruszenie kontenera w szerszy dostęp do hosta. Montaż zawierający wykonywalne skrypty może również stać się ścieżką utrzymania, jeśli inny proces hosta uruchomi te pliki.

Zwykłe ścieżki danych mogą nadal być wrażliwe. Rodzinne zdjęcia, eksporty menedżera haseł, dokumenty podatkowe i kopie zapasowe mogą nie pomóc atakującemu w ucieczce z kontenera, ale nieautoryzowane odczytanie lub usunięcie to już poważna luka bezpieczeństwa.

Jak powinien wyglądać projekt montowania wiązanego w serwerze domowym?

Zacznij od najmniejszego katalogu hosta, który spełnia wymagania aplikacji. namespace montowania izolują widoki systemu plików, a każdy bind mount powinien być traktowany jako celowe odstępstwo od tego widoku.

Preferuj dostęp tylko do odczytu dla danych wejściowych, uruchamiaj kontener jako dedykowany użytkownik bez uprawnień root, trzymaj sekrety poza szerokimi montażami danych i unikaj gniazd lub katalogów systemowych, chyba że aplikacja naprawdę ich potrzebuje.

Sprawdź faktyczną ścieżkę po zastosowaniu dowiązań symbolicznych, uprawnień i etykiet. Bezpieczny projekt powinien sprawić, że usunięcie lub naruszenie jednego kontenera wpłynie tylko na jego własną wąską granicę danych, podczas gdy niezależne kopie zapasowe zachowują inną granicę odzyskiwania.

Najczęściej zadawane pytania

Czy bind mount jest mniej bezpieczny niż wolumin Dockera?

Nie automatycznie. Bind mount bezpośrednio udostępnia wybraną ścieżkę hosta, podczas gdy zarządzany wolumin jest bardziej abstrakcyjny. Bezpieczeństwo zależy od zakresu ścieżki, dostępu do zapisu, tożsamości procesu i etykiet.

Czy tryb tylko do odczytu czyni wrażliwy montaż bezpiecznym?

Zapobiega to normalnym modyfikacjom przez ten montaż, ale kontener nadal może odczytać wszystko, co udostępnia ścieżka. Sekrety i prywatne pliki nie powinny być montowane, chyba że jest to konieczne.

Czy kontener bez uprawnień root może uszkodzić pliki zamontowane przez bind mount?

Tak, gdy jego UID lub grupy mają uprawnienia do zapisu do ścieżki hosta. Brak uprawnień root zmniejsza przywileje, ale nie zmienia faktycznych zasad własności i dostępu.

Dlaczego montowanie gniazda Dockera jest niebezpieczne?

Gniazdo kontroluje demona Dockera. Dostęp może pozwolić kontenerowi na uruchamianie uprzywilejowanych zadań, przeglądanie sekretów lub montowanie dodatkowych katalogów hosta.

Ostateczne wnioski

Bind mount to celowe otwarcie granicy systemu plików kontenera. Jego bezpieczeństwo zależy od możliwości udostępnionych przez ścieżkę hosta: dane tylko do odczytu, zapisywalny stan aplikacji, wrażliwe sekrety lub kontrola administracyjna. Wąskie ścieżki, domyślnie tylko do odczytu, tożsamości bez uprawnień root, poprawne etykiety i niezależne kopie zapasowe zapobiegają awarii całego serwera domowego przez jeden kontener.