Przełącznik „Uprawnienia” w aplikacji ZimaOS w praktyce włącza tryb uprzywilejowany Dockera. Pomoc techniczna IceWhale opisała go jako przyznający kontenerowi uprawnienia podobne do tych na hoście, bezpośredni dostęp do sprzętu oraz uprawnienia na poziomie roota. Włączaj go tylko wtedy, gdy aplikacja naprawdę wymaga takiego poziomu dostępu.
W przypadku większości aplikacji tryb uprzywilejowany jest zbędny i osłabia izolację, dzięki której kontenery są bezpieczniejsze. Zamiast przyznawać kontenerowi pełny dostęp, lepiej przypisać jedno urządzenie lub dodać jedno uprawnienie systemu Linux.
Co zmienia tryb uprzywilejowany
Zgodnie z aktualnym przewodnikiem Dockera po kontenerach uprzywilejowanych, --privileged przyznaje kontenerowi wszystkie uprawnienia systemu Linux i dostęp do wszystkich urządzeń hosta, jednocześnie osłabiając istotne zabezpieczenia.
Dlaczego IceWhale opisało to jako dostęp na poziomie hosta
W oficjalnej odpowiedzi źródło podaje, że proces kontenera może uzyskać bezpośredni dostęp do sprzętu hosta i działać z uprawnieniami zbliżonymi do roota. To przydatne krótkie wyjaśnienie, ale praktyczne konsekwencje dla bezpieczeństwa są szersze: kontener nie jest już dobrze odizolowany.
Nie włączaj uprawnień tylko po to, by naprawić przypadkowy błąd
Jeśli aplikacja nie ma dostępu do urządzenia USB, układu GPU, funkcji sieciowej lub punktu montowania, najpierw ustal, jakiego dokładnie uprawnienia brakuje. Tryb uprzywilejowany może ukryć rzeczywisty problem z konfiguracją, jednocześnie udostępniając cały host.
Preferuj przypisywanie konkretnych urządzeń
devices:
- /dev/dri/renderD128:/dev/dri/renderD128W przypadku jednego urządzenia sprzętowego przypisz to urządzenie, a nie wszystkie urządzenia hosta.
Preferuj konkretne uprawnienia systemu Linux
cap_add:
- NET_ADMINKontener VPN/routera może wymagać określonych uprawnień sieciowych. Zamiast trybu uprzywilejowanego przyznaj minimalny wymagany zestaw, jeśli dokumentacja aplikacji na to pozwala.
Aplikacje, które mogą zasadnie wymagać szerszego dostępu
Przykłady obejmują narzędzia niskiego poziomu do obsługi sprzętu, Docker-in-Docker, niektóre urządzenia VPN/sieciowe, zarządzanie USB/urządzeniami lub specjalistyczne oprogramowanie do monitorowania systemu. Nawet w takich przypadkach najpierw zapoznaj się z zaleceniami dotyczącymi wdrożenia od dostawcy aplikacji.
Aplikacje, które zwykle go nie potrzebują
Zwykłe aplikacje internetowe, biblioteki multimediów, aplikacje do notatek, bazy danych, menedżery zdjęć, pulpity nawigacyjne i większość usług API nie powinny wymagać pełnego trybu uprzywilejowanego do działania.
Sprawdź uprawnienia po aktualizacji aplikacji
Starszy pakiet aplikacji mógł włączać tryb uprzywilejowany dla wygody, nawet jeśli twórcy dodali później węższy zakres uprawnień. Przy aktualizacji ponownie sprawdź aktualne wymagania Compose.
Przewodnik bezpieczeństwa Docker opisuje bezpieczniejszy sposób konfiguracji niestandardowych aplikacji.
Sprawdź kontener, zanim przyznasz mu więcej uprawnień
docker inspect CONTAINERSprawdź istniejące mapowania urządzeń, uprawnienia, punkty montowania, tryb sieciowy i konfigurację użytkownika. Wiele aplikacji nie działa, ponieważ brakuje im wymaganego urządzenia lub ścieżki, a nie dlatego, że potrzebują nieograniczonego dostępu do systemu hosta.
Tryb uprzywilejowany może zwiększyć skalę szkód
Jeśli dojdzie do naruszenia zabezpieczeń zwykłej, nieuprzywilejowanej aplikacji internetowej, izolacja kontenera może ograniczyć dostęp atakującego. Uprzywilejowany kontener może uzyskać znacznie szerszy dostęp do urządzeń i interfejsów jądra systemu hosta, więc luka w tej aplikacji może mieć konsekwencje dla całego systemu.
Zapisz, dlaczego uprawnienia są włączone
Jeśli świadomie włączasz tę opcję, zanotuj dokładnie, jaka funkcja tego wymaga. Przy kolejnej aktualizacji aplikacji sprawdź ponownie, czy może działać z węższym zakresem uprawnień, i wyłącz tę opcję, jeśli nie jest już potrzebna.
FAQ
Czy uprawnienia oznaczają, że kontener działa jako użytkownik root?
To coś więcej niż samo uruchomienie kontenera jako użytkownik root; tryb uprzywilejowany przyznaje rozległy dostęp do funkcji systemu hosta i urządzeń.
Czy mam go włączać dla każdej niestandardowej aplikacji?
Nie. Pozostaw go wyłączonego, chyba że dokumentacja twórców wyraźnie wskazuje, że aplikacja tego wymaga.
Czy mogę przyznać dostęp tylko do GPU lub USB?
Tak. Zamiast pełnego trybu uprzywilejowanego wybieraj konkretne mapowania urządzeń i ustawienia środowiska uruchomieniowego.
Czy tryb uprzywilejowany jest niebezpieczny?
Znacznie ogranicza izolację kontenera, więc naruszona aplikacja z trybem uprzywilejowanym może mieć znacznie większy wpływ na system hosta.
