标签： 安全

谷歌支付金钱和人力，因此迫切需要保护开源的安全

5 月 12 日，在美国白宫开源软件安全峰会上，谷歌与 Linux 基金会、开源软件安全基金会 (OpenSSF)以及其他行业领袖共同讨论了开源安全举措，并宣布成立“开源维护团队”。这是一个由开发人员组成的团队，他们将致力于确保上游开源项目的安全，从收紧配置到部署更新。

谷歌着眼于开源软件安全

本次峰会是 1 月份白宫举办的关于开源安全讨论会议的后续活动，与会者在会上讨论了开源软件在行业中的关键作用，以及如何更好地解决开源维护人员在提高项目安全性时所面临的挑战。其中，主要挑战之一是缺乏资金和人力资源来预防、发现和修复系统性安全漏洞。

“鉴于数字基础设施在我们生活中的重要性，是时候开始让我们用处理物理基础设施相同的方式来思考它了。开源软件是大部分网络世界的结缔组织——它值得我们为道路和桥梁提供同样的关注和资金。”谷歌全球事务总裁兼首席法律官 Kent Walker 在 1 月份的会议后表示。

新的开源维护团队的规模尚未公开，但考虑到 Google 可支配的资源数量，规模可能会相当可观，此外，团队选择维护哪些开源项目也将取决于许多因素。

在财务方面，谷歌去年承诺在未来五年内投入 100 亿美元，通过各种计划和举措帮助改善网络安全，其中包括 1 亿美元用于支持 OpenSSF 等组织。此外，谷歌还创建了 Open Source Insights 项目，该项目为所有开源包提供依赖关系图。

“该项目分析开源包并提供依赖关系及其属性的详细图表。有了这些信息，开发人员可以了解他们的软件是如何组合在一起的，以及他们依赖关系变化的后果——正如 Log4j 所示，当受影响的依赖关系在依赖关系图中有很多层时，这可能会很严重。”谷歌一篇博客中介绍道。

开源软件生态确立的十大目标

去年，拜登政府发布了一项行政命令，以提高软件供应链的安全性，而本次安全峰会距离拜登政府发布改善软件供应链安全的行政命令刚好一周年的时间。

Linux 基金会和 OpenSSF 在本次峰会上呼吁，在两年内提供 1.5 亿美元的资金来解决十个主要的开源安全问题。包括：

  1. 安全教育：向所有人提供基线安全软件开发教育和认证。
  2. 风险评估：为前 0,000 个或更多）OSS 组件建立一个公开的、供应商中立的、基于客观指标的风险评估仪表板。
  3. 数字签名：加速在软件版本中采用数字签名。
  4. 内存安全：通过替换非内存安全语言来消除许多漏洞的根本原因。
  5. 事件响应：建立 OpenSSF 开源安全事件响应团队，安全专家可以在响应漏洞的关键时刻介入协助开源项目。
  6. 更好的扫描：通过高级安全工具和专家指导，加速维护人员和专家发现新漏洞。
  7. 代码审计：每年对多达 200 个最关键的 OSS 组件进行一次第三方代码审查（以及任何必要的补救工作）。
  8. 数据共享：协调全行业的数据共享，以改进有助于确定最关键 OSS 组件的研究。
  9. 软件物料清单 (SBOM)：持续改进无处不在的 SBOM 工具和培训以推动采用。
  10. 改进的供应链：使用更好的供应链安全工具和最佳实践来增强 10 个最关键的开源软件构建系统、包管理器和分发系统。

关于 OpenSSF

开源软件安全基金会（OpenSSF）创立于 2020 年，旨在将广泛的社区领导者聚集到一起，建立具有针对性的计划和最佳实践，以提升开源软件的安全性。除谷歌之外，OpenSSF 的成员还包括 GitHub、Microsoft、Canonical、Cisco、Facebook、Intel、HP、腾讯、IBM、Red Hat、Samsung 等。

参考链接：

Google launches ‘open-source maintenance crew’

https://duo.com/decipher/new-google-team-to-help-critical-open-source-projects-improve-security

你的图像安全吗？

你的镜像安全吗？

与传统的服务器和虚拟机相比，Docker容器为我们工作提供了更安全的环境。容器中可以使我们的应用环境组件实现更小，更轻。每个应用的组件彼此隔离并且大大减少了攻击面。这样即使有人入侵了您的应用，也会最大程度限制被攻击的程度，而且入侵后，利用漏洞传播攻击更难。

不过，我们还是需要最大程度了解Docker技术本身的存在的安全隐患，这样才能实现最大程度保护我们的容器化系统。

其中大部分将类似于我们已经为基于服务器所做的工作，例如监视容器活动，限制每个容器环境的资源消耗，维持良好的应用程序设计实践，修补漏洞并确保凭据不会被入侵您的Docker映像。

但是，我们还是需要采取专门针对Docker部署的安全措施。因此，以下列出了确保容器平台上托管的应用程序安全的三个基本步骤。

让我们从最重要的开始。

1. 以非Root用户运行容器镜像

默认情况下，Docker授予容器中进程的root权限，这意味着它们具有对容器和主机环境的完全管理访问权限。 一般来说，就像我们不会在标准Linux服务器上以root身份运行进程一样，我们大部分容器应用部署时，也不会在容器中以root身份运行。

但是，如果没有适当的注意和关注，开发人员可以轻松地忽略此默认行为并创建不安全的映像，这些映像会错误地授予root用户访问权限。这可能是对黑客送了一份大礼，黑客可以利用此漏洞窃取API密钥，令牌，密码和其他机密数据，或者干扰容器部署的基础主机，并对服务器系统造成恶意破坏。

甚至，您的DevOps团队还可能会受到侵害，从而给Docker环境带来意想不到的后果。例如，他们可能会无意中创建具有管理访问权限的，由Dockerfile命令构建的映像，这些映像在启动容器时会擦除数据或更改主机系统设置。

如何防止容器以root权限运行

如果不确定基础镜像使用什么权限，应该强制使用自定义用户的非root用户或用户组。这样，容器进程只能访问我们预期功能所需要的资源

可以通过以下任意方式操作即可：

l 在Dockerfile中设置非root用户

首先，设置仅具有应用程序所需访问权限的专用用户或用户组。

然后，Dockerfile中添加User，并以此用户或组以构建镜像和启动容器运行时进程命令

FROM centos:7

RUN groupadd -g 1000 basicuser &&

useradd -r -u 1000 -g basicuser basicuser

USER basicuser

l 在Docker run命令中使用-user指定非root用户

Docker run命令中的-user选项将覆盖Dockerfile中指定的任何用户。所以，在以下示例中，您的容器将始终以最低特权运行-所提供的用户标识符1009的权限级别也最低。但是，此方法无法解决映像本身的潜在安全缺陷。因此，最好在Dockerfile中指定一个非root用户，以便您的容器始终安全运行。

$ docker run –user 1009 centos:7

2. 使用自己的私有注册中心

私有注册中心是由我们自己的组织搭建的完全独立的容器映像仓库。您可以搭建在自己的服务器上，也可以托管在第三方云服务上，例如Amazon ECR，Azure容器注册，Google容器注册，Red Hat Quay和JFrog自己的容器注册服务。

私有注册中心可以让您获得更完善的镜像的管理方式，并且通常提供更高级的功能，可以帮助确保库存安全。

例如：

l 复杂的镜像扫描工具，用于识别威胁和未修补的漏洞。

l 严格的治理，例如基于角色的访问控制（RBAC）和合规性监视。

l 数字签名，镜像认证和其他防篡改功能。

l 用于开发，测试和生产多环境的镜像仓库。

相比之下，诸如Docker Hub之类的公共注册表一般仅提供基本服务-您必须信任镜像发布者，而镜像发布者可能未遵循相同的高安全标准。

这样，您最终可能会得到包含恶意或过时代码的镜像，并最终获得对数据泄露敞开大门的容器环境。

3. 保持镜像最小化

镜像越大，受到攻击的可能性越大。对于linux系统，您没有选择余地，但是对于Docker来说，只选择自己需要的组件即可。

选择最小的基础镜像

Docker hub上的某些镜像比其他的镜像更简化。比如在ubuntu仓库中，有些镜像的大小是部分版本的2倍以上。

所以在您获取镜像时，不要单纯地只获取最新版本的镜像，最理想的是获取占用空间最小的镜像，然后自主添加应用所需的软件包和依赖。

Docker Hub显示存储库中每个映像的压缩大小，如下面的Minimal Ubuntu版本所示。

拉取镜像后可以使用docker images命令检查其实际大小。

$ docker images

然后，如下所示查找刚刚下载的镜像的条目。

优化Dockerfile和.dockerignore中的镜像

接下来，您需要创建一个Dockerfile来为容器构建简化镜像。这将由基础镜像层和自己的镜像层组成。添加这些层时，有些制品将不是运行时环境的必需部分。要排除这些，应该在要从中构建映像的根目录中设置一个.dockerignore文件。

多阶段构建

最后，减小镜像大小的另一种方法是使用Docker多阶段构建功能，Docker 17.05及更高版本支持。

基于这个能力，Dockerfile中可以使用多个FROM命令。

对于每个新的FROM语句，我们可以使用多个不同的基础镜像。然后我们可以有选择地将所需的文件复制到下一阶段，多余的各层将被留下。具体示例如下：

FROM golang:1.7.3

WORKDIR /go/src/github.com/alexellis/href-counter/

RUN go get -d -v golang.org/x/net/html

COPY app.go .

RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o app .

FROM alpine:latest

RUN apk –no-cache add ca-certificates

WORKDIR /root/

COPY –from=0 /go/src/github.com/alexellis/href-counter/app .

CMD ["./app"]

验证镜像完整性

改善容器安全状况的另一种方法是在将镜像从Docker Hub中拉出之前进行验证。

Docker守护程序默认在不检查其完整性的情况下拉取Docker映像。但是，随着Docker Engine 1.8的发布，该平台引入了一项新功能Docker Content Trust，该功能支持镜像的数字签名和身份验证。

此服务使您可以向发布到远程仓库的镜像添加加密签名。同时，每当您尝试拉取镜像时，它都会自动验证数字签名。这样，您可以确定镜像的所有者的身份是不是与他们声明的一致。

要激活Docker Content Trust，您需要使用Linux export命令设置以下变量。

$ export DOCKER_CONTENT_TRUST=1

这只会在您当前的shell中设置。如果要全面启用Docker Content Trust，则需要在所有用户共享的默认环境变量中进行设置。

尽管Docker Content Trust无法验证映像的质量，但可以通过防止在传输过程中受到破坏或通过对存储库的未授权访问，以此来帮助保持镜像的清洁。