【Docker7】Docker安全及https安全认证
Docker安全及https安全认证容器的安全性问题的根源在于容器和宿主机共享内核。如果容器里的应用导致Linux内核崩溃，那么整个体系大概都会崩溃。与捏造机是差别的，捏造机并没有与主机共享内核，捏造机崩溃一样平常不会导致宿主机崩溃。
一、Docker 容器与捏造机的区别
1、隔离与共享
捏造机通过添加 Hypervisor 层（捏造化中心层），捏造出网卡、内存、CPU 等捏造硬件，再在其上创建捏造机，每个捏造机都有自己的体系内核。
而Docker容器则是通过隔离的方式，将文件体系、进程、设备、网络等资源进行隔离，再对权限、CPU 资源等进行控制，终极让容器之间互不影响，容器无法影响宿主机。
容器与宿主机共享内核、文件体系、硬件等资源。
2、性能与斲丧
与捏造机相比，容器资源斲丧要少。同样的宿主机下，可以或许创建容器的数目要比捏造机多。
但是，捏造机的安全性要比容器稍好，要从捏造机攻破到宿主机或其他捏造机，必要先攻破 Hypervisor 层，这是极其困难的。
而 docker 容器与宿主机共享内核、文件体系等资源，更有大概对其他容器、宿主机产生影响。
3、差别点
Docker容器捏造机启动速度快，几秒钟慢，几分钟运行性能接近原生（直接在内核中运行）运行于Hypervisor上，50%左右损失磁盘占用小，甚至几十KB（根据镜像层的环境）非常大，上GB并发性一台宿主机可以启动成百上千个容器最多几十个捏造机隔离性进程级别体系级别（更彻底）操作体系主要支持Linux险些全部封装程度只打包项目代码和依赖关系，共享宿主机内核完整的操作体系，与宿主机隔离 二、Docker 存在的安全问题
1、Docker 自身毛病
作为一款应用 Docker 自己实现上会有代码缺陷。CVE 官方记录 Docker 历史版本共有凌驾 20 项毛病，可拜见 Docker 官方网站。
黑客常用的攻击手段主要有代码执行、权限提拔、信息泄露、权限绕过等。如今 Docker 版本更迭非常快，Docker 用户可将 Docker 升级为最新版本。
2、Docker 源码问题
Docker 提供了 Docker hub，可以让用户上传创建的镜像，以便其他用户下载，快速搭建环境。但同时也带来了一些安全问题。
例如下面三种方式：
（1）黑客上传恶意镜像
如果有黑客在制作的镜像中植入木马、后门等恶意软件，那么环境从一开始就已经不安全了，后续更没有什么安全可言。
（2）镜像利用有毛病的软件
DockerHub上能下载的镜像里面，75%的镜像都安装了有毛病的软件。所以下载镜像后，必要检查里面软件的版本信息，对应的版本是否存在毛病，并实时更新打上补丁。
（3）中心人攻击篡改镜像
镜像在传输过程中大概被篡改，如今新版本的 Docker 已经提供了相应的校验机制来预防这个问题。
三、Docker 架构缺陷与安全机制
Docker自己的架构与机制就大概产生问题，例如这样一种攻击场景，黑客已经控制了宿主机上的一些容器，或者获得了通过在公有云上创建容器的方式，然后对宿主机或其他容器发起攻击。
1、容器之间的局域网攻击
主机上的容器之间可以构成局域网，因此针对局域网的ARP诱骗、端口扫描、广播风暴等攻击方式便可以用上。
所以，在一个主机上摆设多个容器必要合理的配置网络安全，比如设置 iptables 规则。
2、DDoS 攻击耗尽资源
Cgroups 安全机制就是要防止此类攻击的，不要为单一的容器分配过多的资源即可避免此类问题。
2.1 什么叫CC攻击？什么叫DDOS攻击？
CC攻击，主要是用来攻击页面的，模拟多个用户不停的对你的页面进行访问，从而使你的体系资源斲丧殆尽。
DDOS攻击，中文名叫分布式拒绝服务攻击，指借助服务器技能将多个计算机联合起来作为攻击平台，来对一个或多个目标发动DDOS攻击。
攻击，便是通过大量合法的请求占用大量网络资源，以到达瘫痪网路的目的。
2.2 怎么预防CC攻击和DDOS攻击？
防CC、DDOS攻击，这些只能是用硬件防火墙做流量清洗，将攻击流量引入黑洞。
流量清洗这一块，主要是买ISP服务商的防攻击的服务就可以，机房一样平常有空余流量，我们一样平常是买服务，究竟攻击不会是持续长时间。
3、有毛病的体系调用
Docker 与捏造机的一个重要的区别就是 Docker 与宿主机共用一个操作体系内核。
一旦宿主内核存在可以越权或者提权毛病，尽管Docker利用普通用户执行，在容器被入侵时，攻击者还可以利用内核毛病跳到宿主机做更多的事情。
4、共享root用户权限
如果以 root 用户权限运行容器（docker run --privileged），容器内的 root 用户也就拥有了宿主机的root权限。
四、Docker 安全基线标准
下面从内核、主机、网络、镜像、容器以及其它等 6 个方面总结 Docker 安全基线标准。
1、内核级别
（1）实时更新内核。
（2）User NameSpace（容器内的 root 权限在容器之外处于非高权限状态）。
（3）Cgroups（对资源的配额和度量），设置CPU、内存、磁盘 IO等资源限制。
（4）通过启用 SELinux（控制文件访问权限）适当的强化体系来增长额外的安全性。
（5）Capability（权限分别），比如分别指定的CPU给容器。
（6）Seccomp（限定体系调用），限制不必要的体系调用。
（7）克制将容器的定名空间与宿主机进程定名空间共享，比如 host 网络模式。
2、主机级别
（1）为容器创建独立分区，比如创建在分布式文件体系上。
（2）仅运行必要的服务，注意尽量避免在容器中运行 ssh 服务 。
（3）克制将宿主机上敏感目录映射到容器，-v创建数据卷时必要注意。
（4）对 Docker 守护进程、相关文件和目录进行审计，防止有病毒或木马文件天生。
（5）设置适当的默认文件描述符数。
（6）用户权限为 root 的 Docker 相关文件的访问权限应该为 644 或者更低权限。
（7）周期性检查每个主机的容器清单，并清算不必要的容器。
3、网络级别
（1）通过 iptables 设定规则实现克制或允许容器之间网络流量。
（2）允许 Docker 修改 iptables。
（3）克制将 Docker 绑定到其他已利用的 IP/Port 或者 Unix Socket。
（4）克制在容器上映射特权端口。
（5）容器上只开放所必要的端口。
（6）克制在容器上利用 host 网络模式。
（7）若宿主机有多个网卡，将容器进入流量绑定到特定的主机网卡上。
4、镜像级别
（1）创建本地私有镜像堆栈服务器。
（2）镜像中软件都为最新版本，建议根据实际环境利用对应版本，业务稳定优先。
（3）利用可信镜像文件，并通过安全通道下载。
（4）重新构建镜像而非对容器和镜像打补丁，销毁异常容器重新构建。
（5）合理管理镜像标签，实时移除不再利用的镜像。
（6）利用镜像扫描。
（7）利用镜像署名。
5、容器级别
（1）容器最小化，操作体系镜像最小集。
（2）容器以单一主进程的方式运行。
（3）克制 --privileged 标记利用特权容器。
（4）克制在容器上运行 ssh 服务，尽量利用 docker exec 进入容器。
（5）以只读的方式挂载容器的根目录体系，-v 宿主机目录:容器目录:ro。
（6）明确界说属于容器的数据盘符。
（7）通过设置 on-failure 限制容器尝试重启的次数，容器反复重启轻易丢失数据，–restart=on-failure:3。
（8）限制在容器中可用的进程数，docker run -m 限制内存的利用，以防止 fork 炸弹。 （fork炸弹，迅速增宗子进程，耗尽体系进程数目）.(){.|.&};.
6、其他设置
（1）定期对宿主机体系及容器进行安全审计。
（2）利用最少资源和最低权限运行容器，此为 Docker 容器安全的核心思想。
（3）避免在同一宿主机上摆设大量容器，维持在一个可以或许管理的数目。
（4）监控 Docker 容器的利用，性能以及其他各项指标，比如 zabbix。
（5）增长实时威胁检测和事件报警响应功能，比如 zabbix。
（6）利用中心和长途日志收集服务，比如 ELK 。
由于安全属于非常详细的技能，这里不再赘述，可直接参阅 Docker 官方文档，https://docs.docker.com/engine/security/
五、DockerClient 端与 DockerDaemon 的通讯安全
为了防止链路挟制、会话挟制等问题导致 Docker 通讯时被中心人攻击，c/s 两端应该通过 TLS 加密方式通讯。
通过在服务端上创建tls密钥证书，再下发给客户端，客户端通过私钥访问容器，这样就包管的docker通讯的安全性。
1、https认证流程
https://i-blog.csdnimg.cn/blog_migrate/e7bb29ea49e56b99102b7fb4b74eb87d.png
https://i-blog.csdnimg.cn/blog_migrate/2eacc8e4e1ab664a2a4cdb77f4630f57.png
https的单向认证流程：
0）服务端会事先通过CA签发服务端证书和私钥文件
1）客户端发送https请求到服务端的443端口
2）服务端会先返回一个包含公钥、证书有效期、CA机构等信息的证书给客户端
3）客户端受到服务端发来的证书后，会先用本地的CA证书校验服务端证书的有效性，如果证书有效，则继续，否则告警
4）客户端发送自己可支持的对称加密方案给服务端
5）服务端会选择加密程度最高的方案，并通过明文方式发送给客户端
6）客户端使用选择的加密方案生成随机会话密钥并通过证书中的公钥进行加密，再发送给服务端
7）服务端会用私钥进行解密获取客户端发来的随机会话密钥，并使用这个会话密钥加密要返回的报文，再发送给客户端
8）客户端也是这个会话密钥进行解密获取服务端返回的数据，之后双方可继续这个会话密钥进行加密和解密来实现密文通信
https://i-blog.csdnimg.cn/blog_migrate/37c9814c870915d50e24ffcf94a9cc25.png
https的双向认证流程：
0）服务端和客户端会事先通过CA签发服务端证书和私钥文件
1）客户端发送https请求到服务端的443端口
2）服务端会先返回一个包含公钥、证书有效期、CA机构等信息的证书给客户端
3）客户端收到服务端发来的证书后，会先用本地的CA证书校验服务端证书的有效性，如果证书有效，再将包含公钥的客户端证书发送给服务端
4）服务端收到客户端证书后也会校验证书的有效性，客户端还会发送自己可支持的对称加密方案给服务端
5）服务端会选择加密程度最高的方案，并通过客户端证书里的公钥加密后发送给客户端
6）客户端使用私钥解密获取选择的加密方案，并使用此加密方案生成随机会话密钥，再通过服务端证书中的公钥进行加密，再发送给服务端
7）服务端会用私钥进行解密获取客户端发来的随机会话密钥，并使用这个会话密钥加密要返回的报文，再发送给客户端
8）客户端也是这个会话密钥进行解密获取服务端返回的数据，之后双方可继续这个会话密钥进行加密和解密来实现密文通信
2、Nginx https安全认证
背景：为了防止链路挟制、会话挟制等问题导致 Docker 通讯时被中心人攻击，c/s 两端应该通过 TLS 加密方式通讯。
2.1 如何获取证书？
1）在阿里云、华为云、腾讯云等云服务商那里申请一年有用期的免费证书或者购买证书
2）在本地利用 openssl、mkcert、cfssl、certbot(Let’s Encrypt)的工具生资本地私钥证书
2.2 利用OpenSSL创建自署名证书的步调
创建自署名证书大抵分为三步, 创建CA证书, 创建自署名请求, CA署名。
//首先创建一个目录
#通过openssl方式创建证书
yum install openssl -y
mkdir openssl
cd openssl/
（1）创建CA私钥和证书
#创建 CA 私钥文件
openssl genrsa -out ca.key 2048
#2048为位长
https://i-blog.csdnimg.cn/blog_migrate/d8c0718505b35e279decbf6e1522f68e.png
#创建 CA 证书文件
openssl req -new -x509 -days 3650 -key ca.key -out ca.pem
这是 OpenSSL 工具生成自签名 X.509 证书的命令。让我逐个解释：
# `openssl req`: 执行 OpenSSL 工具，使用 "req" 子命令来创建证书请求。
# `-new`: 表示创建一个新的证书请求（Certificate Signing Request）。
#`-x509`: 表示创建自签名 X.509 证书。
#`-days 3650`: 表示生成的证书有效期为 3650 天（大约 10 年）。
#`-key ca.key`: 指定用来签名证书的密钥文件为 "ca.key"。
#`-out ca.pem`: 表示将生成的证书输出到文件 "ca.pem"。
https://i-blog.csdnimg.cn/blog_migrate/0471ed341d259f2490df2e9aa6a4fb08.png
（2）用 ca 证书签发 server 端证书
//创建服务器私钥
openssl genrsa -out server.key 2048
https://i-blog.csdnimg.cn/blog_migrate/c3e7d342af30cbb182101de159819d1a.png
//生成证书签名请求文件（csr文件）
openssl req -new -key server.key -out server.csr
https://i-blog.csdnimg.cn/blog_migrate/a21b0f1f3127e56b375847c623b04ed7.png
（3）基于CA证书、私钥和服务端自署名请求文件，签发服务端证书
#创建服务端证书文件
openssl x509 -req -days 3650 -in server.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out server.pem
https://i-blog.csdnimg.cn/blog_migrate/a5bc1ea4847d0d5cc6bb1ce1e6e6b368.png
（4）nginx 支持 https怎么配置
nginx 支持 https
1）编译安装时需要添加 --with-http_ssl_module 模块
2）修改配置文件，添加 ssl 配置
http {
server {
listen 443 ssl; #SSL访问端口号为 443
server_namewww.wyx.com; #指定绑定证书的域名
ssl_certificate /root/openssl/server.pem; #指定服务端证书文件路径
ssl_certificate_key/root/openssl/server.key; #指定服务端私钥文件路径
# ssl_session_cache shared:SSL:1m;
ssl_session_timeout5m;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #指定SSL服务器端支持的协议版本
ssl_prefer_server_cipherson;
location / {
root html;
indexindex.html index.htm;
}
}
}
https://i-blog.csdnimg.cn/blog_migrate/713c01f8cd8d977b3bd51213a77e8dc9.png
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]