okay, il mio discorso sarà sul docker
sicurezza quindi prima di iniziare chi è qui
usato docker metti la mano su di te stalker
va bene, è una buona indicazione, grazie
felice di vederlo anche se non l’hai usato
Dhaka molto dovresti ottenere qualcosa
fuori di questo c’è un po ‘specifico e
una specie di materiale tecnico più avanti ma
è anche alcune cose generali che dovrebbero
essere di interesse per la maggior parte di voi e così
su di me lavoro per un’azienda chiamata
le soluzioni per container erano olandesi
consulenza intorno ai contenitori e anche
mi piacciono le cose così e il principale
cosa sto facendo al momento è solo
finire un libro chiamato usando la finestra mobile
per un Riley quindi parliamo che pensavo di farlo
mettiamoci un po ‘di divertimento così siamo
intenzione di iniziare con un cinque round
scatola di sicurezza e partita anche se era
pensando in questo modo dovrebbe essere ora
quella partita di rugby perché penso che
la Coppa del Mondo di rugby prende il via stasera ma
è una scatola di sicurezza vivarium e partita
tra i contenitori e VMS io sono il
il secondo intervento mi chiede più specifico
suggerimenti e tecniche di sicurezza del contenitore
ok così contenitori contro VMs così che noi
combatti per quando stiamo pensando
la sicurezza che in realtà non dovrebbe dare
la tua cintura titolo mondiale WBA Leonard cosa
stiamo combattendo perché non è niente per te
ottenere sicurezza non succede nulla
non succede perché il tuo sito non va
giù perché la mente di qualcuno di fare su
quello che non succede è la tua prima pagina
non sembra così perché alcuni
gli script hanno preso una laurea in stile
per te bene non succede te
non iniziare a vendere contadini crescendo
il lato o almeno presumo la città di Tim
consiglio non significava comprare da solo che sono cresciuto
dalla parte di ciò che realmente non succede
se non perdi tutti i tuoi clienti
dettagli della carta di credito Adobe ha appena ottenuto
via con esso ma una più piccola società voi
sapere potrebbe essere in bancarotta da questo e
quello che davvero non succede è te
non perdere da quando la formazione posteriore da
nazione su militari e intelligence
personale questo penso che questo sia uno di
i peggiori atti di cui siamo a conoscenza
perché questo direttamente la vita delle persone a
rischio queste sono persone che potrebbero essere
preso di mira da governi stranieri e
elementi criminali così è stato abbastanza
orribile nei miei occhi, quindi eravamo i
contendenti nella nostra lotta bene tu hai
per dire il VN il vm è fondamentalmente il
Campione dei pesi massimi in carica se tu
come VMS sono utilizzati nelle banche in cui hanno usato
il governo che tutti usano le macchine virtuali essere invano
per un po ‘ci fidiamo di loro rispetto a
questi contenitori sono il sconosciuto upstart
tuttavia penso che ne portino qualcosa di nuovo
caratteristiche di esecuzione di caratteristiche che lo fa
Effettivamente per una lotta interessante
quando li metti testa a testa va bene così
andando garanzie di isolamento del vino così qui
Sto solo pensando a quanto isolato
altri processi all’interno di un VM o di un
contenitore mi cancella scoppiare con un vm
il nostro contenitore e ci accede di VMS o
contenitori sull’host o sull’host
se stesso e qui la grande cosa è il vm
superficie dello strato hypervisor e il
l’hypervisor funge in parte da a
buffer o un filtro posso molto a Caillou
di attacchi e quando si confronta questo due
i contenitori continui condividono il colonnello
giusto così ogni contenitore è quando il
stessa cura dell’ospite quindi se un contenitore
le menti fanno solo dire, per esempio a
panico del kernel che eliminerebbe il
kernel per l’host e tutta la terra di
gestire i contenitori allo stesso modo se a
container riesce ad afferrare tutta la memoria
la tua stella circa gli altri contenitori su
l’ host quindi penso che devi dare Rank
1 isolamento al vm
così è inutile attaccare la superficie
probabilmente il più controverso dei miei
gli anelli in questa lotta, ma ho intenzione di
sostengono che è una superficie di attacco maggiore
in una vm idea sto solo confrontando direttamente
il vm al colonnello di Lance c’è molto
più avanti in VM è molto grande
pezzo di codice ci sono un sacco di cose
come la virtualizzazione e le emulazioni i
semplicemente non succede come di default su
linux e così fa parte di quello
cose come l’emulazione di dispositivi e il tuo
virtualizzazione e c’era il veleno
vulnerabilità è una delle novità
vulnerabilità che ci portano sulla pagina web
che sembra essere una cosa nuova di zecca, ma
il veleno era un’abilità unica
interessante in fondo c’era un bug in
alcuni floppy disk con codice di regolazione che
nessuno ha usato veramente perché usa
floppy disk ok, ma quello era un
partecipazione alla audizione per te ma comunque
alla fine hanno infastidito che io sono quello
in realtà ha causato una rottura il vm potrebbe
l’attaccante potrebbe rompere il vm e
c’è il tour a cavallo del VMS
anche un altro lato di questo e quello di te
può produrre contenitori quindi questo è un
problema separato prima di guardarlo
che il tuo servizio fiscale del colonnello
rispetto al vm ma l’ altra cosa
puoi fare con i contenitori è molto costruito
contenitori minimi in modo da poter costruire un
contenitore che contiene solo come a
singolo binario statico non ha il
l’intero sistema operativo lo avvolge
così facendo puoi tagliare molto
di cose che potrebbero potenzialmente essere usate
per attaccarti, sì, il minimo
contarme sul file binario statico
e così facendo sei veramente tagliato e
durante l’attacco di superficie così per quello
motivo per cui ho intenzione di dare questo round a
il contenitore a 13 controlli quindi eccomi qui
davvero pensando a quali manopole puoi
twiddle o pulsanti puoi spingere a
limitare i privilegi e le risorse
stanno dicendo a un contenitore o VM
quindi se pensi di limitare l’accesso a
le risorse hardware reali la memoria
CPU nel disco sono entrambi abbastanza buoni
giusto puoi fare praticamente lo stesso
cosa CP con VM e con contenitori
ma ho intenzione di sostenere che tu ottieni di più
controlli per i contenitori in modo che tu possa fare
cose che impostano i file system in sola lettura
Sono abbastanza sicuro che tu possa farlo . V mira a
bene, io non sono un esperto di macchine virtuali, ma lo sono
certo che puoi comunque con il continuo
è abbastanza semplice puoi anche farlo
cose come mettere le chiamate in esso in modo certo
i file possono essere letti proprio mentre il rischio
il file system è di sola lettura e lo faremo
vedi Leah e c’è anche il Colonnello
funzionalità del kernel linux quindi linux
il kernel definisce cose circa 40 differenti
capacità e questi sono solo un insieme di
Chiama che puoi fare così quello che puoi
fare è possibile ridurre le capacità di
un determinato contenitore e dì questo gattino
cosa non può creare socket di rete o
impossibile creare set di binari Eddie
cose del genere c’è anche il set comp
commento come non ancora disponibile ma è
arrivando ai contenitori docker e quello
anche se l’accesso è ancora più fine
per esattamente quale kernel chiama container
può fare così ho intenzione di sostenere che il
contenitore vince anche questo amico così vanitoso
per auditing quindi qui sto pensando se
si sta andando a come un grande sistema di vm
o grande sistema di contenitori ogni ora e
ancora una volta è necessario come guardare il
sistema e assicurati che le immagini siano
l’esecuzione è aggiornata e non viene utilizzata
tutte le versioni vulnerabili del software per
esempio è la prima cosa che tu
potrebbe notare che è un sistema tipico
stai andando a correre considerevolmente
più contenitori e saresti variabile
la MS così il nostro sistema funziona a dozzine
di BMS può effettivamente funzionare in modo equivalente
sistema usano stazioni di contenitori
quindi un modo di pensare forse era quello
più per controllare, ma questo non dice il
tutta la storia la grande cosa sono gli Stati Uniti
vissuto più a lungo e lo paragoni a
contenitori di sicuro non ha scritto il nostro
effimero per cui le ore straordinarie delle VM divergono
l’immagine di base e abbiamo un intero
ramo del software chiamato configurazione
gestione che è sorto intorno a questo
tenta di provare a rendermi ms coerente
col passare del tempo e quindi ciò che effettivamente
significa se hai qualche produzione
non sei mai abbastanza sicuro di quale stato
sono come e due VMS sono apparentemente
fare la stessa cosa è molto probabile
hanno diverse versioni di scoppio della luce
e così via, di cui hai bisogno quando ti controlli
devono controllare ciascuno di essi
separatamente se lo si confronta con
contenitori lo stai facendo correttamente cosa
tu sei il tuo posto che ti porto
non aggiustarlo in modo da prendere l’interno
contenitore e mettere il nuovo che è
costruito da un’immagine che è stata la
più alto aggiornamento e ciò che significa è
puoi davvero tenerlo per le tue immagini
offline ho supposto il tuo online
contenitori e quindi è possibile verificare che
i contenitori non si sono allontanati dal
immagine e ci sono strumenti come e così il
punto di che è è possibile verificare uno
immagine e potresti aver effettivamente verificato
posso effettivamente centinaia di contenitori
usa strumenti come il dr. morte per uno
sicuro che i tuoi contenitori non lo siano
divergevano dall’immagine che erano
creato da ed è anche molto carino
hotel loro se sei stato ferito perché a
se dici come l’ attacco script kiddie
dove cambiano la prima pagina se quello
era uno nel contenitore dell’evento
si è verificato se si vede immediatamente come il
File CSS in file HTML che sono
cambiato o aggiunto allo stesso modo se corri
la cosa dello spam pharma che probabilmente faresti
trova un file che è stato effettivamente contenuto
un po ‘di codice PHP che ho bisogno di conoscerti
trovalo molto facilmente usando il dottore
comando diff così ho intenzione di dare quello
rotondo anche al contenitore ma il
il round finale in corso 5 è track record e
qui dirò che i VMS sono piuttosto un
forte vantaggio, hanno loro a
record comprovato per cui sono stati in giro
anni dopo ci fidiamo di alcune banche
e i governi si fidano di loro e di te
confronta questo contenitore in modo semplice
non hanno lo stesso track record okay
puoi argomentare che i contenitori sono stati
in giro per un po ‘ ma certamente non in
il senso moderno dei contenitori docker
e così via, prenderò tempo
prima che la gente arrivi a fidarsi di loro
guardia di sicurezza, quindi ho intenzione di dare questo
sono stato molto pesante con il vm ora sono
certi di voi bravi in matematica e validi
questo su, ma mi stavo chiedendo chi la pensa
il vm dovrebbe vincere questa lotta p tempo
pensi che il VMS stai facendo bene
centocinquanta container dovrebbe vincere no
a pagamento va bene, a dire il vero lo vorrei
lo stile chiama quel cassetto che immagino
molti di voi potrebbero fare massa probabilmente
l’ho capito, ma quello è il mio prossimo
slide ma dirò attenzione alla rivincita
perché c’è molto interessante
il lavoro è fatto così una cosa è lì
un sacco di lavoro in corso per accelerare vm così
in effetti vedrai VMS che penso
essere utilizzato in uno stile più contenitore
flusso di lavoro quindi i progetti sono chiari
contenitore per minuto indica che tale utilizzo
VMS in una sorta di stick in stile contenitore
e il suo stile contenitore e inoltre c’è
un sacco di lavoro in corso per garantire
contenitore quindi questa cosa è come una sitcom
dalla finestra mobile, ma c’è anche un sacco di
lavoro andando sul kernel Linux mentiras
per essere sicuri di vedere gruppi e spazi dei nomi
e così via sul nostro sicuro e durante il
sparare così tra qualche anno
interessante vedere dove siamo ma come
l’ adrian ha detto che il minuto dove
probabilmente andrai dove sta andando
utilizzare entrambi i contenitori e VMS e in questo modo
hai due livelli di sicurezza allora
quindi tu sei il modo migliore per farlo è
usa vm per separare gruppi di contenitori
quindi per esempio lo farai
applicazione multi-tenant che inserisci ciascuna
inquilino o utente un cliente che hanno
il proprio VMS e cosa dovremmo eseguire
contenitori e questo è ciò che Amazon e
Google ci dà un po ‘di interesse
in uno però perché usi il cout
Benetti, i tuoi contenitori stanno funzionando
VMS ma quei VMS sono a loro volta in esecuzione
bordo che è contenitori così hai ottenuto
contenitori in macchine virtuali e contenitori
l’altro modo in cui puoi separare le cose è se
avete un ricevuto un gran web app e
hai un front-end con PHP o no
GS hai messo quei contenitori e uno vm
e poi un altro vm ti piace il
contenitori quando e dicono
elaborazione della carta di credito quindi un aggressore
fa le pause in un’orgia, continua tu
Devo ancora uscire da quella VM e
in un altro per arrivare da qualche parte vicino
le informazioni della carta di credito ok così è
per la prima parte del discorso il
la prossima parte sarà generale
consigli di sicurezza per contenitori da giardino
in realtà se c’è una cosa che prendi
lontano da questo discorso voglio essere questo
Scorri così i paradigmi di sicurezza il primo
uno è la difesa in profondità non fare affidamento su
solo un livello di sicurezza così ha Kristen
parlato prima con un po ‘di parlare
i firewall menzionati e un tempo eravamo noi
fare molto affidamento su un firewall da tagliare
un sacco di attacchi ma al giorno d’oggi lo è
molto meno utile perché tutto
arriva attraverso HTTP quindi ce n’è uno solo
povero o troppo povero per includere un GPS così
non limitarti a fare il firewall non solo
la menzogna nei contenitori usa anche le macchine virtuali
fai affidamento su quello mantieni tutto
criptato che è sensibile e ciò che tu
pensa sempre se un attaccante viene passato
questo livello di sicurezza che cosa ha
accesso a e si vede sempre cercando di
mettere un ostacolo in più nel modo di
raggiungere le tue informazioni sensibili
l’altro paradigma è il minimo privilegio
questa è solo l’idea che un contenitore
dovrebbe solo avere accesso ai dati e
risorse che sono essenziali per il suo
funziona è come una vecchia idea
era usato per essere applicato anche come
funzioni e classi e così via Jerry
Saltz, signore, penso che sia stato articolato per primo
Lo sto facendo se è un attaccante
interruzioni alla risale l’idea di
irrompere nella parte anteriore dovrebbe essere
addormentato essere in grado di accedere al credito
dettagli della carta cose come quelle che puoi
paragonarlo alla sicurezza dell’idea militare
di bisogno di sapere dove sono solo le persone
due anni il minimo che hanno bisogno di sapere
cosa per completare la missione e che noi
come cultura non possono svelare segreti
c’è anche molto bene a parlare di questo
è stata data un’icona doc chiamata meno
microservizi privilegiati di Nathan the
collie e Google monica dalla finestra mobile così
controllare che si desidera sapere di più su
il minimo privilegio
va bene quindi consigli più specifici quello
più comunemente le persone si sbagliano se tu
assomiglia a un hub di docker ma tu guardi
alle immagini il più grande errore delle persone
fare è farli utenti e quindi la cosa
essere consapevoli è che gli utenti non lo sono
Nomi incolla il tuo colonnello, quindi sei il tuo
percorso all’interno di un contenitore che è in realtà
gli stessi utenti che instradano il cavallo cosa
significa che stai uscendo da a
contenitore che è in esecuzione come root
processo che gli ebrei gestiscono il suo
percorso sarai root sul cavallo che
è chiaramente una cosa molto brutta ora che c’è
lavoro andando su un minuto e docker a
mappa automaticamente l’utente root e a
contenitore è come un numero elevato
usando l’host ma non è ancora lì
e anche io sospetto che saranno problemi
riguardo ai permessi dei file e così via
quindi nel frattempo è molto importante
Devo essere onesto, comunque è molto
importante per impostare un utente per guadagnare il tuo
immagini con la tua storia nella tua dacia
i file che includi come due righe sono fuori
ciò che fa è creare un utente e
cambia a quell’utente per tutto il telefono
linee nel dockerfile e quando loro
contenere la vostra partenza, se si guarda il
le immagini ufficiali che suonano includono spesso
la prima riga ma non una seconda riga e
il motivo è nello script del punto di ingresso
o lo script di un punto di ingresso che ottiene
avviare il contenitore inizia che vogliono
fare qualcosa come i permessi dei file
che richiede i privilegi di root quindi cosa
lo fanno è che avrebbe impostato quelle autorizzazioni
e poi l’utente a cui piace fare o andare
attraverso per passare all’appropriato
utente, ma se fai una cosa, fallo
quindi imposta il file system del contenitore in sola lettura
questo è piuttosto utile per tagliare così a
molti attacchi ed è molto semplice
fallo così se passi la polvere del cruscotto
dovremmo solo segnalare quando si avvia a
contenitore che il file system del contenitore
è completamente di sola lettura e non è possibile
scrivere qualsiasi file ora va bene più
le applicazioni non saranno in grado di
funziona così ma quello che puoi fare è un
crea un volume per i file che io
ho bisogno di scrivere per così dire il tuo tuo
l’applicazione ha bisogno del diritto a un temp
file basta creare un volume per questo e
quindi se l’ attaccante brig dice che non lo faranno
essere in grado di fare cose come sai scrivere
una sceneggiatura per servire la sega familiare degli agricoltori
prima
o modifica il file per cambiare la tua facciata
pagina in modo molto simile è possibile impostare i volumi
essere visto solo con non cadrà
capacità di tornare indietro nel punto
funzionalità di Linux ciò che fai sei tu
passare un argomento dash drop goccia di polvere
abbandonare una capacità così in questo primo
linea qui stiamo lasciando cadere la capacità di
imposta i flag UID e GID sui tuoi file
può anche abbandonare tutte le funzionalità e solo
aggiungere di nuovo quelli di cui hai bisogno
questo naturalmente è che come lo sai
ciò che dai è che ti serve un po ‘
di un occhio nero finisci proprio come
testarlo quindi è molto utile ma lo è
un po ‘di parti in più della cpu di lavoro che ho sempre
si chiedeva se parlare o no
questo perché la CPU è in realtà limitata da
di default quindi di default se la tua CPU lo è
bloccato se si utilizza il numero cpu e un host
i tuoi contenitori effettivamente posti condividono il
CPU ugualmente raggiungono dato uguale
condividi la CPU ma puoi cambiarla
devi essere consapevole che c’è un
valutazione predefinita di uno o due per così dentro
in questo esempio iniziamo un contenitore
default aspettando uno o due per poi noi
girare fino ad altri contenitori con il
peso in cinque punti per raggiungere e cosa
ciò significa che è il primo contenitore possibile
occupano fino a metà di una CPU e l’altra a
prendi un quarto ciascuno, ma questo viene solo
in effetto quando le CPU sono state bloccate in precedenza
quel punto chiunque può usare tanto quanto
ti piace che ci sia anche qualcosa di simile
lo schedulatore completamente giusto che tu
ora puoi usarlo, quindi ci sono altri modi per farlo
CPU ma perché è limitato per impostazione predefinita
o condiviso di default non mi preoccuperei
troppo su quello che sei
preoccupati di più sono i limiti di memoria
perché vedo che un contenitore può andare e
prendi tutta la memoria di un lago così tu
può passare il trattino mne flag per impostare put a
vincolo e la memoria di montagna fanno
sei consapevole se lo fai
quello che si trova la memoria principale ma
c’è anche tu ottieni la stessa quantità di
scambia quindi questo ti dà cinque nuovi 12 maggio
ottenere un po ‘di memoria più 512 make
morde o scambia e c’è un separato
flag per limitare entrambi è questo
un vuoto di qualcuno così puoi anche
definisci nuove idee per GI de binary
se guardi le tipiche immagini di base
come debian ubuntu okay sì, puoi farlo
quindi le immagini di base includono parecchio
di binari che ti ho dato un dnc tid
bit e ciò che fa è che permette
loro di avere privilegi elevati così il
l’esempio di classe ti sta pagando in realtà no
pensa al ping come alla sicurezza
sensibile ma in realtà così elevato
privilegi in modo che possano creare raw
prese di rete che cosa significa è se un
l’attaccante trova un bug nel ping, lo so
può sfruttare che possono elevare il
privilegi errati nel sistema e
la cosa divertente è che puoi trovarli
binari abbastanza facilmente semplicemente
quando trovo, credo che la maggior parte di voi probabilmente
trovare familiare e ottieni questo proprio come
quelli nell’immagine debian predefinita e
per esempio chi alza le mani se lo sai
che ano CHF non c’è nessuno sa cosa
CHF n vede così perché è nella SRT
sta per cambiare il nome del dito chi
ricorda il dito ok va meglio così
sì un nome completo è unghie il passato
la password del video con il lon Reiman
dal post con pelliccia quindi forse bene
nessuno sa chi sia e perché
è lì quindi sono potenzialmente intendo
sii onesto, probabilmente non è un granché
questione perché questi sono tutti molto bene
utility testate quindi sarei sorpreso se
trovi una vulnerabilità in loro ma tu
potrebbe e quindi un attacco sarebbe in grado
elevare i privilegi all’interno del
contenitore quindi è in realtà banale
definiscili perché puoi semplicemente metterlo
questo nel tuo file dacha e lui ha messo
linea tutto ciò che accadrà è che lo farò
passa attraverso tutti i file trova quelli
che sono e modificare le autorizzazioni
su di loro e per rimuovere il bit uid impostato
e solo per dimostrarlo se lo si esegue di nuovo
capisci che un altro è interessante
puoi disattivare enter container
comunicazione così quando lanci il tuo
dacha demon lo abbiamo appena aggiornato a 1.8 così
prima c’era il cruscotto D, ma ora lo è
dr. Damon ha passato un trattino che vedo
sequela una falsa bandiera in cui spegni
contenitore di comunicazione in modo tuo
i contenitori non possono parlare tra loro e
puoi fare questo tipo di discorsi a ciascuno
altri non possono attaccarsi l’un l’altro quindi
l’attaccante si rompe quindi non sarai in grado
per andare a parlare di altri contenitori così
discutibilmente la pace ma è un po ‘inutile
perché ora il tuo contenitore di applicazioni
non posso parlare al database, quindi tu
può fare è si può sedere la bandiera di iptables
che penso sia ora impostato di default, lo sono
non era sicuro che fosse e lo disse
consente ai contenitori collegati di comunicare
così tutti gli iptables di SEP lo fanno
consente di esporre porte e utensili
contenitori per comunicare ma niente
altrimenti può comunicare di default normalmente
se non si ICC sul falso o
qualsiasi altra cosa tutti i contenitori per un prezzo conveniente
immaturo attraverso un accesso l’ un l’altro
sport come il loro completamente libero che come
sorprende alcune persone ma tu di
Certo, devi conoscere l’indirizzo IP
degli altri contenitori il punto finale
e questo è un tornare a parlare di questo
Mattina se hai visto la condivisione di Cessnock
segreti per cui vuoi mettere le cose
piace
le sue password e API parlano nel tuo
contenitori e questo è piuttosto difficile
problema abbiamo avuto lo stesso problema di
VM, ma è stato meno esacerbato perché
gli obiettivi erano vissuti più a lungo e lui avrebbe fatto
le cose manualmente se si doveva ma
oggigiorno i contenitori per entrare e
andare in tutto il tempo è davvero un
pressione su per automatizzare questo processo così
il primo modo in cui puoi ottenere un segreto
l’nel contenitore è grande nel
immagine giusta proprio nel docker
file e inserisci l’API come token
dockerfile si spera che la maggior parte di voi sia d’accordo
è una cattiva idea e non dovresti farlo
che sotto qualsiasi cosa per onorare qualsiasi
situazione il prossimo modo è l’ambiente
variabili e molto probabilmente lo fai
questo e non sto dicendo male ma dentro
contenitori la cosa della porta è grande
sia un motivo che molte persone lo usano
è perché è il modo suggerito da 12
app di fattori e non sto bussando 12
fatelo fuori, ma di nuovo è tornato
il vmworld e quando possiedo un contenitore
terra e il problema è solo il
variabili d’ambiente quando lo sai
quindi la divinità è solo un token API dashi
uguale al tuo segreto e il problema è
può essere visto solo in troppi posti
quindi collegare i contenitori ottenere l’accesso a tutti i
altri collegati continuamente questi
variabili d’ambiente quindi se ne colleghi due
contenitori insieme che contenitore può
vedi tutti i segreti vicino al contenitore
quali i prezzi delle persone anch’io
ispezionare anche ispezionare si può vedere tutto il
variabili di ambiente nel contenitore
e non possono essere cancellati così potresti
pensa bene va bene andrò e
gestirlo che non funzionerà, lo sarai ancora
in grado di vedere e ispezionare ma anche peggio
tendono ad includere le relazioni giuste
quindi hai chiesto la richiesta di supporto diversamente
il tuo venditore dice che va bene posso ottenere
dettagli il tuo ambiente in modo che tu solo
Daglielo e conosci te
incluso tutti i tuoi segreti lì quali
chiaramente non è una buona cosa, quindi vado
per dire le variabili d’ambiente vanno bene loro
lavoro ma sono un po ‘troppo visibili e io
non userei la fibra ottica
quindi il prossimo modo e penso che sia così
probabilmente come la maggior parte della gente sta facendo
al momento è solo per fare file così
tieni i tuoi segreti in un file e tu
fallo nell’immagine fino al
contenitore mi dispiace una delle cose belle
su questo è che puoi semplicemente fare un
file di configurazione che ti piace con a
variabili di ambiente problema anche tu
fare del lavoro per ottenere quell’ambiente
variabile nell’applicazione abbastanza
comunemente almeno con un file puoi
basta montarlo nel file di configurazione
e lo prenderò senza alcun particolare
trucchi sì oh questo funziona ma è un po ‘
icky e il mio problema principale è quello
i file tendono a essere controllati nella fonte
controllo e chiaramente questa è una brutta cosa
quando hai segreti così il futuro I
penso che saranno questi sono garantiti
valore chiave memorizza quindi alcuni di voi potrebbero
essere un incesto parlare questa mattina quando tu
parlare di essere evoluto sì, penso che
sarà davvero quando il modo principale
fare le cose stanno andando avanti
fondamentalmente l’idea è il tuo valore chiave
conserva tutti i tuoi segreti in esso è un
progettare per memorizzare segreto in modo che li tenga
crittografato ha caratteristiche speciali come
locazioni e così via sì, così puoi dire come
a lungo un segreto è buono per potrebbe a
mattone vetro procedere anno in modo da poter bloccare
tutto giù se qualcuno rompe in
cose del genere come due volte principali
che Seth ha parlato di stamattina e
anche i modi principali con cui ki voice è abbastanza
interessante perché è stato costruito dal
ragazzi in piazza che hanno fatto un processo di pagamento
e così via I ingegneri di dominio da lì
ora effettivamente funziona in docker quindi una chiave
che probabilmente è probabile che sia molto
ben supportato alcuni qui probabilmente
le case pensanti in realtà risolvono il
problema perché devi autenticarti
al negozio di valore chiave così come stai andando
per farlo dall’interno del tuo contenitore
due modi per tornare
variabili d’ambiente in modo da passarle
variabile di ambiente per convalidare il
valore chiave memorizza o invialo alla chiave
value store ma tu ne fai uno fuori
chiave in modo che possa essere usato una volta e poi è
inutile quindi almeno un aggressore lo ottiene
il campo non è buono per loro l’altro
modo
un po ‘più complicato ma ora lo abbiamo
volume plugin e quindi puoi naturalmente
c’è un plugin di volume per entrambe le chiavi
modi e volta e ciò che fa è un
crea un file all’interno del contenitore
quello contiene i segreti che quello
contenitore ha accesso a basato su cosa
hanno i diritti di accesso e chiave
modi o evoluti così ora hai spostato tutto
il tipo di segreto istituito al di fuori della
contenitore stesso non c’è nessun token
passato lì e proprio come li philous
popolato da esso è stato evoluto quindi penso
probabilmente è un futuro ok, penso
che è praticamente voglio parlare
la cosa principale che volevo è la forma asciutta
come contenitori di sicurezza strana, così ha usato
vm come un minuto intendo che contenitore inviato
al mix hai aggiunto solo un altro livello
di sicurezza che è molto improbabile da fare
le cose meno sicure sono quasi
impossibile forse se hai fatto cose del genere
sai che io faccio quello che pensi sia la radice
user yeah usa contenitori con VM se
sei preoccupato per la sicurezza che conosco
pensa sempre alla difesa in profondità e meno
privilegio si
chipotle al click dell’istruzione utente
le solite stanze di peso
Sì, ho giocato con quella fiera
un po ‘di recente uno dei problemi che ho
trovato è quando lo fai e poi tu
usa la copia o aggiungi Jeff copia il file
finisce per essere di proprietà di root nel
prospettiva del progettista psichico dell’utente
fuori sito e quindi quello che si finisce per fare è
dovendo saccheggiare usiamo un modello sgradevole
quando si capovolge temporaneamente la copia della stanza
il file e cambiare la proprietà di esso
e quindi tornare al pozzo originale
come si sta seduti bene quando noi
i privilegi dell’utente root sono solo i
i privilegi di I’ll solo mantenere il
saccheggiatori in cui un fallimento era sul
host ma scusa lo stesso oh si okay
è vero sì e questo è esattamente
perché le immagini ufficiali non hanno questo
dichiarazione utente giusta così e tu guardi
le immagini ufficiali fanno quello che fanno
è come per postgres o il rossore è un
quando si avvia il contenitore, lo fanno
come uno pseudo CH, voglio che tu non lo faccia
e vedi se sono tutte le tue radici o
basta vederlo mostrato Io sono poi loro fanno a
pseudo all’utente effettivo non è usato
fare che usano usano quello strumento potrebbe
vai così sono fantasma è piuttosto carino perché a
pochi pseudo si finisce con due processi
ma andate così piaccia proprio a Forks
processo o scrive quel processo sì che ho
è una domanda , Chris
si è parlato di un po ‘che è
mettendoti meno nei tuoi contenitori
non parliamo di questo significa questo te
potrebbe mettere l’intero di Linux in esso o
potresti semplicemente grattare e andare
binario o qualsiasi cosa vedi binario sì
assolutamente così che significa che ritorna
per attaccare i punti di superficie in modo che tu possa
davvero tagliato mi è piaciuto attaccare
servizio entro il contenimento da solo
mettendo il minimo minuto e anche
che va avanti per poi ne pensate
URL unici e cose del genere che vedi
vedere la gente che lo fa comunemente
o è ancora abbastanza bene la gente
è difficile dire cosa fanno veramente le persone
nel momento in cui non sono sicuro di aver visto persone
Non credo che molte persone lo facciano ora è così
abbastanza avanzato penso che ci sia
anche un problema con il debug proprio così se
ci metti il minimo e qualcosa
va male che vuoi fare il debug di questo
contenitore
niente strumenti come se tu fossi appena arrivato
binario non puoi nemmeno avere una shell, si
quindi la domanda era: immagino sia questo
mese la domanda è una sì le cose
vedere i suoi frutti un altro isolamento
meccanismi e come si confrontano e
sì, questo è un punto giusto, intendo pure
come docker abbiamo già un missile e
è gratis PS jail e zone solaris e
così via e non ho mai SAT e rispetto a
centro commerciale ma docker sta per essere è
sono un po ‘più stupido
assaggiato in molti di loro quindi direi
questo è probabilmente lassù in termini di
forse non sicurezza ma certamente
caratteristiche in isolamento chroot ci sono
sempre stato rilasciato per vederlo attraverso
è più un giocattolo che penso
benessere nessuno lo sa bene, grazie
tutti per essere venuti e fare un viaggio sicuro
a casa e speriamo di tornare di nuovo
l’anno prossimo penso che il grande
le discussioni erano probabilmente in
ottobre-novembre anziché settembre
e probabilmente una singola traccia conferenza
di nuovo ma non siamo abbastanza sicuri di cosa
fallo così se hai qualche idea
davvero alla ricerca di input e di qualsiasi
feedback o input su questa conferenza come
bene, grazie a tutti
sicurezza quindi prima di iniziare chi è qui
usato docker metti la mano su di te stalker
va bene, è una buona indicazione, grazie
felice di vederlo anche se non l’hai usato
Dhaka molto dovresti ottenere qualcosa
fuori di questo c’è un po ‘specifico e
una specie di materiale tecnico più avanti ma
è anche alcune cose generali che dovrebbero
essere di interesse per la maggior parte di voi e così
su di me lavoro per un’azienda chiamata
le soluzioni per container erano olandesi
consulenza intorno ai contenitori e anche
mi piacciono le cose così e il principale
cosa sto facendo al momento è solo
finire un libro chiamato usando la finestra mobile
per un Riley quindi parliamo che pensavo di farlo
mettiamoci un po ‘di divertimento così siamo
intenzione di iniziare con un cinque round
scatola di sicurezza e partita anche se era
pensando in questo modo dovrebbe essere ora
quella partita di rugby perché penso che
la Coppa del Mondo di rugby prende il via stasera ma
è una scatola di sicurezza vivarium e partita
tra i contenitori e VMS io sono il
il secondo intervento mi chiede più specifico
suggerimenti e tecniche di sicurezza del contenitore
ok così contenitori contro VMs così che noi
combatti per quando stiamo pensando
la sicurezza che in realtà non dovrebbe dare
la tua cintura titolo mondiale WBA Leonard cosa
stiamo combattendo perché non è niente per te
ottenere sicurezza non succede nulla
non succede perché il tuo sito non va
giù perché la mente di qualcuno di fare su
quello che non succede è la tua prima pagina
non sembra così perché alcuni
gli script hanno preso una laurea in stile
per te bene non succede te
non iniziare a vendere contadini crescendo
il lato o almeno presumo la città di Tim
consiglio non significava comprare da solo che sono cresciuto
dalla parte di ciò che realmente non succede
se non perdi tutti i tuoi clienti
dettagli della carta di credito Adobe ha appena ottenuto
via con esso ma una più piccola società voi
sapere potrebbe essere in bancarotta da questo e
quello che davvero non succede è te
non perdere da quando la formazione posteriore da
nazione su militari e intelligence
personale questo penso che questo sia uno di
i peggiori atti di cui siamo a conoscenza
perché questo direttamente la vita delle persone a
rischio queste sono persone che potrebbero essere
preso di mira da governi stranieri e
elementi criminali così è stato abbastanza
orribile nei miei occhi, quindi eravamo i
contendenti nella nostra lotta bene tu hai
per dire il VN il vm è fondamentalmente il
Campione dei pesi massimi in carica se tu
come VMS sono utilizzati nelle banche in cui hanno usato
il governo che tutti usano le macchine virtuali essere invano
per un po ‘ci fidiamo di loro rispetto a
questi contenitori sono il sconosciuto upstart
tuttavia penso che ne portino qualcosa di nuovo
caratteristiche di esecuzione di caratteristiche che lo fa
Effettivamente per una lotta interessante
quando li metti testa a testa va bene così
andando garanzie di isolamento del vino così qui
Sto solo pensando a quanto isolato
altri processi all’interno di un VM o di un
contenitore mi cancella scoppiare con un vm
il nostro contenitore e ci accede di VMS o
contenitori sull’host o sull’host
se stesso e qui la grande cosa è il vm
superficie dello strato hypervisor e il
l’hypervisor funge in parte da a
buffer o un filtro posso molto a Caillou
di attacchi e quando si confronta questo due
i contenitori continui condividono il colonnello
giusto così ogni contenitore è quando il
stessa cura dell’ospite quindi se un contenitore
le menti fanno solo dire, per esempio a
panico del kernel che eliminerebbe il
kernel per l’host e tutta la terra di
gestire i contenitori allo stesso modo se a
container riesce ad afferrare tutta la memoria
la tua stella circa gli altri contenitori su
l’ host quindi penso che devi dare Rank
1 isolamento al vm
così è inutile attaccare la superficie
probabilmente il più controverso dei miei
gli anelli in questa lotta, ma ho intenzione di
sostengono che è una superficie di attacco maggiore
in una vm idea sto solo confrontando direttamente
il vm al colonnello di Lance c’è molto
più avanti in VM è molto grande
pezzo di codice ci sono un sacco di cose
come la virtualizzazione e le emulazioni i
semplicemente non succede come di default su
linux e così fa parte di quello
cose come l’emulazione di dispositivi e il tuo
virtualizzazione e c’era il veleno
vulnerabilità è una delle novità
vulnerabilità che ci portano sulla pagina web
che sembra essere una cosa nuova di zecca, ma
il veleno era un’abilità unica
interessante in fondo c’era un bug in
alcuni floppy disk con codice di regolazione che
nessuno ha usato veramente perché usa
floppy disk ok, ma quello era un
partecipazione alla audizione per te ma comunque
alla fine hanno infastidito che io sono quello
in realtà ha causato una rottura il vm potrebbe
l’attaccante potrebbe rompere il vm e
c’è il tour a cavallo del VMS
anche un altro lato di questo e quello di te
può produrre contenitori quindi questo è un
problema separato prima di guardarlo
che il tuo servizio fiscale del colonnello
rispetto al vm ma l’ altra cosa
puoi fare con i contenitori è molto costruito
contenitori minimi in modo da poter costruire un
contenitore che contiene solo come a
singolo binario statico non ha il
l’intero sistema operativo lo avvolge
così facendo puoi tagliare molto
di cose che potrebbero potenzialmente essere usate
per attaccarti, sì, il minimo
contarme sul file binario statico
e così facendo sei veramente tagliato e
durante l’attacco di superficie così per quello
motivo per cui ho intenzione di dare questo round a
il contenitore a 13 controlli quindi eccomi qui
davvero pensando a quali manopole puoi
twiddle o pulsanti puoi spingere a
limitare i privilegi e le risorse
stanno dicendo a un contenitore o VM
quindi se pensi di limitare l’accesso a
le risorse hardware reali la memoria
CPU nel disco sono entrambi abbastanza buoni
giusto puoi fare praticamente lo stesso
cosa CP con VM e con contenitori
ma ho intenzione di sostenere che tu ottieni di più
controlli per i contenitori in modo che tu possa fare
cose che impostano i file system in sola lettura
Sono abbastanza sicuro che tu possa farlo . V mira a
bene, io non sono un esperto di macchine virtuali, ma lo sono
certo che puoi comunque con il continuo
è abbastanza semplice puoi anche farlo
cose come mettere le chiamate in esso in modo certo
i file possono essere letti proprio mentre il rischio
il file system è di sola lettura e lo faremo
vedi Leah e c’è anche il Colonnello
funzionalità del kernel linux quindi linux
il kernel definisce cose circa 40 differenti
capacità e questi sono solo un insieme di
Chiama che puoi fare così quello che puoi
fare è possibile ridurre le capacità di
un determinato contenitore e dì questo gattino
cosa non può creare socket di rete o
impossibile creare set di binari Eddie
cose del genere c’è anche il set comp
commento come non ancora disponibile ma è
arrivando ai contenitori docker e quello
anche se l’accesso è ancora più fine
per esattamente quale kernel chiama container
può fare così ho intenzione di sostenere che il
contenitore vince anche questo amico così vanitoso
per auditing quindi qui sto pensando se
si sta andando a come un grande sistema di vm
o grande sistema di contenitori ogni ora e
ancora una volta è necessario come guardare il
sistema e assicurati che le immagini siano
l’esecuzione è aggiornata e non viene utilizzata
tutte le versioni vulnerabili del software per
esempio è la prima cosa che tu
potrebbe notare che è un sistema tipico
stai andando a correre considerevolmente
più contenitori e saresti variabile
la MS così il nostro sistema funziona a dozzine
di BMS può effettivamente funzionare in modo equivalente
sistema usano stazioni di contenitori
quindi un modo di pensare forse era quello
più per controllare, ma questo non dice il
tutta la storia la grande cosa sono gli Stati Uniti
vissuto più a lungo e lo paragoni a
contenitori di sicuro non ha scritto il nostro
effimero per cui le ore straordinarie delle VM divergono
l’immagine di base e abbiamo un intero
ramo del software chiamato configurazione
gestione che è sorto intorno a questo
tenta di provare a rendermi ms coerente
col passare del tempo e quindi ciò che effettivamente
significa se hai qualche produzione
non sei mai abbastanza sicuro di quale stato
sono come e due VMS sono apparentemente
fare la stessa cosa è molto probabile
hanno diverse versioni di scoppio della luce
e così via, di cui hai bisogno quando ti controlli
devono controllare ciascuno di essi
separatamente se lo si confronta con
contenitori lo stai facendo correttamente cosa
tu sei il tuo posto che ti porto
non aggiustarlo in modo da prendere l’interno
contenitore e mettere il nuovo che è
costruito da un’immagine che è stata la
più alto aggiornamento e ciò che significa è
puoi davvero tenerlo per le tue immagini
offline ho supposto il tuo online
contenitori e quindi è possibile verificare che
i contenitori non si sono allontanati dal
immagine e ci sono strumenti come e così il
punto di che è è possibile verificare uno
immagine e potresti aver effettivamente verificato
posso effettivamente centinaia di contenitori
usa strumenti come il dr. morte per uno
sicuro che i tuoi contenitori non lo siano
divergevano dall’immagine che erano
creato da ed è anche molto carino
hotel loro se sei stato ferito perché a
se dici come l’ attacco script kiddie
dove cambiano la prima pagina se quello
era uno nel contenitore dell’evento
si è verificato se si vede immediatamente come il
File CSS in file HTML che sono
cambiato o aggiunto allo stesso modo se corri
la cosa dello spam pharma che probabilmente faresti
trova un file che è stato effettivamente contenuto
un po ‘di codice PHP che ho bisogno di conoscerti
trovalo molto facilmente usando il dottore
comando diff così ho intenzione di dare quello
rotondo anche al contenitore ma il
il round finale in corso 5 è track record e
qui dirò che i VMS sono piuttosto un
forte vantaggio, hanno loro a
record comprovato per cui sono stati in giro
anni dopo ci fidiamo di alcune banche
e i governi si fidano di loro e di te
confronta questo contenitore in modo semplice
non hanno lo stesso track record okay
puoi argomentare che i contenitori sono stati
in giro per un po ‘ ma certamente non in
il senso moderno dei contenitori docker
e così via, prenderò tempo
prima che la gente arrivi a fidarsi di loro
guardia di sicurezza, quindi ho intenzione di dare questo
sono stato molto pesante con il vm ora sono
certi di voi bravi in matematica e validi
questo su, ma mi stavo chiedendo chi la pensa
il vm dovrebbe vincere questa lotta p tempo
pensi che il VMS stai facendo bene
centocinquanta container dovrebbe vincere no
a pagamento va bene, a dire il vero lo vorrei
lo stile chiama quel cassetto che immagino
molti di voi potrebbero fare massa probabilmente
l’ho capito, ma quello è il mio prossimo
slide ma dirò attenzione alla rivincita
perché c’è molto interessante
il lavoro è fatto così una cosa è lì
un sacco di lavoro in corso per accelerare vm così
in effetti vedrai VMS che penso
essere utilizzato in uno stile più contenitore
flusso di lavoro quindi i progetti sono chiari
contenitore per minuto indica che tale utilizzo
VMS in una sorta di stick in stile contenitore
e il suo stile contenitore e inoltre c’è
un sacco di lavoro in corso per garantire
contenitore quindi questa cosa è come una sitcom
dalla finestra mobile, ma c’è anche un sacco di
lavoro andando sul kernel Linux mentiras
per essere sicuri di vedere gruppi e spazi dei nomi
e così via sul nostro sicuro e durante il
sparare così tra qualche anno
interessante vedere dove siamo ma come
l’ adrian ha detto che il minuto dove
probabilmente andrai dove sta andando
utilizzare entrambi i contenitori e VMS e in questo modo
hai due livelli di sicurezza allora
quindi tu sei il modo migliore per farlo è
usa vm per separare gruppi di contenitori
quindi per esempio lo farai
applicazione multi-tenant che inserisci ciascuna
inquilino o utente un cliente che hanno
il proprio VMS e cosa dovremmo eseguire
contenitori e questo è ciò che Amazon e
Google ci dà un po ‘di interesse
in uno però perché usi il cout
Benetti, i tuoi contenitori stanno funzionando
VMS ma quei VMS sono a loro volta in esecuzione
bordo che è contenitori così hai ottenuto
contenitori in macchine virtuali e contenitori
l’altro modo in cui puoi separare le cose è se
avete un ricevuto un gran web app e
hai un front-end con PHP o no
GS hai messo quei contenitori e uno vm
e poi un altro vm ti piace il
contenitori quando e dicono
elaborazione della carta di credito quindi un aggressore
fa le pause in un’orgia, continua tu
Devo ancora uscire da quella VM e
in un altro per arrivare da qualche parte vicino
le informazioni della carta di credito ok così è
per la prima parte del discorso il
la prossima parte sarà generale
consigli di sicurezza per contenitori da giardino
in realtà se c’è una cosa che prendi
lontano da questo discorso voglio essere questo
Scorri così i paradigmi di sicurezza il primo
uno è la difesa in profondità non fare affidamento su
solo un livello di sicurezza così ha Kristen
parlato prima con un po ‘di parlare
i firewall menzionati e un tempo eravamo noi
fare molto affidamento su un firewall da tagliare
un sacco di attacchi ma al giorno d’oggi lo è
molto meno utile perché tutto
arriva attraverso HTTP quindi ce n’è uno solo
povero o troppo povero per includere un GPS così
non limitarti a fare il firewall non solo
la menzogna nei contenitori usa anche le macchine virtuali
fai affidamento su quello mantieni tutto
criptato che è sensibile e ciò che tu
pensa sempre se un attaccante viene passato
questo livello di sicurezza che cosa ha
accesso a e si vede sempre cercando di
mettere un ostacolo in più nel modo di
raggiungere le tue informazioni sensibili
l’altro paradigma è il minimo privilegio
questa è solo l’idea che un contenitore
dovrebbe solo avere accesso ai dati e
risorse che sono essenziali per il suo
funziona è come una vecchia idea
era usato per essere applicato anche come
funzioni e classi e così via Jerry
Saltz, signore, penso che sia stato articolato per primo
Lo sto facendo se è un attaccante
interruzioni alla risale l’idea di
irrompere nella parte anteriore dovrebbe essere
addormentato essere in grado di accedere al credito
dettagli della carta cose come quelle che puoi
paragonarlo alla sicurezza dell’idea militare
di bisogno di sapere dove sono solo le persone
due anni il minimo che hanno bisogno di sapere
cosa per completare la missione e che noi
come cultura non possono svelare segreti
c’è anche molto bene a parlare di questo
è stata data un’icona doc chiamata meno
microservizi privilegiati di Nathan the
collie e Google monica dalla finestra mobile così
controllare che si desidera sapere di più su
il minimo privilegio
va bene quindi consigli più specifici quello
più comunemente le persone si sbagliano se tu
assomiglia a un hub di docker ma tu guardi
alle immagini il più grande errore delle persone
fare è farli utenti e quindi la cosa
essere consapevoli è che gli utenti non lo sono
Nomi incolla il tuo colonnello, quindi sei il tuo
percorso all’interno di un contenitore che è in realtà
gli stessi utenti che instradano il cavallo cosa
significa che stai uscendo da a
contenitore che è in esecuzione come root
processo che gli ebrei gestiscono il suo
percorso sarai root sul cavallo che
è chiaramente una cosa molto brutta ora che c’è
lavoro andando su un minuto e docker a
mappa automaticamente l’utente root e a
contenitore è come un numero elevato
usando l’host ma non è ancora lì
e anche io sospetto che saranno problemi
riguardo ai permessi dei file e così via
quindi nel frattempo è molto importante
Devo essere onesto, comunque è molto
importante per impostare un utente per guadagnare il tuo
immagini con la tua storia nella tua dacia
i file che includi come due righe sono fuori
ciò che fa è creare un utente e
cambia a quell’utente per tutto il telefono
linee nel dockerfile e quando loro
contenere la vostra partenza, se si guarda il
le immagini ufficiali che suonano includono spesso
la prima riga ma non una seconda riga e
il motivo è nello script del punto di ingresso
o lo script di un punto di ingresso che ottiene
avviare il contenitore inizia che vogliono
fare qualcosa come i permessi dei file
che richiede i privilegi di root quindi cosa
lo fanno è che avrebbe impostato quelle autorizzazioni
e poi l’utente a cui piace fare o andare
attraverso per passare all’appropriato
utente, ma se fai una cosa, fallo
quindi imposta il file system del contenitore in sola lettura
questo è piuttosto utile per tagliare così a
molti attacchi ed è molto semplice
fallo così se passi la polvere del cruscotto
dovremmo solo segnalare quando si avvia a
contenitore che il file system del contenitore
è completamente di sola lettura e non è possibile
scrivere qualsiasi file ora va bene più
le applicazioni non saranno in grado di
funziona così ma quello che puoi fare è un
crea un volume per i file che io
ho bisogno di scrivere per così dire il tuo tuo
l’applicazione ha bisogno del diritto a un temp
file basta creare un volume per questo e
quindi se l’ attaccante brig dice che non lo faranno
essere in grado di fare cose come sai scrivere
una sceneggiatura per servire la sega familiare degli agricoltori
prima
o modifica il file per cambiare la tua facciata
pagina in modo molto simile è possibile impostare i volumi
essere visto solo con non cadrà
capacità di tornare indietro nel punto
funzionalità di Linux ciò che fai sei tu
passare un argomento dash drop goccia di polvere
abbandonare una capacità così in questo primo
linea qui stiamo lasciando cadere la capacità di
imposta i flag UID e GID sui tuoi file
può anche abbandonare tutte le funzionalità e solo
aggiungere di nuovo quelli di cui hai bisogno
questo naturalmente è che come lo sai
ciò che dai è che ti serve un po ‘
di un occhio nero finisci proprio come
testarlo quindi è molto utile ma lo è
un po ‘di parti in più della cpu di lavoro che ho sempre
si chiedeva se parlare o no
questo perché la CPU è in realtà limitata da
di default quindi di default se la tua CPU lo è
bloccato se si utilizza il numero cpu e un host
i tuoi contenitori effettivamente posti condividono il
CPU ugualmente raggiungono dato uguale
condividi la CPU ma puoi cambiarla
devi essere consapevole che c’è un
valutazione predefinita di uno o due per così dentro
in questo esempio iniziamo un contenitore
default aspettando uno o due per poi noi
girare fino ad altri contenitori con il
peso in cinque punti per raggiungere e cosa
ciò significa che è il primo contenitore possibile
occupano fino a metà di una CPU e l’altra a
prendi un quarto ciascuno, ma questo viene solo
in effetto quando le CPU sono state bloccate in precedenza
quel punto chiunque può usare tanto quanto
ti piace che ci sia anche qualcosa di simile
lo schedulatore completamente giusto che tu
ora puoi usarlo, quindi ci sono altri modi per farlo
CPU ma perché è limitato per impostazione predefinita
o condiviso di default non mi preoccuperei
troppo su quello che sei
preoccupati di più sono i limiti di memoria
perché vedo che un contenitore può andare e
prendi tutta la memoria di un lago così tu
può passare il trattino mne flag per impostare put a
vincolo e la memoria di montagna fanno
sei consapevole se lo fai
quello che si trova la memoria principale ma
c’è anche tu ottieni la stessa quantità di
scambia quindi questo ti dà cinque nuovi 12 maggio
ottenere un po ‘di memoria più 512 make
morde o scambia e c’è un separato
flag per limitare entrambi è questo
un vuoto di qualcuno così puoi anche
definisci nuove idee per GI de binary
se guardi le tipiche immagini di base
come debian ubuntu okay sì, puoi farlo
quindi le immagini di base includono parecchio
di binari che ti ho dato un dnc tid
bit e ciò che fa è che permette
loro di avere privilegi elevati così il
l’esempio di classe ti sta pagando in realtà no
pensa al ping come alla sicurezza
sensibile ma in realtà così elevato
privilegi in modo che possano creare raw
prese di rete che cosa significa è se un
l’attaccante trova un bug nel ping, lo so
può sfruttare che possono elevare il
privilegi errati nel sistema e
la cosa divertente è che puoi trovarli
binari abbastanza facilmente semplicemente
quando trovo, credo che la maggior parte di voi probabilmente
trovare familiare e ottieni questo proprio come
quelli nell’immagine debian predefinita e
per esempio chi alza le mani se lo sai
che ano CHF non c’è nessuno sa cosa
CHF n vede così perché è nella SRT
sta per cambiare il nome del dito chi
ricorda il dito ok va meglio così
sì un nome completo è unghie il passato
la password del video con il lon Reiman
dal post con pelliccia quindi forse bene
nessuno sa chi sia e perché
è lì quindi sono potenzialmente intendo
sii onesto, probabilmente non è un granché
questione perché questi sono tutti molto bene
utility testate quindi sarei sorpreso se
trovi una vulnerabilità in loro ma tu
potrebbe e quindi un attacco sarebbe in grado
elevare i privilegi all’interno del
contenitore quindi è in realtà banale
definiscili perché puoi semplicemente metterlo
questo nel tuo file dacha e lui ha messo
linea tutto ciò che accadrà è che lo farò
passa attraverso tutti i file trova quelli
che sono e modificare le autorizzazioni
su di loro e per rimuovere il bit uid impostato
e solo per dimostrarlo se lo si esegue di nuovo
capisci che un altro è interessante
puoi disattivare enter container
comunicazione così quando lanci il tuo
dacha demon lo abbiamo appena aggiornato a 1.8 così
prima c’era il cruscotto D, ma ora lo è
dr. Damon ha passato un trattino che vedo
sequela una falsa bandiera in cui spegni
contenitore di comunicazione in modo tuo
i contenitori non possono parlare tra loro e
puoi fare questo tipo di discorsi a ciascuno
altri non possono attaccarsi l’un l’altro quindi
l’attaccante si rompe quindi non sarai in grado
per andare a parlare di altri contenitori così
discutibilmente la pace ma è un po ‘inutile
perché ora il tuo contenitore di applicazioni
non posso parlare al database, quindi tu
può fare è si può sedere la bandiera di iptables
che penso sia ora impostato di default, lo sono
non era sicuro che fosse e lo disse
consente ai contenitori collegati di comunicare
così tutti gli iptables di SEP lo fanno
consente di esporre porte e utensili
contenitori per comunicare ma niente
altrimenti può comunicare di default normalmente
se non si ICC sul falso o
qualsiasi altra cosa tutti i contenitori per un prezzo conveniente
immaturo attraverso un accesso l’ un l’altro
sport come il loro completamente libero che come
sorprende alcune persone ma tu di
Certo, devi conoscere l’indirizzo IP
degli altri contenitori il punto finale
e questo è un tornare a parlare di questo
Mattina se hai visto la condivisione di Cessnock
segreti per cui vuoi mettere le cose
piace
le sue password e API parlano nel tuo
contenitori e questo è piuttosto difficile
problema abbiamo avuto lo stesso problema di
VM, ma è stato meno esacerbato perché
gli obiettivi erano vissuti più a lungo e lui avrebbe fatto
le cose manualmente se si doveva ma
oggigiorno i contenitori per entrare e
andare in tutto il tempo è davvero un
pressione su per automatizzare questo processo così
il primo modo in cui puoi ottenere un segreto
l’nel contenitore è grande nel
immagine giusta proprio nel docker
file e inserisci l’API come token
dockerfile si spera che la maggior parte di voi sia d’accordo
è una cattiva idea e non dovresti farlo
che sotto qualsiasi cosa per onorare qualsiasi
situazione il prossimo modo è l’ambiente
variabili e molto probabilmente lo fai
questo e non sto dicendo male ma dentro
contenitori la cosa della porta è grande
sia un motivo che molte persone lo usano
è perché è il modo suggerito da 12
app di fattori e non sto bussando 12
fatelo fuori, ma di nuovo è tornato
il vmworld e quando possiedo un contenitore
terra e il problema è solo il
variabili d’ambiente quando lo sai
quindi la divinità è solo un token API dashi
uguale al tuo segreto e il problema è
può essere visto solo in troppi posti
quindi collegare i contenitori ottenere l’accesso a tutti i
altri collegati continuamente questi
variabili d’ambiente quindi se ne colleghi due
contenitori insieme che contenitore può
vedi tutti i segreti vicino al contenitore
quali i prezzi delle persone anch’io
ispezionare anche ispezionare si può vedere tutto il
variabili di ambiente nel contenitore
e non possono essere cancellati così potresti
pensa bene va bene andrò e
gestirlo che non funzionerà, lo sarai ancora
in grado di vedere e ispezionare ma anche peggio
tendono ad includere le relazioni giuste
quindi hai chiesto la richiesta di supporto diversamente
il tuo venditore dice che va bene posso ottenere
dettagli il tuo ambiente in modo che tu solo
Daglielo e conosci te
incluso tutti i tuoi segreti lì quali
chiaramente non è una buona cosa, quindi vado
per dire le variabili d’ambiente vanno bene loro
lavoro ma sono un po ‘troppo visibili e io
non userei la fibra ottica
quindi il prossimo modo e penso che sia così
probabilmente come la maggior parte della gente sta facendo
al momento è solo per fare file così
tieni i tuoi segreti in un file e tu
fallo nell’immagine fino al
contenitore mi dispiace una delle cose belle
su questo è che puoi semplicemente fare un
file di configurazione che ti piace con a
variabili di ambiente problema anche tu
fare del lavoro per ottenere quell’ambiente
variabile nell’applicazione abbastanza
comunemente almeno con un file puoi
basta montarlo nel file di configurazione
e lo prenderò senza alcun particolare
trucchi sì oh questo funziona ma è un po ‘
icky e il mio problema principale è quello
i file tendono a essere controllati nella fonte
controllo e chiaramente questa è una brutta cosa
quando hai segreti così il futuro I
penso che saranno questi sono garantiti
valore chiave memorizza quindi alcuni di voi potrebbero
essere un incesto parlare questa mattina quando tu
parlare di essere evoluto sì, penso che
sarà davvero quando il modo principale
fare le cose stanno andando avanti
fondamentalmente l’idea è il tuo valore chiave
conserva tutti i tuoi segreti in esso è un
progettare per memorizzare segreto in modo che li tenga
crittografato ha caratteristiche speciali come
locazioni e così via sì, così puoi dire come
a lungo un segreto è buono per potrebbe a
mattone vetro procedere anno in modo da poter bloccare
tutto giù se qualcuno rompe in
cose del genere come due volte principali
che Seth ha parlato di stamattina e
anche i modi principali con cui ki voice è abbastanza
interessante perché è stato costruito dal
ragazzi in piazza che hanno fatto un processo di pagamento
e così via I ingegneri di dominio da lì
ora effettivamente funziona in docker quindi una chiave
che probabilmente è probabile che sia molto
ben supportato alcuni qui probabilmente
le case pensanti in realtà risolvono il
problema perché devi autenticarti
al negozio di valore chiave così come stai andando
per farlo dall’interno del tuo contenitore
due modi per tornare
variabili d’ambiente in modo da passarle
variabile di ambiente per convalidare il
valore chiave memorizza o invialo alla chiave
value store ma tu ne fai uno fuori
chiave in modo che possa essere usato una volta e poi è
inutile quindi almeno un aggressore lo ottiene
il campo non è buono per loro l’altro
modo
un po ‘più complicato ma ora lo abbiamo
volume plugin e quindi puoi naturalmente
c’è un plugin di volume per entrambe le chiavi
modi e volta e ciò che fa è un
crea un file all’interno del contenitore
quello contiene i segreti che quello
contenitore ha accesso a basato su cosa
hanno i diritti di accesso e chiave
modi o evoluti così ora hai spostato tutto
il tipo di segreto istituito al di fuori della
contenitore stesso non c’è nessun token
passato lì e proprio come li philous
popolato da esso è stato evoluto quindi penso
probabilmente è un futuro ok, penso
che è praticamente voglio parlare
la cosa principale che volevo è la forma asciutta
come contenitori di sicurezza strana, così ha usato
vm come un minuto intendo che contenitore inviato
al mix hai aggiunto solo un altro livello
di sicurezza che è molto improbabile da fare
le cose meno sicure sono quasi
impossibile forse se hai fatto cose del genere
sai che io faccio quello che pensi sia la radice
user yeah usa contenitori con VM se
sei preoccupato per la sicurezza che conosco
pensa sempre alla difesa in profondità e meno
privilegio si
chipotle al click dell’istruzione utente
le solite stanze di peso
Sì, ho giocato con quella fiera
un po ‘di recente uno dei problemi che ho
trovato è quando lo fai e poi tu
usa la copia o aggiungi Jeff copia il file
finisce per essere di proprietà di root nel
prospettiva del progettista psichico dell’utente
fuori sito e quindi quello che si finisce per fare è
dovendo saccheggiare usiamo un modello sgradevole
quando si capovolge temporaneamente la copia della stanza
il file e cambiare la proprietà di esso
e quindi tornare al pozzo originale
come si sta seduti bene quando noi
i privilegi dell’utente root sono solo i
i privilegi di I’ll solo mantenere il
saccheggiatori in cui un fallimento era sul
host ma scusa lo stesso oh si okay
è vero sì e questo è esattamente
perché le immagini ufficiali non hanno questo
dichiarazione utente giusta così e tu guardi
le immagini ufficiali fanno quello che fanno
è come per postgres o il rossore è un
quando si avvia il contenitore, lo fanno
come uno pseudo CH, voglio che tu non lo faccia
e vedi se sono tutte le tue radici o
basta vederlo mostrato Io sono poi loro fanno a
pseudo all’utente effettivo non è usato
fare che usano usano quello strumento potrebbe
vai così sono fantasma è piuttosto carino perché a
pochi pseudo si finisce con due processi
ma andate così piaccia proprio a Forks
processo o scrive quel processo sì che ho
è una domanda , Chris
si è parlato di un po ‘che è
mettendoti meno nei tuoi contenitori
non parliamo di questo significa questo te
potrebbe mettere l’intero di Linux in esso o
potresti semplicemente grattare e andare
binario o qualsiasi cosa vedi binario sì
assolutamente così che significa che ritorna
per attaccare i punti di superficie in modo che tu possa
davvero tagliato mi è piaciuto attaccare
servizio entro il contenimento da solo
mettendo il minimo minuto e anche
che va avanti per poi ne pensate
URL unici e cose del genere che vedi
vedere la gente che lo fa comunemente
o è ancora abbastanza bene la gente
è difficile dire cosa fanno veramente le persone
nel momento in cui non sono sicuro di aver visto persone
Non credo che molte persone lo facciano ora è così
abbastanza avanzato penso che ci sia
anche un problema con il debug proprio così se
ci metti il minimo e qualcosa
va male che vuoi fare il debug di questo
contenitore
niente strumenti come se tu fossi appena arrivato
binario non puoi nemmeno avere una shell, si
quindi la domanda era: immagino sia questo
mese la domanda è una sì le cose
vedere i suoi frutti un altro isolamento
meccanismi e come si confrontano e
sì, questo è un punto giusto, intendo pure
come docker abbiamo già un missile e
è gratis PS jail e zone solaris e
così via e non ho mai SAT e rispetto a
centro commerciale ma docker sta per essere è
sono un po ‘più stupido
assaggiato in molti di loro quindi direi
questo è probabilmente lassù in termini di
forse non sicurezza ma certamente
caratteristiche in isolamento chroot ci sono
sempre stato rilasciato per vederlo attraverso
è più un giocattolo che penso
benessere nessuno lo sa bene, grazie
tutti per essere venuti e fare un viaggio sicuro
a casa e speriamo di tornare di nuovo
l’anno prossimo penso che il grande
le discussioni erano probabilmente in
ottobre-novembre anziché settembre
e probabilmente una singola traccia conferenza
di nuovo ma non siamo abbastanza sicuri di cosa
fallo così se hai qualche idea
davvero alla ricerca di input e di qualsiasi
feedback o input su questa conferenza come
bene, grazie a tutti
Please follow and like us: