काला निशान - OpenShift SELinux के साथ कंटेनर भेद्यता से कैसे बचाता है

क्या आपने कभी समाज की भलाई के लिए एक कठिन काम किया है, लेकिन आपके प्रयासों पर ध्यान नहीं दिया गया है, क्योंकि आपने इतने लंबे समय तक लाभ उठाया है कि आप सभी इसके लिए अभ्यस्त हैं? यह आपके लिए उस तरह का काम है जो सभी SELinux समुदाय के सदस्य करते हैं।



और इस साल 18 फरवरी को, उनके काम के बड़े हिस्से के लिए धन्यवाद, दुनिया को खतरनाक कंटेनर-हिटिंग भेद्यता CVE-2019-5736 से बचाया गया था।

यद्यपि अन्य ऑपरेटिंग सिस्टम और अन्य ओपन सोर्स प्रोजेक्ट हैं जो टाइप और श्रेणी नियंत्रण का उपयोग करते हैं, यह दुर्लभ है कि SELinux के साथ कॉन्फ़िगर किए गए सभी घटकों को डिफ़ॉल्ट रूप से, बॉक्स से बाहर और शामिल होने के लिए तैयार किया गया है। और भी शायद ही कभी, यह कॉन्फ़िगरेशन सभी स्तरों को कवर करता है, कंटेनर ऑर्केस्ट्रेशन के समाधान के लिए सही है, जिसके आधार पर सार्वजनिक क्लाउड काम करता है।

Red Hat OpenShift अब तक आठ वर्षों से लिनक्स मजबूर अभिगम नियंत्रण तंत्रों का उपयोग कर रहा है जैसे कि प्रकार प्रवर्तन (TE) और बहु-श्रेणी सुरक्षा (MCS)। 2011 से OpenShift में SELinux का उपयोग किया गया है। Red Hat OpenShift Online में, सार्वजनिक रूप से उपलब्ध होस्टिंग सेवा, जहाँ हजारों डेवलपर प्रतिदिन कंटेनर कोड चलाते हैं, SELinux का उपयोग शुरू से ही किया जाता रहा है। उदाहरण के लिए, OpenShift के संस्करण का क्या उपयोग किया जाता है, उदाहरण के लिए, अपने पसंदीदा मोबाइल ऑपरेटर के डेटा केंद्र में? वास्तव में, SELinux सुरक्षा मॉड्यूल डिफ़ॉल्ट रूप से, Red Hat OpenShift कंटेनर प्लेटफ़ॉर्म में शामिल है! और न सिर्फ चालू, बल्कि वास्तविक खतरों से बचाने के लिए पूरी तरह से कॉन्फ़िगर और तैयार है।

अन्य कुबेरनेट वितरणों के विपरीत, Red Hat लिनक्स के बीच के अंतर को बंद कर देता है और इसके ऊपर स्थापित कंटेनर ऑर्केस्ट्रेशन प्लेटफ़ॉर्म। यही है, Red Hat OpenShift मॉनिटर और स्टैक के दौरान सुरक्षा खतरों को समाप्त करता है, न कि केवल एक परत में। और यह डिफ़ॉल्ट रूप से किया जाता है - काम के पहले दिन से।

ओपनशिफ्ट Red Hat Enterprise Linux में डिफ़ॉल्ट रूप से इस कॉन्फ़िगरेशन का उपयोग करता है (आपको यह जानने की आवश्यकता नहीं है कि यह क्या है)। मामला केवल लैपटॉप पर रनिंग सेटेनफोर्स 1 तक सीमित नहीं है। प्रकार और श्रेणी द्वारा एक्सेस कंट्रोल के नियम, जो किरायेदार एक कुबेरनेट्स क्लस्टर पर कंटेनरों के साथ काम करने के लिए लागू होता है, सैकड़ों नोड्स तक बढ़ाया जा सकता है जो अन्य हजारों किरायेदारों के लिए उपयोग किया जा सकता है।

इस बारे में सोचें कि MCS के साथ SELinux कॉन्फ़िगरेशन एक बड़ी कंपनी में उपयोग के कुछ वर्षों के बाद कैसा दिखेगा जो OpenShift क्रेडेंशियल्स को बाएँ और दाएँ वितरित करता है। अब कल्पना करें कि आप अपने OpenShift क्लस्टर में लॉग इन करने के लिए अपने क्रेडेंशियल्स प्रदान करते हैं, जैसा कि हम openhift.com पर करते हैं। SELinux वफादारी अक्सर एक OpenShift समाधान में की जाने वाली हर चीज के लिए पहचानी जाने में विफल रहती है। यदि यह आपको लगता है कि ऑपरेटिंग सिस्टम इन दिनों इतना महत्वपूर्ण नहीं है, तो इस बारे में सोचें कि क्या आप इस फरवरी तक CVE-2019-5736 भेद्यता से सुरक्षित थे। ओपनशिफ्ट में, CVE-2019-5736 बहुत शुरुआत से सुरक्षित है, और आप इस समाधान पर आगे बढ़ सकते हैं ।

SELinux के निशान

Red Hat OpenShift में कार्यान्वित सबसे प्रभावी डिफ़ॉल्ट सुरक्षा विशेषताओं में से एक सुरक्षा-संवर्धित लिनक्स (SELinux) है। SELinux एक लिनक्स कर्नेल सुरक्षा मॉड्यूल है जो सुरक्षा नीति-आधारित अभिगम नियंत्रण प्रदान करता है। SELinux के काम करने का तरीका ऑपरेटिंग सिस्टम की सभी प्रक्रियाओं और वस्तुओं को लेबल (नाम) निर्दिष्ट करना है। इस प्रकार, कर्नेल संचालन में शामिल प्रत्येक तत्व को चिह्नित और वर्गीकृत किया जाता है, और फिर इसे मौजूदा नियमों के आधार पर पहुंच प्रदान की जाती है।

नीति नियम टैग की गई प्रक्रियाओं और टैग की गई वस्तुओं के बीच संबंध को परिभाषित करते हैं। नीतियों में उपयोगकर्ता द्वारा परिभाषित नियम कर्नेल स्तर पर लागू होते हैं। डिफ़ॉल्ट रूप से, किसी भी चीज़ की अनुमति नहीं है जो स्वचालित रूप से अस्वीकार कर दिया जाता है - एक फ़ायरवॉल के साथ सादृश्य द्वारा जो सभी प्रक्रियाओं तक पहुंच से इनकार करता है जिसके लिए स्पष्ट अनुमतियों को कॉन्फ़िगर नहीं किया गया है। नीचे दिए गए उदाहरण सरल उपयोग के मामलों को दर्शाते हैं।

एक ऐसी प्रणाली की कल्पना करें जिसमें आपको बिल्लियों और कुत्तों जैसी वस्तुओं के लिए प्रकारों को परिभाषित करने की आवश्यकता है। बिल्ली और कुत्ता प्रक्रिया के प्रकार हैं।


* सभी चित्र Máirín डफी द्वारा हैं

उन वस्तुओं का वर्ग जिसके साथ प्रक्रियाएं सहभागिता करेंगी फ़ीड है। फ़ीड प्रकार जोड़ें: cat_chow और dog_chow (ओम-नॉम-नॉम)।


हम कुत्ते को कुत्ते के भोजन (dog_chow) खाने के लिए अनुमति देते हैं, और बिल्ली के लिए - cat food (cat_chow)। हम इन अनुमतियों को SELinux नीति नियम के रूप में लिखते हैं:

allow cat cat_chow:food eat; allow dog dog_chow:food eat; 

इन नियमों के अनुसार, "cat" प्रक्रिया को लेबल cat_chow के साथ भोजन खाने के लिए कर्नेल स्तर पर अनुमति दी जाएगी, और कुत्ते के लिए - लेबल dog_chow के साथ भोजन।


लेकिन हमें याद है कि SELinux में, डिफ़ॉल्ट रूप से, सब कुछ निषिद्ध है। इसलिए, यदि कुत्ते cat_chow खाने की कोशिश करते हैं, तो कोर इसे अनुमति नहीं देगा।


यह प्रकार नियंत्रण है, जो कंटेनर प्रक्रियाओं से मेजबान प्रणाली की सुरक्षा में एक प्रमुख भूमिका निभाता है। कंटेनर प्रक्रिया केवल / usr निर्देशिका से फ़ाइलों को पढ़ और चला सकती है और केवल कंटेनर फ़ाइलों को डेटा लिख ​​सकती है। यह प्रतिबंध मेज़बान को कंटेनरों से मज़बूती से बचाता है, लेकिन कुछ कंटेनरों को दूसरों से बचाता नहीं है, क्योंकि वे सभी एक ही प्रकार के साथ चिह्नित हैं। कंटेनरों को एक-दूसरे से बचाने के लिए, आपको एमसीएस टैग नियंत्रण लागू करने की आवश्यकता होगी।

MCS पूंछ द्वारा बिल्ली को नहीं खींचता है

MCS का उपयोग सीधे CVE-2019-5736 से OpenShift के संरक्षण से संबंधित नहीं है, लेकिन OpenShift में SELinux के उपयोग के सिद्धांतों को बेहतर ढंग से समझने के लिए इस विषय से खुद को परिचित करना उपयोगी है। उपयोगकर्ता या सिस्टम व्यवस्थापक के दृष्टिकोण से MCS लेबल असाइन करना काफी सरल है। आपको बस उन श्रेणियों के सेट को कॉन्फ़िगर करने की आवश्यकता है जो सरल पाठ लेबल हैं (उदाहरण के लिए, फ़िदो या स्पॉट), और उपयोगकर्ताओं को उनके साथ जोड़ें। सिस्टम प्रशासक पहले श्रेणियां सेट करता है और फिर उपयोगकर्ताओं को उनके साथ जोड़ता है, जिसके बाद उपयोगकर्ता इन लेबल का उपयोग अपनी इच्छानुसार कर सकते हैं। यह सुविधाजनक है क्योंकि MCS आपको ऑब्जेक्ट प्रबंधित करने के लिए मानक SELinux टैग का उपयोग करने की अनुमति देता है। आइए हम ऊपर दिए गए उदाहरण से फिर से काल्पनिक प्रणाली की ओर मुड़ें।

लेबल का एक और हिस्सा जोड़ें जो कुत्ते की प्रक्रिया और dog_chow फ़ीड पर लागू होगा। प्रक्रिया "कुत्ते" को कुत्ते को सौंपें: random1 (फ़िडो) और कुत्ते: random2 (स्पॉट)।


चलो dog_chow असाइन करते हैं: random1 (Fido) और dog_chow: random2 (Spot) लेबल कुत्ते के भोजन के लिए।


एमसीएस के संचालन के सिद्धांतों के अनुसार, यदि प्रकार द्वारा मजबूर नियंत्रण के नियमों को देखा जाता है और मनमाने ढंग से एमसीएस टैग बिल्कुल मेल खाते हैं, तो पहुंच की अनुमति है, और अन्य सभी मामलों में इसे अस्वीकार कर दिया जाता है।

Fido (कुत्ता: random1) द्वारा cat_chow खाने के प्रयास: भोजन को मजबूर प्रकार के नियंत्रणों के कारण अस्वीकार कर दिया जाएगा।

गहराई में रक्षा

OpenShift द्वारा उपयोग किया गया डिफ़ॉल्ट SELinux सुरक्षा मॉड्यूल गहराई में रक्षा का एक प्रमुख उदाहरण है। OpenShift, कई अन्य कुबेरनेट-आधारित प्लेटफ़ॉर्म की तरह, SCC / PSP नीतियों का उपयोग करता है जो रूट विशेषाधिकारों के साथ कंटेनरों को चलाने से रोकते हैं। यह सीमा CVE-2019-5736 से भी बचाती है। ओपनशिफ्ट में, रूट उपयोगकर्ता के स्वामित्व वाले कंटेनर डिफ़ॉल्ट रूप से अवरोधित होते हैं, लेकिन इस पैरामीटर को बदला जा सकता है । यहां तक ​​कि अगर आप कंटेनरों को रूट के रूप में चलाने की अनुमति देते हैं, तो OpenShift में मानक SELinux कॉन्फ़िगरेशन अभी भी CVE-2019-5736 से बचाता है । यह सुरक्षा का एक और स्तर है जो वास्तव में इस स्थिति में भुगतान करता है और यह ओपनशीफ़्ट में केवल एक से दूर है। अधिक जानकारी दस्तावेज़ में कंटेनर सुरक्षा के 10 स्तरों में पाई जा सकती है।

कंटेनर रनटाइम के लिए Red Hat Enterprise Linux पैच सहित CVE-2019-5736 की अधिक जानकारी के लिए, Red Hat कमजोर पड़ने की समीक्षा देखें ।