Kubernetes बग शिकार आधिकारिक तौर पर खुला

लगभग। ट्रांस। : दो हफ्ते पहले, कुबेरनेट्स ने बग बाउंटी कार्यक्रम का शुभारंभ किया, इस तरह के बड़े पैमाने पर ओपन सोर्स प्रोजेक्ट के लिए एक लंबे समय से प्रतीक्षित और महत्वपूर्ण कदम। इस पहल के हिस्से के रूप में, K8s में सुरक्षा समस्या का पता लगाने वाले किसी भी उत्साही को 100 USD (न्यूनतम महत्वपूर्णता) से लेकर 10,000 USD (कुबेरनेट कोर से एक घटक के लिए उच्चतम जीवन शक्ति) तक का इनाम मिल सकता है। कार्यक्रम की घोषणा Google की K8s सुरक्षा टीम द्वारा की गई थी - नीचे एक अनुवाद दिया गया है।



14 जनवरी को, कुबेरनेट्स उत्पाद सुरक्षा समिति ने एक नया बग बाउंटी कार्यक्रम शुरू किया, जिसमें शोधकर्ताओं को कुबेरनेट्स में खोजी गई कमजोरियों के लिए पुरस्कृत किया जाएगा। कार्यक्रम सीएनसीएफ द्वारा प्रायोजित है ।

कार्यक्रम का वर्णन

हमने इस कार्यक्रम के नियमों को यथासंभव पारदर्शी रूप से तैयार करने की कोशिश की, जो प्रारंभिक प्रस्ताव , प्रासंगिक सेवा प्रदाताओं के प्रारंभिक मूल्यांकन और अध्ययन किए जा रहे घटकों को सूचीबद्ध करने वाली एक कार्य योजना द्वारा सुगम बनाया गया था। जैसे ही हमने प्लेटफ़ॉर्म पर फैसला किया - हैकरऑन - इन दस्तावेजों को हैकरऑन द्वारा की गई टिप्पणियों और सुझावों के आधार पर संशोधित किया गया, साथ ही हाल ही में कुबेरनेट्स सुरक्षा ऑडिट से प्राप्त जानकारी।

बग बाउंटी कार्यक्रम कई महीनों तक एक बंद प्रारूप में चलाया गया था: आमंत्रित विशेषज्ञों ने बग की सूचना दी और हमें फ़िल्टरिंग प्रक्रिया का परीक्षण करने में मदद की। और अब, प्रारंभिक प्रस्ताव के लगभग दो साल बाद, कार्यक्रम अंत में तैयार है और हर किसी का स्वागत करता है जो गलतियों से लड़ने में हमारी मदद करने की जल्दी में है!

विशेष रूप से परेशान करने वाला तथ्य यह है कि इन्फ्रास्ट्रक्चर ओपन सोर्स परियोजनाओं के लिए बग बाउंटी कार्यक्रम अत्यंत दुर्लभ हैं। कुछ ओपन सोर्स बग फाइंडर्स प्रसिद्ध हैं, जैसे कि इंटरनेट बग बाउंटी । हालांकि, वे मुख्य रूप से उन मूल घटकों पर ध्यान केंद्रित करते हैं जो विभिन्न वातावरणों में क्रमिक रूप से तैनात होते हैं। अधिकांश बग बाउंटी प्रोग्राम वेब एप्लिकेशन के लिए हैं।

वास्तव में, यह देखते हुए कि अब 100 से अधिक प्रमाणित कुबेरनेट वितरण हैं (लिंक उत्पादों को सूचीबद्ध नहीं करता है, लेकिन सेवा प्रदाता [केसीएसपी] - वितरण स्वयं आज कुछ छोटे हैं - लगभग। अनुवाद , बग बस्टी कार्यक्रम होना चाहिए। कुबेरनेट्स कोड के लिए लागू, जो उन सभी को रेखांकित करता है।

अब तक, सबसे अधिक समय लेने वाला कार्य यह सुनिश्चित करने के लिए किया गया है कि प्लेटफ़ॉर्म प्रदाता (हैकरऑन) और इसके पूर्व-छाँटने वाले विशेषज्ञों को कुबेरनेट्स की अच्छी समझ है और रिपोर्ट किए गए बग की उपस्थिति की पुष्टि करने में सक्षम हैं। प्रारंभिक चरण के भाग के रूप में, हैकरओने की टीम ने प्रमाणित कुबेरनेट्स प्रशासक (CKA) के लिए परीक्षा उत्तीर्ण की।

कार्यक्रम में क्या शामिल है?

बग बाउंटी GitHub पर कुबेरनेट्स पारिस्थितिकी तंत्र के मुख्य घटकों के साथ-साथ निरंतर एकीकरण कलाकृतियों, रिलीज़ और प्रलेखन के लिए कोड को कवर करता है। वास्तव में, https://github.com/kubernetes पर शामिल अधिकांश सामग्री कार्यक्रम में शामिल है - एक जिसे आप "कोर" कुबेरनेट्स के साथ जोड़ेंगे। हम क्लस्टर हमलों में विशेष रूप से रुचि रखते हैं, जैसे कि विशेषाधिकार वृद्धि, प्रमाणीकरण त्रुटियां, और क्यूबलेट में या एपीआई सर्वर पर दूरस्थ कोड निष्पादन।

हम वर्कलोड या अधिकारों में अप्रत्याशित परिवर्तन के बारे में जानकारी के किसी भी रिसाव में रुचि रखते हैं। इसके अलावा, हम सुझाव देते हैं कि आप क्लस्टर प्रशासन से एक छोटा ब्रेक लें और निर्माण और रिलीज़ की प्रक्रियाओं सहित संपूर्ण आपूर्ति श्रृंखला को देखने की कोशिश करें, ताकि उन्हें अनधिकृत पहुंच के लिए अध्ययन करने या संदिग्ध कलाकृतियों को प्रकाशित करने की क्षमता के लिए अध्ययन किया जा सके।

यह ध्यान दिया जाना चाहिए कि कार्यक्रम समुदाय के साथ बातचीत के लिए उपकरणों को कवर नहीं करता है - उदाहरण के लिए, कुबेरनेट्स मेलिंग सूचियों या स्लैक में एक चैनल। कंटेनरों से बाहर निकलता है, लिनक्स कर्नेल पर हमला करता है, या अन्य निर्भरताएं (जैसे कि आदि) भी हमारी रुचि के दायरे से बाहर हैं (उन्हें उपयुक्त पार्टियों को निर्देशित किया जाना चाहिए)। इस मामले में, हम आभारी होंगे यदि आप कुबेरनेट्स से संबंधित किसी भी कमजोरियों के कुबेरनेट्स उत्पाद सुरक्षा समिति को निजी तौर पर सूचित करते हैं , भले ही वे बग बाउंटी के दायरे से परे हों।

बग बाउंटी के भीतर विषयों और क्षेत्रों की पूरी सूची कार्यक्रम पृष्ठ पर पाई जा सकती है।

भेद्यता प्रक्रिया और सूचना प्रकटीकरण

कुबेरनेट्स सुरक्षा समिति सुरक्षा विशेषज्ञों से बनी है जो कुबेरनेट्स में सुरक्षा मुद्दों को प्राप्त करने और रिपोर्ट करने के लिए जिम्मेदार हैं। अपने काम में, वे कमजोरियों का जवाब देने के लिए एक अच्छी तरह से प्रलेखित प्रक्रिया का पालन करते हैं, जिसमें प्रारंभिक छंटनी, परिणामों का आकलन करना, एक फिक्स बनाना और इसे बाहर निकालना शामिल है।

हमारे मामले में, HackerOne मंच कार्यक्रम, प्राथमिक छंटाई और बुनियादी मूल्यांकन का आयोजन करता है। इसके लिए धन्यवाद, हमारे कुबेरनेट्स सुरक्षा विशेषज्ञ वास्तव में महत्वपूर्ण गलतियों पर ध्यान केंद्रित कर सकते हैं। बाकी सब कुछ ऐसा ही है: सुरक्षा समिति पैच को विकसित करना, बंद पैच इकट्ठा करना और विशेष रिलीज का समन्वय करना जारी रखेगी। सुरक्षा फ़िक्सेस के साथ नए रिलीज़ की घोषणा चैनल kubernetes-security-announce@googlegroups.com में की जाएगी ।

जो बग की रिपोर्ट करना चाहते हैं वे इसे क्लासिक तरीके से कर सकते हैं (बग बाउंटी प्रोग्राम को दरकिनार करके)। ऐसा करने के लिए, अपनी रिपोर्ट security@kubernetes.io पर भेजें।

कहाँ से शुरू करें?

जैसे ही कई संगठन खुले स्रोत सॉफ़्टवेयर का समर्थन करते हैं, डेवलपर्स को काम पर रखकर, बग बाउंटी के माध्यम से बोनस का भुगतान करने से सुरक्षा शोधकर्ताओं का समर्थन करने में मदद मिलती है। यह कार्यक्रम कुबेरनेट्स के लिए एक महत्वपूर्ण कदम है, जिससे आप अपने स्वयं के सुरक्षा पेशेवरों के समुदाय को मजबूत कर सकते हैं और उन्हें उनकी कड़ी मेहनत के लिए पुरस्कृत कर सकते हैं।

यदि आप कुबेरनेट्स के लिए एक सुरक्षा विशेषज्ञ हैं, तो निम्नलिखित संसाधनों की जांच करें। वे बग हंट शुरू करने में आपकी मदद करेंगे:

• सुरक्षा मार्गदर्शिकाएँ :
  
  • Kubernetes.io ।
• चौखटे:
  
  • CIS बेंचमार्क ;
  • NIST 800-190 ।
• भाषण :
  
  • द डेविल इन द डिटेल्स: कुबेरनेट्स फर्स्ट सिक्योरिटी असेसमेंट (कुबेकोन एनए 2019);
  • चालाक अनुरोध: कुबेरनेटेस सीवीई-2018-1002105 (क्यूबीकॉन ईयू 2019) में गहरी डुबकी ;
  • ए हैकर गाइड टू कुबेरनेट्स एंड द क्लाउड (KubeCon EU 2018);
  • समुद्री डाकू- संक्रमित जल में शिपिंग (KubeCon NA 2017);
  • उदाहरण के लिए हैकिंग और हार्डनिंग कुबेरनेट क्लस्टर (KubeCon NA 2017)।

यदि आपको कोई भेद्यता लगती है, तो कृपया इसे https://hackerone.com/kuberneses पर कुबेरनेट्स बग बाउंटी कार्यक्रम पर रिपोर्ट करें ।

अनुवादक से पी.एस.

हमारे ब्लॉग में भी पढ़ें:

• " हेल्म 3 ने एक स्वतंत्र सुरक्षा ऑडिट पारित किया ";
• " 33+ कुबेरनेट सुरक्षा उपकरण ";
• " सुरक्षा-मांग वाले वातावरण में डोकर और कुबेरनेट्स ";
• " 9 कुबेरनेट्स सुरक्षा सर्वोत्तम अभ्यास ।"