Containerteknik, framför allt Docker, vinner mycket terräng just nu. Det är helt enkelt ett mycket smidigt, och enkelt, sätt att hantera tekniska miljöer för utveckling, distribution och drift av applikationer. Men hur är det med säkerheten för containerlösningar?
Ur ett tekniskt perspektiv är det ingen större skillnad på säkerhet för containermiljöer och andra miljöer, så väl virtualiserade som andra. Det är i stort sett samma processer och kontroller som behövs, och samma typer av verktyg behöver tas i bruk.
Läs också: Docker blir mer företagsvänligt
Problemet är att containerteknik innebär nya arkitekturer för alla inblandade, från utvecklarorganisationer som använder tekniken, till säkerhetsansvariga och leverantörer av säkerhetsverktyg. Man hinner helt enkelt inte med att implementera de processer, kontroller och verktyg som krävs för att garantera en rimlig säkerhetsnivå, i de nya arkitekturer som blir följden av containerteknikens intåg.
Vilka är då de nya utmaningar som finns?
– Ett problem är att man får använda andra lösningar för rättigheter, till exempel på Amazons molnplattform, säger Anders Janmyr, programmerare på konsultföretaget Jayway.
Ett exempel är att man kör flera Dockercontainrar på en virtuell server. Då finns det i dagsläget inget smidigt sätt att hantera olika rättigheter för olika containrar. En lösning på det problemet är att baka in hantering av rättigheter i applikationerna, men det tillför komplexitet vilket är dåligt vad gäller säkerhet. En annan lösning är att begränsa sig till en typ av containrar för varje virtuell server, men det begränsar flexibiliteten.
Ett annat problem är att Docker kräver rootåtkomst, alltså en bred åtkomst, till den server som en container körs på. Det behöver inte vara något större problem enligt Daniel Marell som är arkitekt på CAG Group, men kan vara det i vissa fall.
– Man får räkna med att olika processer som körs inte är isolerade från varandra, vilket kan medföra problem. Ett annat problem är att många kopierar standarkonfigurationer för containrar, utan att kontrollera att de är uppdaterade vad gäller patchar, säger Daniel Marell.
Han påpekar också att många containrar hämtas från publika sajter, främst Docker Hub, vilket kan vara en säkerhetsrisk. Mike Pittenger som är ansvarig för produktstrategi på det amerikanska säkerhetsföretaget Black Duck Software påtalar att det finns exempel containrar på Docker Hub med kända sårbarheter.
Läs också: Cygate först ut med Ericssons moln
Ett allmänt säkerhetsproblem är att flera lager i arkitekturer, varav en del är nya, medför risker för nya typer av exponeringar. I Dockerfallet handlar det ofta om att containrar paketeras tillsammans med virtuella maskiner.
– Även om inte containrar ändras så upptäcks nya sårbarheter. Vi arbetar med att matcha nya sårbarheter mot existerande containrar, säger Bill Ledingham, teknikchef på Black Duck Software som erbjuder tjänster för att skanna företags it-miljöer ur säkerhetssynpunkt.
Kim Johansson som är systemarkitekt på säkerhetsföretaget Detectify nämner ett problem med konfigurationer för Docker:
– Det rekommenderade sättet att konfigurera är att använda miljövariabler. Det kan innebära att allt som skickas exponeras på den virtuella maskin det skickas till, till exempel lösenord, säger Kim Johansson.
Han nämner dock att det finns fördelar med Docker ur säkerhetssynpunkt, eftersom containertekniken kan bidra till minskade attackytor för intrång.
Även Peter Svensson som är utvecklingschef på Evothings nämner fördelar med Docker vad gäller säkerhet.
– Docker exponerar inte portar och dessutom finns det verktyg som ger överblick över Dockerlösningar vilket gör dem enkla att förstå. Det är bra ur säkerhetssynpunkt, säger Peter Svensson.
