Каковы риски с автономным реестром и собственными сертификатами в докере? - PullRequest
Новая
       6

Каковы риски с автономным реестром и собственными сертификатами в докере?

0 голосов
/ 13 сентября 2018

Настройка:

У меня есть собственный реестр и я использую свой собственный сертификат. Я не могу войти в систему, за исключением случаев, когда я установил небезопасный реестр.

Теперь все работает, но, как говорится, это небезопасно.

каковы риски такой установки?

Ответы [ 2 ]

0 голосов
/ 18 сентября 2018

Небезопасный реестр может быть заменен человеком посередине, угнанным с повреждением DNS, шпионящим за сбором паролей и любым количеством других атак, защищенных настроенным соединением TLS / SSL. Вредоносный сервер реестра может привести к запуску кода от имени пользователя root на вашем хосте. Так что в целом это рекомендуется против. Единственный незащищенный реестр по умолчанию - localhost, поскольку, если он захвачен, хост уже взломан.

Вместо того, чтобы переключаться на небезопасный реестр, попробуйте сделать так, чтобы самоподписанный ЦС пользовался доверием либо самого докера, либо, в худшем случае, всего хоста. В большинстве документов описано, как сделать это с /etc/docker/certs.d/host:port/ca.crt. Существует старая проблема, описывающая это для Windows, так как путь отличается и двоеточие не допускается в имени каталога. Похоже, что вывод C:\ProgramData\docker\certs.d\myregistrydomain.com5000\ca.crt или, возможно, C:\Users\<user>\.docker\certs.d\myregistrydomain.com5000\ca.crt, который также может варьироваться в зависимости от различных методов установки в Windows. Вы можете просмотреть эту проблему и связанные документы здесь:

https://github.com/moby/moby/issues/21189 https://docs.docker.com/docker-for-windows/faqs/#certificates https://docs.docker.com/engine/security/certificates/

0 голосов
/ 18 сентября 2018

Вы должны дать указание каждому демону docker доверять вашему сертификату, но, тем не менее, появится сообщение о безопасности.

По сути, это просто дискуссия об использовании самоподписанных сертификатов против сертификатов, подписанных CA. С точки зрения безопасности, они оба работают одинаково. Так что для целей тестирования этого вполне достаточно.

Минусы использования самозаверяющих сертификатов:

  • Этим сертификатам не доверяют другие приложения / операционные системы. Это может привести к ошибкам аутентификации и т. Д.

  • Срок действия самоподписанных сертификатов обычно составляет 1 год (лет). Эти сертификаты необходимо обновлять / заменять каждый год, что поддерживать.

  • Самозаверяющие сертификаты могут использовать технологии с низким уровнем хэширования и шифрования. В связи с этим, уровень безопасности, который реализует самоподписанный сертификаты могут не соответствовать текущей Политике безопасности и т. д.

  • Нет поддержки расширенных функций PKI (инфраструктуры открытого ключа) (например, онлайн-проверка списка отзыва и т. Д.).

  • Большинство продвинутых перьев серверных приложений требуется для защиты PKI (инфраструктуры открытых ключей). Этим, Преимущества самозаверяющих сертификатов не могут быть использованы

Минусы взяты из: https://www.sslsupportdesk.com/what-are-self-signed-certificates-and-disadvantages/

...