Docker 的认证发布者计划如何帮助您提高安全性

Docker 使启动容器变得轻而易举。但是你怎么知道从 Docker Hub 中提取的容器是否包含后门或恶意软件？ Docker 的 Verified Publisher 计划解决了这个问题。

人气让你成为目标

网络罪犯只喜欢通往受害者机器的简单路径，不用说，越多越好。如果产品或平台变得非常流行，您可以打赌它会引起威胁行为者的注意，他们会试图利用这种成功来获得优势。

Docker 是容器化领域的世界领导者。对于许多人来说，提到容器时第一个想到的就是它。容器允许开发人员将应用程序及其依赖项包装在一个称为图像的独立包中。这使得分发包更容易，因为运行应用程序所需的一切都包含在图像中。无论容器在什么机器上运行，都不会存在未满足的依赖关系。

容器可以被认为是极简主义的虚拟机。如果他们提供应用程序，则他们不需要容器内的操作系统。他们只需要应用程序的依赖项。这减少了图像的大小，并在容器运行时提高了性能。容器的内容在主机的操作系统上运行，与其他进程隔离。

因为与虚拟机相比，容器内需要资源和计算能力的东西更少，所以它们可以在更适中的硬件上运行。这意味着与在传统虚拟机上相比，您可以在单个硬件上运行更多的虚拟机，并且具有良好的性能。即使是为提供不同 Linux 发行版而构建的容器也只是发行版的文件系统快照。它们使用主机的内核运行。

容器内的许多技术和应用程序都是开源的。这意味着它们可以被任何人自由分发和使用。 Docker 容器允许您采用这样的格言，即服务器应该像牛一样对待，而不是宠物。容器的好处不仅推动了持续集成和持续部署 (CI/CD) 的广泛采用，而且还使之成为可能。

Mirantis 于 2019 年 11 月收购了 Docker。当时，30% 的财富 100 强企业和 20% 的全球 500 强企业都在使用 Docker Enterprise。如今，Docker Hub 每年提供令人惊叹的 130 亿次图像拉取（容器下载）月来自近 800 万个存储库。

这些数字令人印象深刻，网络犯罪分子不容忽视。有什么比创建受损和恶意图像、将它们上传到 Docker Hub 并等待毫无戒心的用户下载和使用它们更简单的呢？

不安全图像的问题

从存储库中提取图像并使用它们存在一个固有的问题。您不知道它们在创建时是否考虑了安全性，或者容器内的软件组件是否是当前版本并且仍在其受支持的生命周期内。他们是否已应用所有可用的错误修复和安全补丁？或者更糟的是，它们是否包含威胁行为者故意植入的恶意代码？

Docker 面临着与苹果和谷歌类似的问题。 Apple 和 Google 必须努力监管 App Store 和 Google Play 中的恶意应用程序。 Docker 采取的方法略有不同。 Docker 删除被发现是恶意的容器镜像。它还为容器发布者提供验证方案。

过去，Docker 删除了由 Docker 帐户 docker123321 上传的一组图像。这个帐户中有 17 个左右的容器包含恶意代码。这些图像是作为支持 Apache Tomcat 和 MySQL 等应用程序的无辜容器提供的，但除此之外，这些容器还包含向攻击者提供反向 SSH shell 的代码，允许他们在适当的时候访问容器。

发现了 Python 反向 shell 和 Bash 反向 shell，一个容器甚至包含威胁参与者的 SSH 密钥。这使他们无需密码即可进行远程访问。其他容器被发现托管加密软件。这意味着容器提前被加密劫持了。毫无戒心的用户将支付电费并失去处理能力，以资助网络犯罪分子的 Monero 加密货币挖矿。

这些攻击混合了特洛伊木马和供应链攻击。

认证出版商计划

Docker 已经提供了一组称为官方镜像的容器镜像。这些图像是一组经过专门 Docker 团队审查的精选容器。

该团队与容器中软件的上游维护者和提供者协作。官方图像是 Docker 容器最佳实践的示例，包括清晰的文档和安全补丁的应用。 Docker 官方图像最近通过更多存储库提供给更广泛的受众。

Verified Publisher 计划提供对 Docker 内容的访问权限，这些内容因来自已知、经过验证和可信的提供商而与众不同。目前已有超过200家软件供应商加入并批准了该计划，并且这个数字还在快速增长。来自经过验证的发布者的图像可以高度自信地用于任务关键型应用程序和基础设施。

Verified Publisher 和 Official Images 计划是互补计划。 Verified Publishers 提供的许多容器镜像也将是官方镜像。 Docker Hub Explore 页面上的一对复选框可让您指定搜索结果仅限于包含官方图像、已验证发布者提供的图像或两者。

欢迎倡议

SolarWinds 和 CodeCov 攻击表明了供应链攻击的有效性。攻击一个中心点，然后损害产品和服务的下游消费者是一种有效的分发方法。受损的容器是分发此类攻击的完美方式。它基于这样一种信念，即某些信息和软件来源本质上是安全的并且可以信任。一般来说，情况就是这样。但正如我们所见，这是一个很大的假设。

组织必须清楚他们从存储库中提取的容器的来源和完整性，这一点至关重要。可以将官方图片和已验证发布者视为一种认证形式，可以更轻松地了解开箱即用的内容。

如果您制作公开可用的 Docker 映像，并且您认为成为经过验证的发布者对您有利，您可以在经过验证的发布者网页上开始申请加入该计划的过程。