Docker_tls加密通讯

曾经终败给现在 2021-07-26 11:38 362阅读 0赞

### TLS ###

*  一.TLS
 *   *   *  1.docker容器与虚拟机区别
         *   *  1）隔离与共享
             *  2）性能与损耗
         *  2.docker存在的安全问题
         *   *   *  1）Docker自身漏洞
                 *  2）docker源码问题
         *  3.docker架构缺陷与安全机制
         *   *   *  1）容器之间的局域网攻击
                 *  2）DDos攻击耗尽资源
                 *  3）有漏洞的系统调用
                 *  4）共享root用户权限
     *  二.docker安全基线标准
     *   *   *  1.内核级别
             *  2.主机级别
             *  3.网络级别
             *  4.镜像级别
             *  5.容器级别
             *  6.其他设置
         *  三.docker-TLS加密通信
         *   *  1.加密通信流程
             *  2.密钥
             *  3.签名
             *  4.hash值
             *  5.证书
             *  6.通讯加密
             *   *  1）生成ca密钥
                 *  2)生成ca证书
                 *  3）生成服务器私钥
                 *  4）生成服务器证书
                 *  5）生成客户端密钥
                 *  6）生成客户端证书
                 *  7）删除多余文件
                 *   *  8） 配置docker，指定tls证书的路径、开放的端口、通信的进程等
                     *  9）将 /tls/ca.pem /tls/cert.pem /tls/key.pem 三个文件复制到另一台主机
                 *  10）本地验证

# 一.TLS #

### 1.docker容器与虚拟机区别 ###

#### 1）隔离与共享 ####

*  docker 底层的技术–cgroup namespaces Hypervisor
 *  docker 底层 aufs(堆叠的文件系统) bootfs rootfs lxc base image GFS

VM实现的是操作系统的之前/级别的隔离  
共享的是一套物理资源(宿主机内核驱动提供的 kvm qemu）

docker容器通过隔离的方式，将文件系统、进程、设备、网络等资源进行隔离

*  让容器之间互不影响，容器与宿主机共享内核、文件系统、硬件等资源

#### 2）性能与损耗 ####

与虚拟机相比，容器资源损耗要少(90%),同样的宿主机下，能够建立容器的数量要比虚拟机多，但是虚拟机的安全性要比容器稍好

### 2.docker存在的安全问题 ###

##### 1）Docker自身漏洞 #####

*  k8s------生产环境----1.15 1.20+run time --k8s之后会使用自身的一套运行时技术
 *  攻击的方式：代码执行(cron）、权限提升、信息泄露、权限绕过

##### 2）docker源码问题 #####

docker提供了 docker hub 可让用户上传创建的镜像

1.黑客上传恶意镜像

2.镜像使用有漏洞的软件，docker hub 上能下载的镜像里面75%都装了漏洞软件  
需要检查里面软件版本信息

3.中间人攻击篡改镜像 镜像在传输过程中可能被篡改

### 3.docker架构缺陷与安全机制 ###

docker本身架构与机制可能产生问题

##### 1）容器之间的局域网攻击 #####

主机上容器之间可构成局域网，ARP欺骗，嗅探。广播风暴等攻击

##### 2）DDos攻击耗尽资源 #####

cgroups安全机制就是要防止此类攻击的，不要为单一的容器分配过多的资源即可避免此类问题

##### 3）有漏洞的系统调用 #####

docker与虚拟机的一个重要的区别就是要防止此类攻击，不要为单一的容器分配过多的资源即可避免此类的问题

VM:KVM集成在内核，逻辑分割物理资源/抽象化物理资源，拦截一些敏感指定  
(I/O），转给Qemu进行处理  
操作系统隔离，安全性更高

##### 4）共享root用户权限 #####

如果root用户权限运行容器，容器内的root用户也就有了宿主机的root权限

## 二.docker安全基线标准 ##

下面从内核、主机、网络、镜像、容器等总结

#### 1.内核级别 ####

1.及时更新内核

2.user NameSpace(容器内的root权限在容器之外处于非高权限状态)

3.cgroups(对资源和配额和度量)DDos

4.capability(权限划分)

5.seccomp(限定系统调用)

6.禁止将容器的命名空间与宿主机进程命名空间共享

#### 2.主机级别 ####

1.为容器传镜独立分区

2.仅运行必要的服务-----docker容器  
在linux优化方向------top—正在运行的服务/尤其一些占用资源大的一些服务  
\----crontab----关闭、停止一些不必要的周期任务(at）、周期性（进行适量的拉长)

3.禁止将宿主机上敏感目录映射到容器 （mysql数据、核心日志)

4.对docker守护进程、相关文件和目录进行审计

5.设置适当的默认文件描述字符

6.用户权限为root的docker相关文件的访问权限应该为644或者更低权限

7.周期性检查每个主机的容器清单，并清理不必要的容器

#### 3.网络级别 ####

1.通过iptables 设定规则实现禁止或允许容器之间网络流量(docker 0）

2.允许docker 绑定iptables

3.禁止docker绑定到其他 ip/port 或者 unix socket

4.禁止在容器上映射特权端口

5.容器上只开放所需的端口

6.禁止在容器上使用主机的网络模式

7.若宿主机有多个网卡，将容器进入流量绑定到特定的主机网卡上

#### 4.镜像级别 ####

1.创建本地镜像仓库服务器 harbor

2.镜像中软件都为最新版本

3.使用可信镜像文件，并通过安全通道下载

4.重新构建镜像而非对容器和镜像进行打标签

5.合理管理镜像标签，及时移除不再使用的镜像

6.使用镜像扫描

7.使用镜像签名

#### 5.容器级别 ####

1.容器最小化，操作系统镜像最小集

2.容器以单一主进程的方式运行

3.禁止privileged标记使用特权容器

4禁止在容器上运行ssh服务

5.以只读的方式挂载容器的根目录系统

6.明确定义属于容器的数据盘符

7.通过设置on-failure限制容器尝试重启次数，容器反复重启容易丢失数据

#### 6.其他设置 ####

1.定期对宿主机系统及容器进行安全审计

2.使用最少资源和最低权限运行容器

3.避免在同一宿主机上部署大量容器，维持在一个能够管理的数量

4.监控docker容器的使用，性能以及其他各项指标

5.增加实时威胁监测和事件响应功能

6.使用中心和远程日志收集服务

### 三.docker-TLS加密通信 ###

#### 1.加密通信流程 ####

先对明文—>对称加密—>形成密文和对称秘钥

然后将对称秘钥+签名—>非对称加密（私钥加密）—>形成加密的秘钥

使用hash算法算出hash值

最后将密文、加密的秘钥、hash值传给对方

对方收到这三样数据

对加密的秘钥—>非对称解密（公钥解密）—>解密出对称秘  
钥和签名（签名用于身份认证）

使用对称秘钥—>对称解密—>解密出明文  
对明文使用hash算法，对比传来的hash值

一样说明没有被改动，读取数据；反之被改的，弃掉数据

#### 2.密钥 ####

对称密钥（AES、DES、3DES） 相对于家里的锁和对应的钥匙
        效率高，但不安全
    非对称密钥（rsa，公钥-私钥）相当于古代的虎符，不能从私钥推导出公钥
        效率不高（需要加密，转换慢）

#### 3.签名 ####

签名就是身份信息
    比如：使用支付宝转账时，谁转给了商家，转账的谁就是签名

#### 4.hash值 ####

Hash算法是一个广义的算法，在这里做数字签名来保障数据传递的安全性，如何确保数据的安全性，通过hash值对比确定数据完整性和安全性。

#### 5.证书 ####

证书格式：x509（国际标准），需要机构CA颁发
    CA：电子认证服务，证书颁发机构，是受信任的第三方，承担公钥体系中的公钥的合法性建议的责任。
    
     首先CA先颁发ca证书，然后用证书和相关信息找CA颁发server证书、client证书，cilent证书要推送给client

#### 6.通讯加密 ####

<table> 
 <thead> 
  <tr> 
   <th>主机名</th> 
   <th>操作系统</th> 
   <th>IP地址</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>server</td> 
   <td>centos7</td> 
   <td>192.168.133.10</td> 
  </tr> 
  <tr> 
   <td>client</td> 
   <td>centos7</td> 
   <td>192.168.133.20</td> 
  </tr> 
 </tbody> 
</table>

为了防止链路劫持、会话劫持等问题导致 Docker 通信时被中间人攻击，c/s 两端应该通过加密方式通讯。

server:192.168.133.10

*  环境准备

hostnamectl set-hostname server
    su
    
    mkdir /tls
    cd /tls
    
    vim /etc/hosts
    127.0.0.1   server

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70]

##### 1）生成ca密钥 #####

//创建ca密钥
    openssl genrsa -aes256 -out ca-key.pem 4096
    
    相关参数:
    genrsa     使用RSA算法产生私钥
    -aes256    使用256位密钥的AES算法对私钥进行加密
    -out       输出文件的路径
    4096       秘钥的长度

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 1]

##### 2)生成ca证书 #####

//创建ca证书；
    openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem
    
    相关参数:
    req     请求证书
    -new    新证书签发请求
    -x509   生成x509格式证书
    -days   证书有效期1000天
    -key    指定私钥路径
    -subj   subject的缩写,可以认为是主题、项目等

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 2]

##### 3）生成服务器私钥 #####

openssl genrsa -out server-key.pem 4096

![在这里插入图片描述][20210607200043809.png]

##### 4）生成服务器证书 #####

//生成服务器签名文件，用于生成服务器证书
    openssl req -subj "/CN=*" -sha256 -new -key server-key.pem -out server.csr
    //使用ca证书与私钥证书签名，输入abc123；
    openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem
    
    相关参数:
    -in   指定输入的证书、秘钥等文件
    -CAcreateserial  表示创建证书序列号文件（默认为ca.srl）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 3]

##### 5）生成客户端密钥 #####

openssl genrsa -out key.pem 4096

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 4]

##### 6）生成客户端证书 #####

//签名客户端
    openssl req -subj "/CN=client" -new -key key.pem -out client.csr
    //创建配置文件；认证方式使用客户端认证
    echo extendedKeyUsage=clientAuth > extfile.cnf
    //签名证书，输入abc123，需要（签名客户端，ca证书，ca密钥）
    openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf
    
    相关参数:
    -extfile   添加扩展文件

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 5]

##### 7）删除多余文件 #####

rm -rf ca.srl client.csr extfile.cnf server.csr

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 6]

###### 8） 配置docker，指定tls证书的路径、开放的端口、通信的进程等 ######

vim /lib/systemd/system/docker.service
    ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/tls/ca.pem --tlscert=/tls/server-cert.pem --tlskey=/tls/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock
    
    systemctl daemon-reload
    systemctl restart docker

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 7]

![在这里插入图片描述][20210608141721378.png]

###### 9）将 /tls/ca.pem /tls/cert.pem /tls/key.pem 三个文件复制到另一台主机 ######

scp ca.pem root@192.168.133.20:/etc/docker/
    scp cert.pem root@192.168.133.20:/etc/docker/
    scp key.pem root@192.168.133.20:/etc/docker/

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 8]

##### 10）本地验证 #####

docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://server:2376 images
    docker pull nginx

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 9]

client:192.168.133.20

hostnamectl set-hostname client
    su
    
    echo '192.168.133.10 server' >> /etc/hosts
    或
    vim /etc/hosts
    192.168.133.10 server
    
    cd /etc/docker
    docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://server:2376 images

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 10]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70]: /images/20210726/8332611daf8e4d58960c0c3106d11934.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 1]: /images/20210726/7ddd4b76b340497c8c72025582e1d218.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 2]: /images/20210726/36deced6dccc48ae83bdfc8065fde8ca.png
[20210607200043809.png]: /images/20210726/d0b12a2405924f9fb444b116ac135a11.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 3]: /images/20210726/9f8e2100cc084f3183b19d639c69e5b4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 4]: /images/20210726/cd28bfcf058e44cf9d69980a1d3efe64.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 5]: /images/20210726/5df5073376d544fbb09024881061d8ff.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 6]: /images/20210726/9b67ffdc29d444509653bafe3b3853ed.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 7]: /images/20210726/e0a382da08b14a3292a8a2c99f672a92.png
[20210608141721378.png]: /images/20210726/9b1195f532bc4f82987604884318671b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 8]: /images/20210726/9ec5ac4d702e4c3db3011c9c96f60a9a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 9]: /images/20210726/8291c1e8b1e34bff9e95e8f6f1b3ec35.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 10]: /images/20210726/09e9ab2d3646480ca4c3afc5a2730097.png