Docker_tls加密通讯 曾经终败给现在 2021-07-26 11:38 365阅读 0赞 ### TLS ### * 一.TLS * * * 1.docker容器与虚拟机区别 * * 1）隔离与共享 * 2）性能与损耗 * 2.docker存在的安全问题 * * * 1）Docker自身漏洞 * 2）docker源码问题 * 3.docker架构缺陷与安全机制 * * * 1）容器之间的局域网攻击 * 2）DDos攻击耗尽资源 * 3）有漏洞的系统调用 * 4）共享root用户权限 * 二.docker安全基线标准 * * * 1.内核级别 * 2.主机级别 * 3.网络级别 * 4.镜像级别 * 5.容器级别 * 6.其他设置 * 三.docker-TLS加密通信 * * 1.加密通信流程 * 2.密钥 * 3.签名 * 4.hash值 * 5.证书 * 6.通讯加密 * * 1）生成ca密钥 * 2)生成ca证书 * 3）生成服务器私钥 * 4）生成服务器证书 * 5）生成客户端密钥 * 6）生成客户端证书 * 7）删除多余文件 * * 8） 配置docker，指定tls证书的路径、开放的端口、通信的进程等 * 9）将 /tls/ca.pem /tls/cert.pem /tls/key.pem 三个文件复制到另一台主机 * 10）本地验证 # 一.TLS # ### 1.docker容器与虚拟机区别 ### #### 1）隔离与共享 #### * docker 底层的技术–cgroup namespaces Hypervisor * docker 底层 aufs(堆叠的文件系统) bootfs rootfs lxc base image GFS VM实现的是操作系统的之前/级别的隔离 共享的是一套物理资源(宿主机内核驱动提供的 kvm qemu） docker容器通过隔离的方式，将文件系统、进程、设备、网络等资源进行隔离 * 让容器之间互不影响，容器与宿主机共享内核、文件系统、硬件等资源 #### 2）性能与损耗 #### 与虚拟机相比，容器资源损耗要少(90%),同样的宿主机下，能够建立容器的数量要比虚拟机多，但是虚拟机的安全性要比容器稍好 ### 2.docker存在的安全问题 ### ##### 1）Docker自身漏洞 ##### * k8s------生产环境----1.15 1.20+run time --k8s之后会使用自身的一套运行时技术 * 攻击的方式：代码执行(cron）、权限提升、信息泄露、权限绕过 ##### 2）docker源码问题 ##### docker提供了 docker hub 可让用户上传创建的镜像 1.黑客上传恶意镜像 2.镜像使用有漏洞的软件，docker hub 上能下载的镜像里面75%都装了漏洞软件 需要检查里面软件版本信息 3.中间人攻击篡改镜像 镜像在传输过程中可能被篡改 ### 3.docker架构缺陷与安全机制 ### docker本身架构与机制可能产生问题 ##### 1）容器之间的局域网攻击 ##### 主机上容器之间可构成局域网，ARP欺骗，嗅探。广播风暴等攻击 ##### 2）DDos攻击耗尽资源 ##### cgroups安全机制就是要防止此类攻击的，不要为单一的容器分配过多的资源即可避免此类问题 ##### 3）有漏洞的系统调用 ##### docker与虚拟机的一个重要的区别就是要防止此类攻击，不要为单一的容器分配过多的资源即可避免此类的问题 VM:KVM集成在内核，逻辑分割物理资源/抽象化物理资源，拦截一些敏感指定 (I/O），转给Qemu进行处理 操作系统隔离，安全性更高 ##### 4）共享root用户权限 ##### 如果root用户权限运行容器，容器内的root用户也就有了宿主机的root权限 ## 二.docker安全基线标准 ## 下面从内核、主机、网络、镜像、容器等总结 #### 1.内核级别 #### 1.及时更新内核 2.user NameSpace(容器内的root权限在容器之外处于非高权限状态) 3.cgroups(对资源和配额和度量)DDos 4.capability(权限划分) 5.seccomp(限定系统调用) 6.禁止将容器的命名空间与宿主机进程命名空间共享 #### 2.主机级别 #### 1.为容器传镜独立分区 2.仅运行必要的服务-----docker容器 在linux优化方向------top—正在运行的服务/尤其一些占用资源大的一些服务 \----crontab----关闭、停止一些不必要的周期任务(at）、周期性（进行适量的拉长) 3.禁止将宿主机上敏感目录映射到容器 （mysql数据、核心日志) 4.对docker守护进程、相关文件和目录进行审计 5.设置适当的默认文件描述字符 6.用户权限为root的docker相关文件的访问权限应该为644或者更低权限 7.周期性检查每个主机的容器清单，并清理不必要的容器 #### 3.网络级别 #### 1.通过iptables 设定规则实现禁止或允许容器之间网络流量(docker 0） 2.允许docker 绑定iptables 3.禁止docker绑定到其他 ip/port 或者 unix socket 4.禁止在容器上映射特权端口 5.容器上只开放所需的端口 6.禁止在容器上使用主机的网络模式 7.若宿主机有多个网卡，将容器进入流量绑定到特定的主机网卡上 #### 4.镜像级别 #### 1.创建本地镜像仓库服务器 harbor 2.镜像中软件都为最新版本 3.使用可信镜像文件，并通过安全通道下载 4.重新构建镜像而非对容器和镜像进行打标签 5.合理管理镜像标签，及时移除不再使用的镜像 6.使用镜像扫描 7.使用镜像签名 #### 5.容器级别 #### 1.容器最小化，操作系统镜像最小集 2.容器以单一主进程的方式运行 3.禁止privileged标记使用特权容器 4禁止在容器上运行ssh服务 5.以只读的方式挂载容器的根目录系统 6.明确定义属于容器的数据盘符 7.通过设置on-failure限制容器尝试重启次数，容器反复重启容易丢失数据 #### 6.其他设置 #### 1.定期对宿主机系统及容器进行安全审计 2.使用最少资源和最低权限运行容器 3.避免在同一宿主机上部署大量容器，维持在一个能够管理的数量 4.监控docker容器的使用，性能以及其他各项指标 5.增加实时威胁监测和事件响应功能 6.使用中心和远程日志收集服务 ### 三.docker-TLS加密通信 ### #### 1.加密通信流程 #### 先对明文—>对称加密—>形成密文和对称秘钥 然后将对称秘钥+签名—>非对称加密（私钥加密）—>形成加密的秘钥 使用hash算法算出hash值 最后将密文、加密的秘钥、hash值传给对方 对方收到这三样数据 对加密的秘钥—>非对称解密（公钥解密）—>解密出对称秘 钥和签名（签名用于身份认证） 使用对称秘钥—>对称解密—>解密出明文 对明文使用hash算法，对比传来的hash值 一样说明没有被改动，读取数据；反之被改的，弃掉数据 #### 2.密钥 #### 对称密钥（AES、DES、3DES） 相对于家里的锁和对应的钥匙 效率高，但不安全 非对称密钥（rsa，公钥-私钥）相当于古代的虎符，不能从私钥推导出公钥 效率不高（需要加密，转换慢） #### 3.签名 #### 签名就是身份信息 比如：使用支付宝转账时，谁转给了商家，转账的谁就是签名 #### 4.hash值 #### Hash算法是一个广义的算法，在这里做数字签名来保障数据传递的安全性，如何确保数据的安全性，通过hash值对比确定数据完整性和安全性。 #### 5.证书 #### 证书格式：x509（国际标准），需要机构CA颁发 CA：电子认证服务，证书颁发机构，是受信任的第三方，承担公钥体系中的公钥的合法性建议的责任。 首先CA先颁发ca证书，然后用证书和相关信息找CA颁发server证书、client证书，cilent证书要推送给client #### 6.通讯加密 #### <table> <thead> <tr> <th>主机名</th> <th>操作系统</th> <th>IP地址</th> </tr> </thead> <tbody> <tr> <td>server</td> <td>centos7</td> <td>192.168.133.10</td> </tr> <tr> <td>client</td> <td>centos7</td> <td>192.168.133.20</td> </tr> </tbody> </table> 为了防止链路劫持、会话劫持等问题导致 Docker 通信时被中间人攻击，c/s 两端应该通过加密方式通讯。 server:192.168.133.10 * 环境准备 hostnamectl set-hostname server su mkdir /tls cd /tls vim /etc/hosts 127.0.0.1 server ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70] ##### 1）生成ca密钥 ##### //创建ca密钥 openssl genrsa -aes256 -out ca-key.pem 4096 相关参数: genrsa 使用RSA算法产生私钥 -aes256 使用256位密钥的AES算法对私钥进行加密 -out 输出文件的路径 4096 秘钥的长度 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 1] ##### 2)生成ca证书 ##### //创建ca证书； openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem 相关参数: req 请求证书 -new 新证书签发请求 -x509 生成x509格式证书 -days 证书有效期1000天 -key 指定私钥路径 -subj subject的缩写,可以认为是主题、项目等 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 2] ##### 3）生成服务器私钥 ##### openssl genrsa -out server-key.pem 4096 ![在这里插入图片描述][20210607200043809.png] ##### 4）生成服务器证书 ##### //生成服务器签名文件，用于生成服务器证书 openssl req -subj "/CN=*" -sha256 -new -key server-key.pem -out server.csr //使用ca证书与私钥证书签名，输入abc123； openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem 相关参数: -in 指定输入的证书、秘钥等文件 -CAcreateserial 表示创建证书序列号文件（默认为ca.srl） ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 3] ##### 5）生成客户端密钥 ##### openssl genrsa -out key.pem 4096 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 4] ##### 6）生成客户端证书 ##### //签名客户端 openssl req -subj "/CN=client" -new -key key.pem -out client.csr //创建配置文件；认证方式使用客户端认证 echo extendedKeyUsage=clientAuth > extfile.cnf //签名证书，输入abc123，需要（签名客户端，ca证书，ca密钥） openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf 相关参数: -extfile 添加扩展文件 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 5] ##### 7）删除多余文件 ##### rm -rf ca.srl client.csr extfile.cnf server.csr ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 6] ###### 8） 配置docker，指定tls证书的路径、开放的端口、通信的进程等 ###### vim /lib/systemd/system/docker.service ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/tls/ca.pem --tlscert=/tls/server-cert.pem --tlskey=/tls/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock systemctl daemon-reload systemctl restart docker ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 7] ![在这里插入图片描述][20210608141721378.png] ###### 9）将 /tls/ca.pem /tls/cert.pem /tls/key.pem 三个文件复制到另一台主机 ###### scp ca.pem root@192.168.133.20:/etc/docker/ scp cert.pem root@192.168.133.20:/etc/docker/ scp key.pem root@192.168.133.20:/etc/docker/ ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 8] ##### 10）本地验证 ##### docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://server:2376 images docker pull nginx ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 9] client:192.168.133.20 hostnamectl set-hostname client su echo '192.168.133.10 server' >> /etc/hosts 或 vim /etc/hosts 192.168.133.10 server cd /etc/docker docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://server:2376 images ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 10] [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70]: /images/20210726/8332611daf8e4d58960c0c3106d11934.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 1]: /images/20210726/7ddd4b76b340497c8c72025582e1d218.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 2]: /images/20210726/36deced6dccc48ae83bdfc8065fde8ca.png [20210607200043809.png]: /images/20210726/d0b12a2405924f9fb444b116ac135a11.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 3]: /images/20210726/9f8e2100cc084f3183b19d639c69e5b4.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 4]: /images/20210726/cd28bfcf058e44cf9d69980a1d3efe64.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 5]: /images/20210726/5df5073376d544fbb09024881061d8ff.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 6]: /images/20210726/9b67ffdc29d444509653bafe3b3853ed.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 7]: /images/20210726/e0a382da08b14a3292a8a2c99f672a92.png [20210608141721378.png]: /images/20210726/9b1195f532bc4f82987604884318671b.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 8]: /images/20210726/9ec5ac4d702e4c3db3011c9c96f60a9a.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 9]: /images/20210726/8291c1e8b1e34bff9e95e8f6f1b3ec35.png [watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70 10]: /images/20210726/09e9ab2d3646480ca4c3afc5a2730097.png
还没有评论，来说两句吧...