Για χρόνια, το «τρέχω containers» σήμαινε ένα δαίμονα (daemon) που τρέχει ως root, με ένα socket που όποιος το αγγίξει αποκτά ουσιαστικά root στο μηχάνημα. Το Podman ανατρέπει αυτό το μοντέλο: χωρίς δαίμονα, με containers που τρέχουν ως απλός χρήστης, και με ενσωμάτωση στο systemd μέσω των Quadlet.
Ας δούμε γιατί αυτό είναι ουσιαστική βελτίωση ασφάλειας, και πώς στήνεται μια πραγματική υπηρεσία.
Το πρόβλημα του daemon
Στο κλασικό μοντέλο, ένας κεντρικός δαίμονας ως root εκτελεί όλα τα containers. Δύο συνέπειες: όποιος έχει πρόσβαση στο socket του δαίμονα μπορεί να ξεκινήσει ένα container που κάνει mount ολόκληρο το host filesystem και να αποδράσει σε root· και μια ευπάθεια στον ίδιο τον δαίμονα είναι ευπάθεια με δικαιώματα root. Είναι ένα single point of failure με τα υψηλότερα δυνατά προνόμια.
0 σχόλια
iGuRu.gr