Container: Kubernetes-Audit hält System für zu kompliziert

Ein Sicherheits-Audit der Container-Orchestrierung Kubernetes hat wie zu erwarten einige Lücken gefunden. Darüber hinaus bekommt die Software kein besonders gutes Zeugnis der Prüfer.

Artikel veröffentlicht am ,
Das Audit von Kubernetes ist verfügbar.
Das Audit von Kubernetes ist verfügbar. (Bild: David Spender, flickr.com/CC-BY 2.0)

In der IT-Industrie ist es inzwischen üblich, die Sicherheit großer Softwareprojekte durch externe Prüfer untersuchen zu lassen. Die Cloud Native Computing Foundation (CNCF) hat nun die Ergebnisse solch eines Audits für die Container-Orchestrierung Kubernetes veröffentlicht. Die Prüfer haben nicht nur einige Sicherheitslücken gefunden, sondern bemängeln auch deutlich den Aufbau des Projekts und dessen Codequalität.

Stellenmarkt
  1. IT Projektmanager (m/w/d)
    Fresenius Medical Care, Bad Homburg
  2. UX Designer Concept & UX Strategy (m/w/d)
    UDG Ludwigsburg GmbH, Mainz
Detailsuche

Das zuständige Team der beteiligten Firmen Trail of Bits und Atredis Partners hat dem Abschlussbericht zufolge insgesamt 37 Sicherheitslücken gefunden, wovon fünf mit einer hohen Gefahr bewertet worden sind. Bei der schieren Größe des Projektes ist diese Anzahl wenig verwunderlich.

Die Prüfer haben sich allerdings bei der Untersuchung auch nur auf acht Kernkomponenten der Software beschränkt und nur jene Probleme der Implementierung betrachtet, die "offensichtlich falsch" seien. Auch habe der Fokus der Untersuchung eher auf "Breite statt Tiefe" gelegen.

Kein guter Code

Interessant an der Auswertung ist vor allem die Einordnung von Kubernetes durch die Prüfer unabhängig von den gefundenen Lücken selbst. So wird Kubernetes als System mit "erheblicher Komplexität" bezeichnet. Ebenso seien die Konfiguration und das Deployment nicht trivial. Das wieder liege an "verwirrenden Standardeinstellungen, fehlenden Steuerungselementen und nur implizit definierten Security-Kontrollelementen".

Golem Akademie
  1. Cloud Computing mit Amazon Web Services (AWS)
    18.-20. Oktober 2021, Online
  2. OpenShift Installation & Administration
    9.-11. August 2021, online
Weitere IT-Trainings

Die Kritik geht aber noch weiter: So habe die riesige Codebasis große Teile mit nur "minimaler Dokumentation" sowie zahlreiche externe Abhängigkeiten. Außerdem gebe es viele Stellen, an denen bestimmte Programmlogik einfach reimplementiert wird. Hier wäre es besser, diese in zentrale Helferbibliotheken auszulagern.

Kubernetes nutzt dem Audit zufolge auch standardmäßig unsicheres TLS, enthüllt Zugangsdaten über Umgebungsvariablen oder Kommandozeilenargumente; sogenannte Secrets, also sicherheitsrelevante Daten, die eigentlich geheim gehalten werden sollten, werden in Logdaten abgelegt. Die Prüfer bemängeln letztlich auch, dass Kubernetes die Linux-Technik Seccomp nicht verwendet.

Die Sicherheitsarbeitsgruppe von Kubernetes hat zusätzlich zu dem Audit selbst weiteres Material der Untersuchung auf Github veröffentlicht. Dazu gehören Analysen zu Angriffsarten und Verteidigungsmöglichkeiten von Kubernetes-Installationen sowie möglicher Bedrohungsszenarien und ein Security-Whitepaper.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Glasfaser
Berliner Senat blamiert sich mit Gigabitstrategie

Der Berliner Senat ist nach Jahren aus dem Dämmerzustand hochgeschreckt und hat nun eine Gigabitstrategie. Warum haben sie nicht einfach geschwiegen?
Ein IMHO von Achim Sawall

Glasfaser: Berliner Senat blamiert sich mit Gigabitstrategie
Artikel
  1. Selbständige: Vodafone mit neuen Tarifen ohne Preissteigerung
    Selbständige
    Vodafone mit neuen Tarifen ohne Preissteigerung

    Vodafone wird seine Preise in neuen Tarifen für Selbständige nach 24 Monaten nicht mehr anheben.

  2. Gorillas-Chef: Entlassungen sind im Interesse der Community
    Gorillas-Chef
    Entlassungen sind "im Interesse der Community"

    Der Chef des Gorillas-Lieferdienstes rechtfertigt die Kündigung eines Arbeiters. Eine Fahrerin mit blauen Flecken am Rücken bewertet das anders.

  3. Coronapandemie: Einige Microsoft-Admins schliefen direkt in Rechenzentren
    Coronapandemie
    Einige Microsoft-Admins schliefen direkt in Rechenzentren

    Um weite Arbeitswege und Verspätungen zu vermeiden, hatten es sich einige Microsoft-Mitarbeiter in den eigenen Rechenzentren bequem gemacht.

hyrsh 09. Aug 2019

Teile des Audits sind wirklich schlecht dargestellt. Man kann die "getesteten...

uschatko 09. Aug 2019

war klar. Schön das es mal jemand sagt, das könnte vielleicht mal ein Gegengewicht zum...

eisbart 08. Aug 2019

Kommt immer drauf an und ist aus der ferne nicht kommentierbar. Ich nehme an es handelt...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Dualsense 59,99€ • Battlefield 2042 PC 53,99€ • XXL Sale bei Alternate • Rainbow Six Extraction Limited PS5 69,99€ • Sony Pulse 3D-Headset PS5 99,99€ • Snakebyte Gaming Seat Evo 149,99€ • Bethesda E3 Promo bei GP [Werbung]
    •  /