Abo
  • Services:
Anzeige
Matthew Garrett hält Container für besser als nichts, an der Sicherheit müsse dennoch weiter gearbeitet werden.
Matthew Garrett hält Container für besser als nichts, an der Sicherheit müsse dennoch weiter gearbeitet werden. (Bild: Daniel Pook/Golem.de)

Matthew Garrett: "Mit Containern ist besser als ohne"

Matthew Garrett hält Container für besser als nichts, an der Sicherheit müsse dennoch weiter gearbeitet werden.
Matthew Garrett hält Container für besser als nichts, an der Sicherheit müsse dennoch weiter gearbeitet werden. (Bild: Daniel Pook/Golem.de)

Schon jetzt sei es aus der Sicherheitsperspektive immer besser, Container einzusetzen, als auf diese zu verzichten, sagt Linux-Entwickler Matthew Garrett. Für eine höhere Sicherheit müsse trotzdem noch viel Arbeit in vorhandene und neue Werkzeuge gesteckt werden.

Anzeige

Sobald zwei oder mehr Prozesse auf einem Server laufen, sei es sinnvoll, diese in einzelnen Containern auszuführen, sagt der bei dem Containerspezialisten CoreOS für die Sicherheit verantwortliche Entwickler Matthew Garrett auf der Linuxcon Europe. Denn die Sicherheit sei "mit Containern immer besser als ohne".

Garrett führt dies auf die von Containern genutzte Technik des Linux-Kernels zurück. So sorgten die Namensräume und Controlgroups (Cgroups) bereits für eine starke Isolation. Pro Container gebe es eine unabhängige Sicht auf das Dateisystem, ebenso gebe es unabhängige Prozessbäume. Angreifer könnten also nicht auf die Dateien oder Prozesse von anderen Containern zugreifen. Die Cgroups beschränken dabei sehr detailliert den Zugriff eines Prozesses auf die CPU, RAM sowie I/O-Operationen.

Dies sei schon Vorteil genug, zum Beispiel einen Webserver-Daemon sowie eine dazugehörige Datenbank in je einen Container zu packen, so Garrett. Natürlich sei dies aber nur eine optimale Annahme der Realität, schließlich müsse von vorhandenen Fehlern ausgegangen werden, welche dieses System schwächen. Entsprechend müssten weitere Vorkehrungen getroffen werden.

Alte Werkzeuge sind wenig an Container angepasst

Dafür stehen seit längerem verschiedene Möglichkeiten bereit, die bereits für den Linux-Kernel eingesetzt werden. So sollten etwa bestimmte Zugriffe eines Containers eingeschränkt werden. Möglich sei dies etwa mit Seccomp, wodurch Systemaufrufe eines laufenden Prozesses unterbunden werden können. Dies bezeichnet Garrett aber als "ziemlich stumpfe" Methode.

So werde damit etwa auch verhindert, bestimmte Fähigkeiten des Prozesses im Betrieb zu verändern und somit zurückzuschalten. Darüber hinaus sei es sehr schwer, gute Richtlinien für die Verwendung von Seccomp zu schreiben und diese zusätzlich auch noch auf Container auszuweiten.

Eine ähnliche Argumentation führt Garrett für Selinux auf. Zwar könne damit erreicht werden, dass Prozesse in eigenen Kontexten liefen und nur auf Dateien in diesen Kontexten zugreifen könnten. Doch die Regeln dafür seien sehr kompliziert. Außerdem ließen sich nur Selinux-Regeln für den Host erstellen, welche von den Containern übernommen würden. Spezifische Regeln pro Container seien aber zurzeit nicht möglich.

Künftige Herausforderungen

Garrett fordert deshalb, die bestehenden Systeme deutlich zu verbessern und diese für den Einsatz mit Containern anzupassen. Dies wird wohl unvermeidlich werden. Doch er führt auch Möglichkeiten auf, die Sicherheit von Containern zu erhöhen, die sich zukünftig breiter einsetzen lassen könnten.

So erwähnt der Entwickler etwa Clearlinux von Intel, das eine Art minimaler virtueller Maschine erstellt, in der dann wiederum die Container laufen. Dies ermögliche eine stärkere Isolation und bessere Abstraktion von der Hardware als allein die Containertechnologie. Dabei werden aber nicht viel mehr Ressourcen benötigt.

Die Firmen, die Containertechnologie erstellen und vertreiben, sollten zudem überlegen, einige Patches aus der Grsec-Sammlung wieder aufzugreifen und diese eventuell sogar im Hauptzweig des Linux-Kernels zur Verfügung zu stellen, so Garrett. Diese Ansätze werden wohl aber noch einige Zeit bis zur Umsetzung benötigen.


eye home zur Startseite
dimorog 05. Okt 2015

Es gibt neben "data only Containers" noch weiter Möglichkeiten Daten persistent zu...



Anzeige

Stellenmarkt
  1. ID.on GmbH, Hannover
  2. GEMA International AG, Hamburg, Berlin
  3. Fraunhofer-Institut für Integrierte Schaltungen IIS, Erlangen
  4. MAX-DELBRÜCK-CENTRUM FÜR MOLEKULARE MEDIZIN, Berlin


Anzeige
Top-Angebote
  1. 88€ (Vergleichspreis ca. 119€)
  2. 16,97€ (ohne Prime bzw. unter 29€ Einkauf + 3€ Versand)
  3. 19,97€ (ohne Prime bzw. unter 29€ Einkauf + 3€ Versand)

Folgen Sie uns
       


  1. Seniorenhandys im Test

    Alter, sind die unpraktisch!

  2. PixelNN

    Mit Machine Learning unscharfe Bilder erkennbar machen

  3. Mobilfunk

    O2 in bayerischer Gemeinde seit 18 Tagen gestört

  4. Elektroauto

    Tesla schafft günstigstes Model S ab

  5. Bundestagswahl 2017

    IT-Probleme verzögerten Stimmübermittlung

  6. Fortnite Battle Royale

    Entwickler von Pubg sorgt sich wegen Unreal Engine

  7. Übernahme

    SAP kauft Gigya für 350 Millionen US-Dollar

  8. Core i9-7980XE im Test

    Intel braucht 18 Kerne, um AMD zu schlagen

  9. Bundestagswahl 2017

    Ein Hoffnungsschimmer für die Netzpolitik

  10. iZugar

    220-Grad Fisheye-Objektiv für Micro Four Thirds vorgestellt



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bundestagswahl 2017: Viagra, Datenbankpasswörter und uralte Sicherheitslücken
Bundestagswahl 2017
Viagra, Datenbankpasswörter und uralte Sicherheitslücken
  1. Zitis Wer Sicherheitslücken findet, darf sie behalten
  2. Merkel im Bundestag "Wir wollen nicht im Technikmuseum enden"
  3. TV-Duell Merkel-Schulz Die Digitalisierung schafft es nur ins Schlusswort

Olympus Tough TG5 vs. Nikon Coolpix W300: Die Schlechtwetter-Kameras
Olympus Tough TG5 vs. Nikon Coolpix W300
Die Schlechtwetter-Kameras
  1. Mobilestudio Pro 16 im Test Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  2. HP Z8 Workstation Mit 3 TByte RAM und 56 CPU-Kernen komplexe Bilder rendern
  3. Meeting Owl KI-Eule erkennt Teilnehmer in Meetings

VR: Was HTC, Microsoft und Oculus mit Autos zu tun haben
VR
Was HTC, Microsoft und Oculus mit Autos zu tun haben
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

  1. Re: Tja, so ist es

    powermummel | 11:56

  2. Re: Aber PGP ist schuld ...

    snape_case | 11:55

  3. Re: parlamentarische "Demokratie" ist nicht...

    Trollversteher | 11:55

  4. Re: Ich frag mich eh, warum sich die CDU in...

    der_wahre_hannes | 11:54

  5. Re: Das Problem mit Jamaika

    der_wahre_hannes | 11:53


  1. 12:02

  2. 11:58

  3. 11:34

  4. 11:19

  5. 11:04

  6. 10:34

  7. 10:16

  8. 09:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel