[关闭]
@lsmn 2015-12-12T05:50:16.000000Z 字数 1040 阅读 2557

从Docker、Twistlock、CoreOS看容器安全的现状

容器 Docker CoreOS Twistlock


摘要

Docker将容器变成一种商用技术以后就面临一个比较大的问题,就是如何确保容器安全。具体一点讲,安全在容器环境中包含什么内容,如何安全地访问容器以及如何确保容器内部软件不会带来安全问题,等等。近日,InfoWorld资深作者Serdar Yegulalp分析了Docker、Twistlock、CoreOS等厂商的容器安全解决方案。

正文

Docker将容器变成一种商用技术以后就面临一个比较大的问题,就是如何确保容器安全。具体一点讲,安全在容器环境中包含什么内容,如何安全地访问容器以及如何确保容器内部软件不会带来安全问题,等等。随着容器技术成长为一个更加开放的生态系统(尤其在安全方面),任何一种单独的解决方案似乎都不可能解决所有这些问题。近日,InfoWorld资深作者Serdar Yegulalp分析了Docker、Twistlock、CoreOS等厂商的容器安全解决方案。

Docker一直在推动容器技术的发展,包括安全在内。在11月份举行的DockerCon欧洲大会上,该公司宣布了多项重大安全改进,其中最大的一项是支持用户命名空间。其他改进还包括允许使用Yubico硬件密钥进行容器签名,以及扫描托管在Docker官方库中的容器。

除了容器自身的安全外,在将容器部署到生产环境之前,用户还会希望知道容器内的东西是否存在已知的安全问题。Twistlock的创建目的就是扫描容器,对照CVE数据库检查容器中的软件。此外,它还会检查容器环境,比如,如果容器不应该在第一时间连接网络,那么它就会断开网络连接。

CoreOS一直支持容器,但它对Docker的做法持批评态度,尤其是在安全方面。为此,他们创建了自己的、安全优先的容器格式和运行时。前期,CoreOS宣布了类似Twistlock的漏洞扫描工具。最近,他们又宣布了一种端到端的安全解决方案“分布式可信计算(Distributed Trusted Computing)”。该方案是其企业级产品Tectonic的一部分。同Docker的Yubikey一样,它也使用了硬件密钥确保容器不会被篡改。而且,它只会启动用户同意启动的容器。此外,该方案的其中一名创建者是Matthew Garrett,他是CoreOS的首席安全工程师,同时也是一位著名的Linux开发人员,曾经创建了一种在Windows 8系统上运行Linux的方法。

添加新批注
在作者公开此批注前,只有你和作者可见。
回复批注