Skip to content

Drucksache: PHP Magazin 6.15 - Docker-Sicherheit - eine Bestandsaufnahme

Im PHP Magazin 6.2015 ist ein Artikel zur Sicherheit von Docker erschienen.

Docker isoliert Anwendungen in Container. Aber ist diese Isolation auch sicher? Manche meinen, nein - und bringen eine Alternative an den Start. Sollte man also um Docker einen Bogen machen, wenn einem die Sicherheit der eigenen Systeme am Herzen liegt? Oder ist das alles übertrieben?

Bevor man die Frage "Wie sicher ist Docker?" beantworten kann, muss man die Frage "Was ist Docker?" beantworten, oder genauer: Was erwartet man selbst von Docker?.

Eigentlich ist Docker eine flexible Buildumgebung, in der sie die Anwendung auch testen und sogar ausrollen können. Und wenn Sie Docker auch so verwenden, werden Sie damit keine Sicherheitsprobleme haben.

Ob die Anwendung am Ende im Container oder direkt auf dem Produktivsystem installiert wird, ist unerheblich. Wenn man mal davon absieht, dass der Container einen darin eingedrungenen Angreifer zumindest eine weitere Hürde in den Weg stellt, bevor er den Host selbst kompromittieren kann. Wenn er das denn überhaupt will.

Machen Docker-Anwender scheinen aber zu denken, Docker biete Schutz vor den Folgen ausgeführten Schadcodes. Und das ist eben gerade nicht der Fall. Wenn Sie Docker trotzdem als Schutzmaßnahme verwenden, haben Sie früher oder später ein Problem. Docker isoliert die Anwendungen war im Container, aber wenn die Anwendung es darauf anlegt, gelingt ihr auch der Ausbruch aus dem Container.

Natürlich ist es einfach, eine Anwendung als Docker-Image auf das Produktivsystem zu laden, dort testweise auszuführen und rückstandslos wieder zu löschen, wenn sie die eigenen Anforderungen nicht erfüllt. Wenn das Image dann aber bösartigen Code enthält, sind sie danach zwar die heruntergeladene Anwendung los, aber nicht den davon auf dem Server eingeschleusten Schadcode.

Und natürlich sind Container "leichtgewichtiger" als eine vollständige Virtualisierung, wenn Sie die Anwendungen mehrerer Kunden auf einem Server betreiben wollen. Das kann auch gut gehen, wenn Docker ausreichend abgesichert ist, muss es aber nicht. Vor allem nicht, wenn wirklich eine Anwendung kompromittiert wird und der Angreifer es auch auf die anderen Anwendungen abgesehen hat. Von absichtlich bösartigen Anwendungen ganz zu schweigen. Und sie kennen doch das Gesetz vom netten Herren Murphy, nicht war? Das sorgt schon dafür, dass das schief geht.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

Trackbacks

Keine Trackbacks