Neste vídeo, explicamos por que usar tags de imagem de contêiner pode nos expor a alguns ataques desagradáveis na cadeia de suprimentos de software. Apresentamos duas alternativas:
- Digests de Imagem
- Assinaturas Digitais (com Sigstore)
As tags de imagem Docker são mutáveis, ou seja, podem ser atualizadas. Se definirmos nossos manifestos de implantação usando tags de imagem, um atacante que obtiver acesso ao nosso registro de imagens de contêiner pode trocar uma imagem genuína por uma corrompida.
Um digest de imagem é um identificador imutável calculado pelo mecanismo de contêiner que não pode ser atualizado. Usando o digest, podemos fixar uma versão específica de uma imagem.
No entanto, isso não é suficiente para estabelecer a proveniência da imagem. Para obter tais garantias, precisamos aproveitar as assinaturas digitais.
Uma assinatura digital tem como objetivo garantir a autenticidade, não-repúdio e integridade dos dados assinados. Apesar de as assinaturas digitais existirem há muitos anos, elas são raramente empregadas devido à sua complexidade. Você precisa configurar uma infraestrutura para gerenciar chaves, assinatura e verificação.
No entanto, o Sigstore, um projeto apoiado pela Open Source Security Foundation (OpenSSF) e empresas como Google e Red Hat, promete democratizar assinaturas digitais para artefatos. Podemos usar sua CLI cosign para assinar e verificar imagens com apenas uma linha. Também podemos integrar facilmente o cosign em nossos pipelines de automação, como GitHub Actions e GitLab CI.
Finalmente, podemos usar o controlador de políticas do Sigstore em nosso cluster Kubernetes para definir a política de imagem do cluster e fazer um controle rigoroso sobre o que é executado em nossos ambientes.
00:00 Introdução
00:19 Por que as tags de imagem são ruins?
02:47 O que é um digest de imagem?
04:47 O que é uma assinatura digital?
06:14 Sigstore
-----
Links úteis:
-----
Conecte-se comigo:
#docker #devops #devsecops #kubernetes