SCONE Secure Containers

Geschlossene Gesellschaft

Christof Fetzer

Mit Intel SGX lassen sich Programme vor unerwünschten Zugriffen schützen. SCONE bietet für containerisierte Cloud-Anwendungen einen einfachen Weg, diese Technik zu nutzen.

Container und Security bilden bisher in den Augen vieler einen Gegensatz, da die Isolation einzelner Container nur das Betriebssystem sicherstellt. Bei virtuellen Maschinen (VM) hingegen unterstützen diverse Hardwareerweiterungen wie VT-x, VT-d und VT-c die Abschottung. Die Security von VMs wird daher höher eingeschätzt als die von Containern.

Zwar isoliert das Betriebssystem Container verschiedener Nutzer. Mit SGX lässt sich aber sogar der Zugriff auf Applikationen von Angreifern mit Root-Rechten verhindern (Abb. 1).

Andererseits sind Container leichtgewichtiger und Container-Engines wie Docker einfacher zu verwenden als Virtualisierungsumgebungen wie OpenStack. Ihre Popularität hat daher in den letzten Jahren stark zugenommen. Ihre Sicherheit lässt sich inzwischen über eine neue CPU-Erweiterung verbessern: Intel bietet seit 2015 mit seinen Software Guard Extensions (SGX) Trusted Execution Environments zum Ausführen von Code in geschützten Umgebungen. Während sich traditionell die Systemsoftware vor Zugriffen durch Anwendungen schützen kann, können damit Programme dem System den Zugriff verwehren. Dies ist insbesondere interessant, um Software vor dem Zugriff von Angreifern mit Root-Rechten zu schützen (siehe Abbildung 1).