Markt + Trends | Open Source | iX

Signierte Container-Images mit Connaisseur

Dank Docker, Kubernetes und Docker Hub oder anderer Image-Registries lassen sich komplette Infrastrukturen schnell und einfach bereitstellen. Der Haken: Man kann den Container-Images nicht ansehen, ob sie unerwünschte oder sogar schädliche Komponenten enthalten. Per Docker Content Trust (DCT) und Notary lassen sich Images digital absichern. Notary verknüpft die Images mit seinen Tags und signiert das Image mit einem privaten Schlüssel. Allerdings klappt das im Zusammenspiel mit Kubernetes nicht zuverlässig, da dieses nicht weiß, ob der für die Signaturprüfung erforderliche DCT-Dämon auch läuft, und so Images unabhängig vom Signaturstatus installiert.

Connaisseur reicht nur verifizierte Anforderungen an den Kubernetes-Cluster weiter.

Secure Systems Engineering

Hier will die Secure Systems Engineering GmbH mit ihrem Open-Source-Tool Connaisseur Abhilfe schaffen. Das kann eine vorhandene DCT-Infrastruktur nutzen und integriert sie als sogenannten Mutating Admission Controller in Kubernetes. Connaisseur fängt Anfragen an den Cluster ab und stellt sicher, dass das in der Anforderung genannte image:tag zu einem vertrauenswürdigen, kryptografisch verifizierten image@digest mit bekanntem Inhalt umgesetzt wird. Container starten im Kubernetes-Cluster dann über den Trusted Image Digest. Existieren für ein angefordertes Image keine Vertrauensdaten, verwirft Connaisseur die Anfrage, bevor sie an den Cluster weitergereicht wird. (avr@ix.de)

Container-Linux BottleRocket 1.0 ist fertig

AWS hat mit BottleRocket 1.0 ein neues Linux für den Cloud-Einsatz freigegeben. Inspiriert von Projekten wie Atomic, CoreOS und RancherOS, will man Entwicklern ein auf Container zugeschnittenes Betriebssystem bieten. Das ist überwiegend in Rust geschrieben, um Gefahren durch unsicheren Speicherzugang, Pufferüberläufe und Race Conditions zwischen den Threads zu reduzieren. Technisch nutzt BottleRocket das Modul dm-verity für den Device-Mapper. Als Read-only-Verifizierungsziel ermöglicht es Integritätsprüfungen über die Krypto-API des Kernels.

Für Admins existiert optional ein Container mit erweiterten Rechten, über den sie per SSH auf das Betriebssystem zugreifen können. SELinux schirmt die Instanzen zusätzlich voneinander ab. Für Updates nutzt BottleRocket komplette Images, was sich notfalls auch wieder zurücknehmen lässt. BottleRocket läuft wahlweise mit dem Amazon Elastic Container Service (ECS) oder mit dem Amazon Kubernetes Container Service (EKS). (avr@ix.de)

Mehr Rechtssicherheit für die OSS-Nutzung

Ende 2017 hatten Facebook, Goolge, IBM und Red Hat das GPL Cooperation Commitment initiiert, das einige Bestimmungen aus der GPLv3 auf ihre unter früheren Versionen lizenzierte Software ausweitet. Jetzt konnte man mit Camuda, Capital One, CloudBees, Colt, Comcast, Ellucian, Ericsson, EPAM Systems, Fujitsu, Indeed, Infosys, Lenovo, LG Electronics, NetApp, Salesforce, Seagate und Volvo Mitstreiter gewinnen.

Die inzwischen 60 Unterstützer stellen sich gegen ein hartes Durchsetzen einiger Bestimmungen und geben Lizenznehmern die Gelegenheit, Verstöße zu beheben, bevor die Lizenz entzogen wird. Diese Option wurde erst mit der GPLv3 eingeführt. Bei früheren Versionen können kleine Fehler dazu führen, dass die Software nicht weiter genutzt werden darf. David Levine, Red Hats Vice President and Associate General Counsel, erklärte dazu, man wolle Unsicherheiten verringern und ein verantwortungsvolles Durchsetzen der Bestimmungen sicherstellen. Es gehe um die Botschaft, dass die Einhaltung der Regeln in fairer Weise erfolgen sollte und nicht zur Monetarisierung kleiner Verstöße. (avr@ix.de)

privacyIDEA 3.4 verwaltet Token besser

Im Rahmen der neuen Version 3.4 erweitert NetKnights privacyIDEA, eine freie Software für die Multi-Faktor-Authentifizierung in Unternehmen. So lassen sich von einem Nutzer nach einem ersten erfolgreichen Identitätsnachweis eine zweite oder auf Wunsch mehrere weitere Eingaben eines Faktors verlangen. Dies kann etwa zum Einsatz kommen, wenn die Richtlinien vom Anwender nach einer bestimmten Zeit eine neue PIN fordern.

Version 3.4 umfasst einen neuen Script SMS Provider, mit dem Firmen Nachrichten verschicken können. Primär ist dieser für SMS-Dienste gedacht, die übers Web funktionieren, doch genauso lassen sich andere Programme wie der hauseigene Jabber-Server heranziehen. Ferner hat das Projekt den HTTP SMS Provider erweitert, mit dem sich nun der Header den eigenen Wünschen entsprechend anpassen lässt.

Zudem lässt sich nun festlegen, dass privacyIDEA ausschließlich bestimmte Tokenklassen beim Anmeldevorgang überprüfen soll. Standardmäßig gleicht die Software alle vom Client offerierten Token ab. Unternehmen können mit Version 3.4 nun auch eigene Tokenklassen von Drittanbietern einsetzen, ohne den Code der Software ändern zu müssen.

Der Administrator erhält ein neues Dashboard. Es soll alle wichtigen Informationen der MFA-Software bereitstellen, darunter die verfügbaren Hardwaretoken, Verweise auf die Richtlinien sowie Informationen zu den eingesetzten Lizenzen. Die Software selbst steht unter der GNU AGPLv3, NetKnights bietet eine Enterprise Edition mit kommerziellem Support an. (avr@ix.de)