[論文レビュー] Security of OS-level virtualization technologies: Technical report

Elena Reshetova, Janne Karhunen+2 more|arXiv (Cornell University)|Jul 16, 2014

Security and Verification in Computing参考文献 23被引用数 7

ひとこと要約

本論文は、Linuxベースのコンテナシステムに焦点を当てた、OSレベル仮想化技術の体系的セキュリティ分析を提示する。隔離メカニズムの評価、名前空間、cgroups、デバイス管理における深刻なセキュリティギャップの同定、コンテナセキュリティを評価する統一モデルの提案を行い、コンテナ認識型の必須アクセス制御および安全なデバイスアクセスのためのネイティブサポートの欠如を強調する。

ABSTRACT

The need for flexible, low-overhead virtualization is evident on many fronts ranging from high-density cloud servers to mobile devices. During the past decade OS-level virtualization has emerged as a new, efficient approach for virtualization, with implementations in multiple different Unix-based systems. Despite its popularity, there has been no systematic study of OS-level virtualization from the point of view of security. In this report, we conduct a comparative study of several OS-level virtualization systems, discuss their security and identify some gaps in current solutions.

研究の動機と目的

• OSレベル仮想化の一般的なシステムモデルを確立し、一貫したセキュリティ評価を可能にする。
• 既存のOSレベル仮想化ソリューションにおけるセキュリティギャップを同定・分析する。特にLinuxコンテナに焦点を当てる。
• 名前空間、cgroups、MACポリシーなどの隔離メカニズムの有効性をコンテナ環境で評価する。
• 現在の実装における制限、特にデバイスアクセス制御および乱数生成器のセキュリティを強調する。
• セキュリティ名前空間やデバイス名前空間などのカーネルレベルの強化を通じて、コンテナセキュリティを向上させるための今後の方向性を提案する。

提案手法

• 文書およびソースコード解析を用いて、主要なOSレベル仮想化システムの比較研究を実施した。
• コンテナとホストシステム間の隔離要件に基づいて、共通のセキュリティモデルを定義した。
• コアの隔離プリミティブ（UTS、PID、ネットワーク、マウント、ユーザー、IPC、タイム名前空間）を評価した。
• cgroupsがリソース制御において果たす役割と、rlimitsとの現在の不完全な統合状況を分析した。
• /dev/random および /dev/urandom をコンテナに公開するセキュリティインパクトを評価した。
• デバイス名前空間設計およびコンテナ向けのホットプラグサポートにおける課題を検討した。

実験結果

リサーチクエスチョン

• RQ1 既存のOSレベル仮想化システムは、コンテナとホストとの間でどのように隔離を強制しているか？
• RQ2 現在のLinuxコンテナ技術における深刻なセキュリティギャップ、特に名前空間およびcgroups実装におけるものは何か？
• RQ3 現在のシステムは、コンテナ認識型の必須アクセス制御（MAC）ポリシーをどの程度サポートしているか？
• RQ4 無状態デバイス（/dev/urandom および /dev/random）は、コンテナのセキュリティおよび可用性にどのように影響を与えるか？
• RQ5 コンテナ向けに安全なデバイスアクセスおよびホットプラグサポートを実現するための未解決の課題は何か？

主な発見

• カーネルにLSMが利用可能であるにもかかわらず、現在のLinuxにおけるOSレベル仮想化ソリューションは、コンテナ認識型の必須アクセス制御（MAC）ポリシーを完全にサポートしていない。
• cgroupsリソースコントローラーはrlimitsとの統合が不完全であり、リソース制御が部分的に強制されていない。
• コンテナに /dev/random を公開することは、エントロピー枯渇によるサービス拒否攻撃のリスクをもたらす。これは /dev/urandom が無状態であるにもかかわらず同様に成立する。
• デバイス名前空間のネイティブサポートがないため、コンテナ間でのデバイスアクセスの安全な隔離が実現されておらず、深刻な攻撃表面が開いている。
• udevのホットプラグサポート（udev-d）は、コンテナ内では本質的に不安全であり、信頼できないプロセスがハードウェアを設定し、デバイスノードを作成できる。
• 専用のセキュリティ名前空間がないため、LSMがコンテナ固有のセキュリティポリシーを強制できず、隔離における根本的な制限となっている。