[논문 리뷰] Security of OS-level virtualization technologies: Technical report

Elena Reshetova, Janne Karhunen외 2명|arXiv (Cornell University)|2014. 07. 16.

Security and Verification in Computing참고 문헌 23인용 수 7

한 줄 요약

이 논문은 Linux 기반 컨테이너 시스템에 중점을 두어 운영체제 수준 가상화 기술에 대한 체계적인 보안 분석을 제시한다. 격리 메커니즘을 평가하고 네임스페이스, cgroups, 장치 관리에서의 심각한 보안 결함을 규명하며, 컨테이너 보안을 평가하기 위한 통합 모델을 제안한다. 이는 컨테이너 인식형 강제 접근 제어 및 안전한 장치 접근에 대한 내장 지원 부족을 강조한다.

ABSTRACT

The need for flexible, low-overhead virtualization is evident on many fronts ranging from high-density cloud servers to mobile devices. During the past decade OS-level virtualization has emerged as a new, efficient approach for virtualization, with implementations in multiple different Unix-based systems. Despite its popularity, there has been no systematic study of OS-level virtualization from the point of view of security. In this report, we conduct a comparative study of several OS-level virtualization systems, discuss their security and identify some gaps in current solutions.

연구 동기 및 목표

• 일관된 보안 평가를 가능하게 하기 위해 운영체제 수준 가상화를 위한 일반적인 시스템 모델을 수립하기 위해.
• 기존 운영체제 수준 가상화 솔루션에서의 보안 결함, 특히 리눅스 컨테이너에서의 결함을 규명하고 분석하기 위해.
• 컨테이너 환경에서 네임스페이스, cgroups, MAC 정책과 같은 격리 메커니즘의 효과성을 평가하기 위해.
• 기본 자원 제어 및 무작위 수치 생성기 보안과 같은 현재의 실행 구현에서의 제약 사항을 부각하기 위해.
• 보안 네임스페이스 및 장치 네임스페이스와 같은 커널 수준의 개선을 통해 컨테이너 보안을 향상시키기 위한 향후 방향성 제안하기 위해.

제안 방법

• 문서 및 소스 코드 분석을 통해 주요 운영체제 수준 가상화 시스템 간의 비교 연구를 수행하였다.
• 컨테이너와 호스트 시스템 간 격리 요구 사항을 바탕으로 공통 보안 모델을 정의하였다.
• 핵심 격리 원천인 UTS, PID, 네트워크, 마운트, 사용자, IPC, 시간 네임스페이스를 평가하였다.
• cgroups가 자원 제어에서 수행하는 역할과 rlimits와의 현재 완전한 통합 부족을 분석하였다.
• 컨테이너 내에서 /dev/random 및 /dev/urandom을 노출시키는 보안 영향을 평가하였다.
• 장치 네임스페이스 설계 및 컨테이너에서의 핫플러그 지원 과제를 탐색하였다.

실험 결과

연구 질문

• RQ1 기존 운영체제 수준 가상화 시스템은 컨테이너와 호스트 간 격리를 어떻게 구현하는가?
• RQ2 현재 리눅스 컨테이너 기술에서 네임스퍰이터 및 cgroups 실행 구현에서의 핵심 보안 결함는 무엇인가?
• RQ3 현재 시스템은 컨테이너 인식형 강제 접근 제어(MAC) 정책을 어느 정도 지원하는가?
• RQ4 상태 없는 장치인 /dev/urandom 및 /dev/random은 컨테이너 보안과 가용성에 어떤 영향을 미치는가?
• RQ5 컨테이너에서 안전한 장치 접근 및 핫플러그 지원을 구현하는 데 있어 열려 있는 과제는 무엇인가?

주요 결과

• 커널에 LSM이 존재함에도 불구하고, 현재 리눅스의 운영체제 수준 가상화 솔루션 중 어느 것도 컨테이너 인식형 강제 접근 제어(MAC) 정책을 완전히 지원하지 않는다.
• cgroups 자원 컨트롤러는 rlimits와의 통합에서 완전하지 않아 자원 제어가 부분적으로 시행되지 않는다.
• 컨테이너 내에서 /dev/random을 노출시키면 엔트로피 고갈로 인해 서비스 거부 공격 위험이 존재하나, /dev/urandom은 상태가 없기 때문에 이는 상대적으로 안전하다.
• 장치 액세스를 안전하게 격리하기 위한 네이티브 장치 네임스페이스 지원이 없어 주요 공격 표면이 열려 있다.
• udev를 통한 핫플러그 지원은 컨테이너 내에서 본질적으로 보안이 취약하며, 신뢰할 수 없는 프로세스가 하드웨어를 구성하고 장치 노드를 생성할 수 있다.
• 보안 네임스페이스가 없어 LSM이 컨테이너 전용 보안 정책을 시행할 수 없으며, 이는 격리의 근본적인 제약 사항이다.