[论文解读] BPFContain: Fixing the Soft Underbelly of Container Security

William Findlay, David Barrera+1 more|arXiv (Cornell University)|Feb 13, 2021

Security and Verification in Computing参考文献 19被引用 9

一句话总结

BPFContain 是一种基于 eBPF 的新型容器安全框架，通过简单的 YAML 策略语言强制执行细粒度、可审计的容器隔离策略。它无需修改内核即可与 Docker 等现有容器运行时集成，通过在运行时注入 LSM 钩子实现强隔离，其安全性和简洁性优于传统的 seccomp-bpf 或 SELinux 等机制。

ABSTRACT

Linux containers currently provide limited isolation guarantees. While containers separate namespaces and partition resources, the patchwork of mechanisms used to ensure separation cannot guarantee consistent security semantics. Even worse, attempts to ensure complete coverage results in a mishmash of policies that are difficult to understand or audit. Here we present BPFContain, a new container confinement mechanism designed to integrate with existing container management systems. BPFContain combines a simple yet flexible policy language with an eBPF-based implementation that allows for deployment on virtually any Linux system running a recent kernel. In this paper, we present BPFContain's policy language, describe its current implementation as integrated into docker, and present benchmarks comparing it with current container confinement technologies.

研究动机与目标

• 解决由于安全机制碎片化、复杂化而导致的 Linux 容器隔离保证薄弱的问题。
• 弥合内核安全机制与高层级容器隔离策略之间的语义鸿沟。
• 提供一种可部署、攻击面极小的容器安全解决方案，与现有容器运行时向后兼容。
• 实现细粒度的默认拒绝安全策略，使策略编写、审计和执行更加简单。
• 通过统一的、原生 eBPF 的强制执行层，减少对 seccomp-bpf、SELinux 和 AppArmor 等传统机制的依赖。

提出的方法

• 利用 eBPF 动态注入 LSM 钩子和关键内核函数，实现实时安全强制执行。
• 使用基于 YAML 的策略语言定义每个容器的访问规则，支持默认拒绝和默认允许语义。
• 在运行时部署 eBPF 程序，无需内核补丁或外部树模块，确保可移植性和安全性。
• 通过轻量级 Rust 编写的守护进程和控制接口，与符合 OCI 的容器运行时（如 Docker）集成。
• 采用基于 eBPF 映射的策略规则存储机制，根据策略文件分析预先分配大小，避免运行时限制。
• 通过新增 eBPF 辅助函数支持透明的命名空间和 cgroup 管理，实现未来可扩展性。

实验结果

研究问题

• RQ1 是否可以利用 eBPF 构建一个统一的、运行时强制执行的容器隔离机制，从而简化策略管理？
• RQ2 如何设计一种高层级、可审计的策略语言，以表达容器特定的安全语义，而无需依赖底层内核 API？
• RQ3 BPFContain 是否能在保持轻量化和可部署性的同时，提供强于 seccomp-bpf 和 SELinux 等现有机制的隔离能力？
• RQ4 通过 eBPF 在大规模环境下强制执行容器策略，其性能和可扩展性影响如何？
• RQ5 在不损失关键功能的前提下，BPFContain 守护进程在多大程度上可以被移除？哪些 eBPF 特性使这一目标成为可能？

主要发现

• BPFContain 成功与 Docker 及其他符合 OCI 的运行时集成，且无需修改其源代码。
• 该框架通过将 eBPF 程序附加到 LSM 钩子上，强制执行每个容器的策略，实现强隔离，完全摆脱对传统安全机制的依赖。
• 基准测试结果表明，BPFContain 的性能开销极低，与无限制容器相比仅带来可测量但可接受的延迟增加。
• eBPF 的使用确保了安全性和可移植性，无需内核补丁或外部树模块。
• 策略语言同时支持高层级、人类可读的规则和底层 LSM API 控制，适用于多样化的部署场景。
• 未来通过 eBPF 辅助函数扩展，可完全消除对守护进程的需求，进一步减少攻击面，并实现由内核原生管理的容器生命周期操作。