[论文解读] Security of OS-level virtualization technologies: Technical report

Elena Reshetova, Janne Karhunen+2 more|arXiv (Cornell University)|Jul 16, 2014

Security and Verification in Computing参考文献 23被引用 7

一句话总结

本文对基于Linux的容器系统等操作系统级虚拟化技术进行了系统的安全分析。研究评估了隔离机制，识别出命名空间、cgroups和设备管理中的关键安全漏洞，并提出了一种统一的容器安全评估模型，强调了原生缺乏容器感知的强制访问控制和安全设备访问支持。

ABSTRACT

The need for flexible, low-overhead virtualization is evident on many fronts ranging from high-density cloud servers to mobile devices. During the past decade OS-level virtualization has emerged as a new, efficient approach for virtualization, with implementations in multiple different Unix-based systems. Despite its popularity, there has been no systematic study of OS-level virtualization from the point of view of security. In this report, we conduct a comparative study of several OS-level virtualization systems, discuss their security and identify some gaps in current solutions.

研究动机与目标

• 建立操作系统级虚拟化的通用系统模型，以实现一致的安全评估。
• 识别并分析现有操作系统级虚拟化解决方案中的安全缺陷，特别是Linux容器中的问题。
• 评估命名空间、cgroups和MAC策略等隔离机制在容器环境中的有效性。
• 突出当前实现中的局限性，包括设备访问控制和随机数生成器安全性。
• 通过内核级增强（如安全命名空间和设备命名空间）提出提升容器安全性的未来方向。

提出的方法

• 通过文档分析和源代码分析，对主要的操作系统级虚拟化系统进行了比较研究。
• 基于容器与主机系统之间的隔离需求，定义了一个通用的安全模型。
• 评估了核心隔离原语：UTS、PID、网络、挂载、用户、IPC和时间命名空间。
• 分析了cgroups在资源控制中的作用及其与rlimits当前不完整的集成。
• 评估了在容器中暴露 /dev/random 和 /dev/urandom 的安全影响。
• 探讨了设备命名空间设计和容器中热插拔支持的挑战。

实验结果

研究问题

• RQ1 现有操作系统级虚拟化系统如何在容器与主机之间强制实施隔离？
• RQ2 当前Linux容器技术中，特别是在命名空间和cgroups实现方面，存在哪些关键安全缺陷？
• RQ3 当前系统在多大程度上支持容器感知的强制访问控制（MAC）策略？
• RQ4 无状态设备如 /dev/urandom 和 /dev/random 如何影响容器的安全性和可用性？
• RQ5 在实现容器安全设备访问和热插拔支持方面，存在哪些开放性挑战？

主要发现

• 尽管内核中已存在LSM，但当前Linux中的任何操作系统级虚拟化解决方案均未完全支持容器感知的强制访问控制（MAC）策略。
• cgroups资源控制器与rlimits的集成不完整，导致资源控制部分未被强制执行。
• 在容器中暴露 /dev/random 会因熵耗尽而带来拒绝服务风险，即使 /dev/urandom 是无状态的。
• 目前缺乏原生设备命名空间支持，无法安全隔离容器之间的设备访问，导致存在重大攻击面。
• 通过udevd实现的热插拔支持在容器中本质上不安全，因为它允许不受信任的进程配置硬件并创建设备节点。
• 缺乏专用安全命名空间，导致LSM无法强制实施容器特定的安全策略，这是隔离机制的根本性缺陷。