Зашифрованные и безопасные контейнеры докеров

Question

Мы все знаем ситуации, когда вы не можете открывать с открытым исходным кодом и свободно распространять программное обеспечение - и я вхожу в одну из этих ситуаций.

У меня есть приложение, состоящее из нескольких двоичных файлов (скомпилированных из источников C) и кода на основе python, который переносит все это в систему. Это приложение использовалось для работы в качестве облачного решения, поэтому пользователи имели доступ к функциям приложения через сеть, но не смогли прикоснуться к фактическому серверу, где хранятся двоичные файлы и код.

Теперь мы хотим доставить «локальную» версию нашей системы. Приложение будет работать на компьютерах, которые наши пользователи будут физически владеть. Мы знаем, что все может быть сломано, но, по крайней мере, необходимо как можно больше защитить приложение от возможного копирования и реверсирования.

Я знаю, что докер - замечательный инструмент для развертывания, поэтому мне интересно: можно создать зашифрованные контейнеры докеров, где никто не может видеть какие-либо данные, хранящиеся в файловой системе контейнера? Известно ли решение этой проблемы?

Кроме того, возможно, существуют хорошо известные решения, не основанные на докерах?

Answer 1

О чем вы спрашиваете, называется obfuscation. Это не имеет никакого отношения к Docker и является очень специфичной для языка проблемой; для данных вы всегда можете делать все, что хотите, но, хотя вы можете надеяться отговорить злоумышленника, он никогда не будет безопасным. Даже самые современные схемы шифрования не могут помочь, поскольку программа (которую вы предоставляете) должна содержать ключ.

C обычно достаточно сложно переделать, для Python вы можете попробовать pyobfuscate и similar.

Для данных, я нашел this question (ключевые слова: encrypting files game).

Answer 2

Пользователь root на главной машине (где работает демон docker) имеет полный доступ ко всем процессам, выполняемым на хосте. Это означает, что человек, который управляет главной машиной, всегда может получить доступ к ОЗУ приложения, а также к файловой системе. Это делает невозможным скрытие ключа для дешифрования файловой системы или защиты ОЗУ от отладки.

Использование обфускации в стандартном ящике Linux может затруднить чтение файловой системы и ОЗУ, но вы не можете сделать это невозможным или контейнер не может работать.

Если вы можете управлять оборудованием, работающим под управлением операционной системы, то вы можете посмотреть на Trusted Platform Module, который начнет проверку системы, как только система загрузится. Затем вы теоретически могли бы сделать что-либо до того, как пользователь root получит доступ к системе, чтобы скрыть ключи и сильно зашифровать файловые системы. Даже тогда, учитывая физический доступ к машине, определенный злоумышленник может всегда получать дешифрованные данные.

Answer 3

Похоже, что Docker - это не самый подходящий инструмент, потому что он никогда не предназначался для использования как полномасштабная песочница (по крайней мере, на основе того, что я читал). Почему вы не используете более полномасштабный подход VirtualBox? По крайней мере, тогда вы можете заблокировать виртуальную машину за входами (так как физическая установка на чужой компьютер может быть заблокирована) и запустить изолированную, зашифрованную файловую систему и целых девять ярдов.

Вы можете ходить в легком и открытом, или жирном и закрытом. Я не знаю, что есть «легкий и закрытый» вариант.

Answer 4

Если вы хотите абсолютно безопасное решение, вы ищете «святой грааль» конфиденциальности: гомоморфное шифрование.Короче говоря, вы хотите зашифровать свое приложение и данные, отправить их на ПК и запустить этот ПК без его владельца, ОС или кого-либо еще, кто сможет совместить данные. Выполнение этого без значительного штрафа за производительность - активный исследовательский проект. Там было по крайней мере one project умудрившись, но она все еще имеет ограничение:

1. Это окно-только
2. Процессор имеет доступ к ключу (т.е., вы должны доверять Intel)
3. Он оптимизирован для облачных сценариев. Если вы хотите установить это на несколько ПК, вам необходимо предоставить ключ безопасным способом (например, просто зайти туда и набрать его самостоятельно) на один из компьютеров, на котором вы собираетесь установить приложение, и этот ПК должен быть способен для безопасного распространения ключа на другие ПК.

предложение Энди об использовании TPM имеет аналогичные последствия для точек 2 и 3.