Improving the Security of Containerized Workloads using Transparency and Traceability Services

Stel je het internet voor als een enorme, bruisende stad waar software het voedsel is dat iedereen eet. Om dit voedsel bij de mensen te krijgen, gebruiken chefs (ontwikkelaars) geautomatiseerde assemblagelijnen genaamd CI/CD-pipelines om digitale gerechten te bereiden die bekend staan als "gecontaineriseerde workloads". Deze gerechten worden verpakt in digitale dozen die "images" worden genoemd, opgeslagen in gigantische digitale voorraadkasten genaamd "registries", en vervolgens naar restaurants over de hele wereld verscheept, van grote keukenbedrijven tot kleine straatstalletjes (edge-omgevingen). Het probleem is dat als een saboteur de assemblagelijn binnensluipt, ze een gezond maaltijd kunnen verwisselen voor een vergiftigd exemplaar, en omdat de assemblagelijn zo snel en geautomatiseerd is, wordt het gif naar duizenden klanten verscheept voordat iemand het merkt. Dit is de wereld van software supply chain security: een hoogst spannend spel om het digitale voedsel veilig te houden voor manipulatie, diefstal en kwaadwillenden.

Om te begrijpen hoe we dit kunnen stoppen, hebben we twee belangrijke instrumenten nodig. Ten eerste hebben we integriteit nodig, wat lijkt op een verzegeling die laat zien of een pot jam ermee is geknoeid; als de zegel verbroken is of de jam erin is verwisseld, weet je dat onmiddellijk. Ten tweede hebben we transparantie nodig, wat lijkt op een openbaar, onuitwisbaar dagboek waar elke keer dat een pot wordt verzegeld, de gebeurtenis in inkt wordt genoteerd die niet kan worden doorgestreept. Als iemand een vergiftigde pot probeert te verzegelen, zal het dagboek laten zien dat dit is gebeurd, en kan het publiek het dagboek controleren om te zien of de zegel overeenkomt met de vermelding. Zonder deze middelen kan een hacker die de sleutel van een chef steelt, een vergiftigde pot verzegelen met een "geldige" zegel, en zal niemand het verschil merken totdat het te laat is.

Dit artikel introduceert een slim nieuw systeem om exact dat probleem op te lossen. De auteurs, een team van beveiligingsonderzoekers, stellen een "Transparency Service" voor die fungeert als een superveilige, geautomatiseerde notaris voor deze digitale voedseldozen. In plaats van de assemblagelijn een permanente masterkey te laten vasthouden (wat een ramp is als deze gestolen wordt), genereert het systeem voor elk gerecht dat het bereidt een gloednieuwe, eenmalig bruikbare sleutel. Vervolgens verzegelt het direct het gerecht, schrijft het de gebeurtenis in een openbaar, onuitwisbaar dagboek (de Transparency Registry) en gooit het de sleutel weg. Wanneer het gerecht bij een restaurant aankomt, controleert de manager niet alleen de zegel, maar controleert hij ook het openbare dagboek om er zeker van te zijn dat de gebeurtenis daadwerkelijk is vastgelegd en dat de chef die de zegel heeft geplaatst, ook gemachtigd was om dat te doen.

De onderzoekers hebben een werkend prototype van dit systeem gebouwd en het gekoppeld aan populaire programmeertools zoals GitHub Actions en GitLab. Ze hebben het getest tegen realistische scenario's waarbij hackers proberen sleutels te stelen of slechte code binnensluizen. Hun simulaties laten zien dat deze aanpak in veel gevallen effectief voorkomt dat aanvallers kwaadaardige software implementeren, zoals wanneer ze proberen de inloggegevens van een onbevoegde gebruiker te gebruiken. Echter, als een hacker de inloggegevens van een geautoriseerde ontwikkelaar weet te stelen, kan het systeem de kwaadaardige software in eerste instantie door de beveiligingscontroles laten gaan omdat de handtekening en identiteit geldig lijken. In dit specifieke scenario ligt de kracht van het systeem in het vermogen om het misbruik snel te detecteren. Omdat elke ondertekeningsgebeurtenis wordt vastgelegd in het openbare dagboek, kan een "monitor" de verdachte activiteit opmerken en de organisatie waarschuwen. Dit stelt hen in staat om de kwaadaardige software te blokkeren en de gecompromitteerde inloggegevens in te trekken voordat het wijdverspreide schade aanricht, hoewel de snelheid van deze detectie afhangt van hoe vaak het dagboek wordt gecontroleerd.

Het Verhaal van de Digitale Keuken

Laten we kijken naar hoe dit werkt, met behulp van de analogie van een hoogtechnologische, geautomatiseerde keuken.

Het Probleem: De Masterkey-valstrik
In de oude dagen, stel je een voor dat een restaurantketen waarbij elke chef een permanente, zware masterkey tot de voordeur had. Als een inbreker die sleutel stal, kon hij binnenlopen, een vergiftigde stoofpot koken en deze op het menu zetten. Omdat de sleutel "echt" was, liet de bewaker bij de deur de stoofpot doorlassen. In de digitale wereld is dit wat er gebeurt wanneer een hacker een wachtwoord van een ontwikkelaar of een geheime sleutel van een server steelt. Ze kunnen die gestolen sleutel gebruiken om een kwaadaardige software-update te ondertekenen, en omdat de handtekening geldig lijkt, wordt de software op miljoenen computers geïnstalleerd.

De Oplossing: Het Eenmalige Ticket
De auteurs van dit artikel zeggen: "Geen masterkeys meer!" In plaats daarvan stellen ze een systeem voor waarbij de chef helemaal geen sleutel vasthoudt. Hier is het nieuwe proces:

1. De Bestelling: Een chef (een ontwikkelaar) wil een nieuw gerecht bereiden (een container image bouwen). Ze sturen het recept naar een speciale, superveilige "Notary Machine" (de Transparency Service).
2. De Eenmalige Sleutel: De Notary Machine controleert de ID van de chef. Als ze toestemming hebben om te koken, maakt de machine direct een gloednieuwe, eenmalig bruikbare sleutel aan voor specifiek dit gerecht. De machine ondertekent het gerecht met deze sleutel en vernietigt de sleutel vervolgens onmiddellijk. Poef! Weg.
3. Het Openbare Dagboek: De Notary Machine schrijft een notitie in een groot, openbaar, onuitwisbaar dagboek (de Transparency Registry). De notitie zegt: "Om 14:00 uur ondertekende Chef Alice Gerecht #123 met Sleutel X." Het dagboek is als een blockchain of een openbaar grootboek; zodra een pagina is geschreven, kan deze niet worden uitgescheurd of gewijzigd.
4. Het Bewijs: De machine geeft de chef een bonnetje dat de handtekening, de naam van de chef en een "Proof of Inclusion" bevat. Dit bewijs is als een wiskundig bonnetje dat zegt: "Ja, ik kan bewijzen dat deze vermelding daadwerkelijk in het dagboek staat."

Het Controlepunt: De Beveiliger
Nu arriveert het gerecht bij het restaurant (de deployment site, zoals een cloudserver). De beveiliger (een policy engine) kijkt niet alleen naar de handtekening. Hij voert een driestapscontrole uit:

1. Is de zegel echt? Ze verifiëren of de handtekening overeenkomt met het gerecht.
2. Is de chef geautoriseerd? Ze controleren de naam van de chef tegen een lijst van geautoriseerd personeel.
3. Staat het in het dagboek? Dit is het magische deel. Ze nemen het "Proof of Inclusion" en controleren het openbare dagboek om er zeker van te zijn dat de gebeurtenis daadwerkelijk heeft plaatsgevonden. Als het gerecht niet in het dagboek staat, of als de dagboekvermelding niet overeenkomt met het gerecht, gooit de bewaker het eruit.

Waarom dit een Game-changer is
Het artikel laat zien dat dit systeem ongelooflijk moeilijk te breken is. Zelfs als een hacker het wachtwoord van een chef steelt en de Notary Machine probeert te misleiden om een vergiftigd gerecht te ondertekenen, heeft het systeem twee vangnetten:

• De Eenmalige Sleutel: Omdat de sleutel onmiddellijk wordt vernietigd, kan de hacker deze niet opnieuw gebruiken om meer vergiftigd voedsel te ondertekenen.
• Het Openbare Dagboek: Als een hacker erin slaagt een geldige handtekening te verkrijgen (bijvoorbeeld door de inloggegevens van een geautoriseerde chef te stelen), wordt de gebeurtenis vastgelegd in het openbare dagboek. Een "monitor" (zoals een waakhond) houdt het dagboek 24/7 in de gaten. Als het een verdachte vermelding ziet — zoals een chef die een gerecht ondertekent waar hij niet voor gemachtigd is — kan het de restaurant waarschuwen. Het restaurant kan vervolgens dat specifieke gerecht blokkeren voordat het de klanten bereikt. De snelheid van deze melding hangt echter af van hoe vaak de monitor het dagboek controleert; er is een vertraging tussen de ondertekeningsgebeurtenis en de detectie, die kan variëren van enkele minuten tot het volledige monitoringsinterval.

De Trade-off: Wachten tot de Inkt Droog is
Het artikel wijst ook op een klein nadeel. Omdat het openbare dagboek zo veilig is, kost het even tijd om een nieuwe vermelding te schrijven. In de echte wereld kan het ongeveer 12 minuten duren voordat een nieuwe vermelding in het dagboek verschijnt. Dit betekent dat er een klein venster is waarin een gerecht ondertekend kan zijn maar nog niet zichtbaar is in het dagboek. De auteurs suggereren dat restaurants een "afkoelperiode" kunnen instellen — een paar minuten wachten nadat de handtekening is gemaakt voordat ze het gerecht binnenlaten. Dit zorgt ervoor dat de dagboekvermelding solide is voordat het eten wordt geserveerd.

De Kernboodschap
Dit artikel suggereert niet alleen een theorie; ze hebben er een werkende versie van gebouwd en getest. Ze ontdekten dat ze, door eenmalige sleutels, openbare dagboeken en strikte regels te combineren, de meeste veelvoorkomende manieren waarop hackers proberen de software supply chain te vergiftigen, kunnen stoppen. Het is alsoals het veranderen van een digitale keuken in een fort waar elke maaltijd wordt bijgehouden, elke chef wordt geverifieerd en elke poging tot manipulatie wordt vastgelegd in een boek dat voor iedereen leesbaar is. Hoewel het een beetje extra complexiteit en een korte wachttijd toevoegt, is de gemoedsrust van het weten dat je digitale voedsel veilig is het waard.