Docker 安全：镜像签名与运行时保护

Docker 安全的核心在于确保镜像来源可信（镜像签名）和运行时环境安全（运行时保护）。以下是详细解析：

---

1. 镜像签名

镜像签名通过数字证书验证镜像的完整性和发布者身份，防止篡改或恶意注入。
实现方式：

• Docker Content Trust (DCT)
  启用后强制验证镜像签名：

  export DOCKER_CONTENT_TRUST=1  # 启用DCT
  docker pull nginx:latest       # 仅拉取已签名镜像
  

• Notary 工具链
  使用 notary 命令管理签名密钥：

  notary init example.com/image  # 初始化镜像仓库
  notary sign example.com/image:tag  # 签名镜像
  

关键优势：

• 验证发布者身份（通过 $ \text{公钥} $ 匹配）
• 确保镜像未被篡改（哈希值 $ H(\text{镜像}) $ 一致性）

---

2. 运行时保护

在容器运行期间限制权限和资源访问，减少攻击面。
核心技术：

• 安全配置文件
  • AppArmor：限制文件/网络访问

    docker run --security-opt "apparmor=profile-name" nginx
    

  • Seccomp：过滤系统调用

    docker run --security-opt seccomp=/path/to/profile.json nginx
    

• 权限控制
  • 避免特权模式：--privileged
  • 降权运行：--user 1000（非root用户）
• 资源隔离
  • 内核命名空间（$ \text{pid, net, ipc} $）
  • Cgroups 限制资源（CPU/内存）：

    docker run --cpus=2 --memory=1g nginx
    

保护效果：

• 容器逃逸风险降低（如 $ \text{系统调用拦截率} \geq 90\% $）
• 横向移动攻击受阻（网络隔离）

---

最佳实践

1. 镜像层面
   • 仅使用签名镜像（DCT 强制启用）
   • 扫描漏洞：docker scan nginx
2. 运行时层面
   • 最小权限原则（禁用 --privileged）
   • 定期更新安全配置文件
3. 监控
   • 审计日志：docker events --filter 'event=create'
   • 运行时检测工具（Falco、Sysdig）

通过签名与运行时防护的叠加，实现纵深防御：
$$ \text{安全强度} = \alpha \cdot \text{签名} + \beta \cdot \text{运行时隔离} \quad (\alpha, \beta > 0) $$