Fiquei me perguntando sobre o nível de segurança dos segredos do Docker, pois eles são considerados seguros. Quando concedo a um serviço acesso a um segredo, como esperado, posso testemunhar um tempfs montado no caminho do contêiner ( /var/lib/docker/containers/<container ID>/mounts/secrets) no nó que hospeda a tarefa do serviço. Porém, consegui colocar o arquivo dentro desse caminho e ver o conteúdo do segredo.
Naquele ponto, eu estava me perguntando o que torna os segredos mais seguros do que as configurações. Que eu saiba, o fato de eles serem armazenados em discos RAM é a principal diferença entre eles e as configurações. Tanto as configurações quanto os segredos são criptografados dentro do raft, a única diferença é que as configurações são armazenadas em arquivos em discos enquanto montadas em contêineres, em oposição aos segredos que residem em discos RAM. Mas se eu puder visualizar o conteúdo dos segredos, isso realmente faz diferença?
Responder1
Infelizmente,estar seguronão é um termo fácil. Eu preferiria falar sobreavaliação de riscoeaceitação de risco. Tudo se resume a responder às perguntas, o quanto você é paranóico; que tipo de solução você afirma ser segura.
Por documentação,Nós temos:
Quando você adiciona um segredo ao enxame, o Docker envia o segredo ao gerenciador do enxame por meio de uma conexão TLS mútua. O segredo é armazenado no log do Raft, que é criptografado. Todo o log do Raft é replicado entre os outros gerenciadores, garantindo as mesmas garantias de alta disponibilidade para os segredos e para o restante dos dados de gerenciamento do enxame.
Disponibilidade de segredos.Por contêinerefemeridade. Você nunca sabe em que nó seu contêiner está instalado e funcionando e não deve se preocupar muito com isso. Dito isso, esses segredos devem estar disponíveis em todos os lugares onde o contêiner for executado.
Segredos na memória.Há uma espécie de artigo sobre como guardar segredos na memória,aqui. O problema é... se você não confia no seu sistema e no gerenciamento de memória, você terá um problema muito maior do que apenas a senha mantida na memória.
Diferença.
- Os segredos no arquivo geralmente são mantidos em texto simples.wp-configÉ muito melhor mantê-los criptografados persistentemente e não criptografados apenas na memória.
- Os segredos deveriam sergirado.
Dito isso, você pode conseguirquasemesma coisa, mantendo seu arquivo secreto criptografado comabressl, descriptografe-o e coloque o conteúdo não criptografado na memória. Tudo isso você faria manualmente.