Раз и навсегда заблокировать безопасность контейнеров с помощью Edera на основе Rust

Один из главных кошмаров облачной безопасности - когда кто-то проникает через контейнерное время выполнения в его базовую операционную систему. С помощью таких атак, как Leaky Vessels, хакер может посеять хаос в ваших программах, уничтожить другие контейнерные приложения и предоставить злоумышленнику привилегии пользователя уровня root. Короче говоря, все кончено для вашей безопасности. Чтобы предотвратить такие атаки, компания Edera переводит старую программу на новый язык и создает безопасную для памяти среду выполнения контейнеров.

Написанная на языке Rust, Edera построена на базе классического гипервизора виртуальных машин с открытым исходным кодом первого типа, Xen. Этот гипервизор был выбран, как объяснила директор по инновациям Edera и сопровождающий Alpine Linux Ариадна Конилл, потому что, в отличие от KVM, который работает внутри ядра Linux, это специализированный гипервизор первого типа. Они по своей сути более безопасны, чем популярные гипервизоры второго типа.

Если вы технарь, вы можете подумать, что это правда, но разве гипервизоры обоих типов не связаны с виртуальными машинами (VM), а не с контейнерами? Это так, но команда Edera взяла дизайн гипервизора и перенесла его на контейнеры. Как сказала Эмили Лонг, генеральный директор Edera, "гипервизоры не переосмысливались уже почти два десятилетия и просто не работают в мире облачных вычислений". Разработчики Edera создают настоящий гипервизор XXI века.

Основой новой программы является Krata. Это однохостовый гипервизор на базе Xen, созданный для контейнеров, совместимых с Open Container Initiative (OCI). Он изолирует контейнеры с помощью полностью безопасной для памяти плоскости управления Rust, что позволяет перевести инструментарий Xen в новую, безопасную эру. Кроме того, Edera использует Lukko, библиотеку безопасности памяти с открытым исходным кодом. Эта библиотека обнаруживает нарушения безопасности памяти во время выполнения и аккуратно завершает программы до того, как они могут быть использованы.

Edera безопасна по своей сути. Это единственное независимое решение, обеспечивающее изоляцию на уровне контейнеров, что делает невозможным побег контейнеров, независимо от того, где вы используете свою инфраструктуру: в гипероблаке, локальном облаке или на собственных серверах.

Ключевые особенности Edera

Изоляция

• Гипервизор первого типа работает на пустом металле без общего состояния ядра между контейнерами.
• Усиленные гарантии безопасности без выхода контейнеров.
• Доверенные и недоверенные рабочие нагрузки работают в одном кластере с нулевым риском.

Безопасность памяти

• Кодирование на языке Rust обеспечивает полную безопасность памяти.
• Принцип наименьших полномочий ограничивает поверхность атаки.

Безопасное шифрование памяти

• Односторонняя передача данных между конфиденциальными контейнерами.
• Шифрование памяти между гостями, создающее высокозащищенные анклавы.

Кроме того, готовая версия Edera Protect будет включать набор дополнительных функций, таких как корпоративная плоскость управления, управление несколькими кластерами и устранение нарушений безопасности памяти. Эти функции будут дополнены совместимостью с Kubernetes из коробки и премиальными услугами поддержки.

В конечном итоге Edera также позволит клиентам развертывать в своих кластерах различные типы рабочих нагрузок вместо того, чтобы использовать разные кластеры для традиционной виртуализации и контейнеров. Кроме того, будет поддерживаться распространение образов традиционных ВМ таким же образом, как и контейнеров, что обеспечит более согласованный опыт разработчиков при работе как с контейнерами, так и с традиционными ВМ.

Команда основателей Edera, состоящая из Конилл, Лонга и Алекса Зенла, технического директора, полностью состоит из женщин. Это отклонение от привычных норм руководства технологическими брокерами. Их общий опыт охватывает инженерное руководство, безопасность программного обеспечения, инновации в продуктах и управление. У них общее видение построения более инклюзивного, расширяющего возможности и безопасного технологического будущего.

Для Edera настало подходящее время. Поскольку компании нуждаются в более безопасных контейнерах из-за растущей сложности оркестровки контейнеров и уязвимостей в системе безопасности Kubernetes, Edera предлагает подход, основанный на разработке безопасных решений, который решает эти проблемы. Действительно, уникальный подход компании, использующий возможности безопасности памяти Rust и современные технологии гипервизоров, может сделать многие существующие инструменты безопасности устаревшими, обеспечивая надежную изоляцию на уровне контейнеров.

Любой желающий может внести свой вклад в Krata уже сегодня, а первоначальный релиз Lukko намечен на 1 мая 2024 года. В ближайшее время основатели начнут первый раунд сбора средств и с нетерпением ждут начала этого процесса.

Мне не терпится увидеть, что они будут делать дальше. Это действительно новый, инновационный подход к безопасности контейнеров, и он вполне может стать переломным моментом в облачных вычислениях".