Docker 容器隔离关键技术：Seccomp

Docker 容器隔离关键技术：Seccomp

在 Docker 容器中，Seccomp（Secure Computing Mode） 是一种内核安全机制，用来限制容器内的程序可以调用哪些系统调用（Syscalls）。通过列清单的方式，Seccomp 可以指定哪些系统调用被允许、被拒绝或需要特殊处理，从而增强容器的安全性。

---

什么是 Seccomp？

通俗比喻

想象你是一个公司安全管理员（宿主机），容器里的程序就像员工，而系统调用（Syscalls）就是员工用来操作外界资源的方式，比如：

• 打电话订货（文件操作）。
• 打电话开账户（网络操作）。
• 打电话调整公司系统（高权限操作）。

Seccomp 就是员工的“电话管理系统”：

• 只允许员工打某些“安全电话”（系统调用）。
• 拒绝任何“高风险电话”（例如直接改系统配置）。
• 如果电话违规，直接挂断或报警。

---

Seccomp 的作用

1. 限制系统调用范围：Seccomp 通过列清单（白名单或黑名单）的方式，限制程序只能调用经过允许的系统调用。
2. 增强容器安全性：减少恶意程序通过高风险系统调用（如 ptrace 或 mount）攻击宿主机。
3. 减少攻击面：系统调用是与内核交互的关键接口，限制调用种类可以降低被攻击的可能性。

---

Seccomp 与 Capabilities 的关系

1. 核心区别：

   • Seccomp 限制的是容器内进程调用的“系统调用”（Syscalls）。
   • Capabilities 限制的是容器的“权限”（如挂载、修改文件权限）。

   比喻：

   • Capabilities 是限制“容器能不能开某扇门”（权限）。
   • Seccomp 是限制“容器能不能用某种工具”（系统调用）。

2. 互相配合：

   • Capabilities 可以禁用容器的高权限操作（如 CAP_SYS_ADMIN 禁用挂载权限）。
   • Seccomp 则进一步限制具体的系统调用，即使拥有 CAP_SYS_ADMIN 权限，也可以通过禁止 mount 调用来加强安全。

---

Seccomp 在 Docker 中的使用

1. 默认 Seccomp 策略

Docker 默认启用了一个标准的 Seccomp 策略文件（default.json），其特点是：

• 允许常用系统调用：如 read、write、open。
• 禁止高风险系统调用：如 keyctl（管理内核密钥）、create_module（加载内核模块）、delete_module（卸载内核模块）。
• 限制进程相关调用：如 ptrace（调试进程）。

这种默认策略适合大多数容器任务，同时保证了安全性和功能性之间的平衡。

2. 自定义 Seccomp 策略

如果默认策略无法满足需求（如更严格的限制），可以使用自定义策略文件，以 JSON 格式定义：

{"defaultAction": "SCMP_ACT_ERRNO","syscalls": [{"names": ["read", "write", "exit", "sigreturn"],"action": "SCMP_ACT_ALLOW"},{"names": ["ptrace", "kexec_load"],"action": "SCMP_ACT_ERRNO"}]
}

• SCMP_ACT_ALLOW：允许调用。
• SCMP_ACT_ERRNO：拒绝调用并返回错误。

运行容器时加载自定义策略：

docker run --security-opt seccomp=/path/to/custom-seccomp.json -it ubuntu

3. 禁用 Seccomp

某些情况下可能需要完全禁用 Seccomp（如调试容器）：

docker run --security-opt seccomp=unconfined -it ubuntu

---

特权容器无法配置 Seccomp

什么是特权容器？

特权容器（Privileged Container）是 Docker 中一种特殊模式，启动时通过 --privileged 参数开启：

docker run --privileged -it ubuntu

特性：

• 拥有几乎所有的系统权限（类似于直接运行在宿主机上）。
• 访问宿主机的所有设备（如 /dev）。
• 默认禁用 Seccomp、AppArmor 等安全机制。

为什么特权容器无法配置 Seccomp？

特权容器的权限设计初衷是为了绕过所有安全限制，因此它会自动禁用 Seccomp。即使尝试配置自定义 Seccomp 策略，也会被忽略。

安全风险

由于特权容器拥有宿主机级别的权限，攻击者可以轻易利用容器中的漏洞获取宿主机的控制权。建议仅在测试或特定需求场景中使用特权容器。

---

Seccomp 常见系统调用限制

系统调用	作用	默认策略	安全建议
read	读取文件或输入数据	允许	通常是安全的
write	写入文件或输出数据	允许	通常是安全的
mount	挂载文件系统	禁止	高风险，应禁用
umount	卸载文件系统	禁止	高风险，应禁用
ptrace	调试其他进程	禁止	高风险，应禁用
clone	克隆当前进程	限制	根据任务需求谨慎允许
keyctl	管理内核密钥	禁止	极高风险，应禁用
create_module	加载内核模块	禁止	极高风险，应禁用

---

Seccomp 的优点

1. 减少攻击面：
   • 限制系统调用的种类，减少攻击者的利用路径。
2. 增强隔离性：
   • 即使容器被攻破，Seccomp 限制可以防止恶意程序滥用关键系统调用。
3. 灵活性：
   • 支持自定义策略，满足不同场景需求。

---

Seccomp 的局限性

1. 特权容器无法使用：
   • 特权容器（--privileged）直接绕过 Seccomp，无法配置任何策略。
2. 需要配置策略：
   • 默认策略可能无法满足所有场景，自定义策略需要理解系统调用。
3. 依赖内核版本：
   • Seccomp 是内核功能，某些旧版本内核可能不支持。

---

Seccomp 与 Capabilities 的对比

特性	Seccomp	Capabilities
作用	限制系统调用（Syscalls）。	限制操作权限（Privileges）。
粒度	细粒度控制，指定允许或禁止的系统调用。	中粒度控制，按权限分配任务能力。
示例	禁止 ptrace 调试其他进程。	禁止 CAP_SYS_ADMIN 系统管理权限。
配合场景	禁止高风险的系统调用。	限制容器的高权限操作。

---

总结

Seccomp 是 Docker 容器的一项重要安全技术。它通过限制系统调用的范围，减少攻击面，提升容器的隔离性。尽管默认启用了标准策略，但 Seccomp 可以根据需求进行自定义，进一步加强容器的安全性。

重要注意：特权容器（--privileged）默认禁用 Seccomp。由于特权容器本质上绕过了所有安全限制，使用时需极其谨慎。