Finalmente c’è un modo per migliorare la sicurezza del Cloud Container Registry

Poiché gli attacchi alla catena di approvvigionamento del software sono emersi come una minaccia quotidiana, in cui i malintenzionati avvelenano una fase del processo di sviluppo o distribuzione, l’industria tecnologica ha ricevuto un campanello d’allarme sulla necessità di proteggere ogni anello della catena. Ma in realtà l’implementazione dei miglioramenti è impegnativa, in particolare per il vasto ecosistema di sviluppo cloud open source. Ora, la società di sicurezza Chainguard afferma di avere una soluzione più sicura per un componente onnipresente ma a lungo trascurato.

I “registri di container” sono una specie di app store o stanze di compensazione in cui gli sviluppatori caricano “immagini” di container cloud che contengono ciascuno un programma software diverso. I servizi cloud che usi ogni giorno navigano costantemente e silenziosamente nei registri dei container per accedere alle applicazioni, ma questi registri sono spesso scarsamente protetti con solo una password che può essere persa, rubata o indovinata. Ciò spesso significa che le persone che non dovrebbero avere accesso a una determinata immagine del contenitore possono scaricarla o, peggio ancora, possono caricare immagini nel registro che potrebbero essere dannose. Il nuovo registro delle immagini del contenitore di Chainguard mira a tappare questo buco esoterico ma pervasivo.

“Praticamente ogni cosa negativa possibile è accaduta con i registri dei container che puoi immaginare”, afferma Dan Lorenc, CEO di Chainguard e ricercatore di lunga data sulla sicurezza della catena di fornitura del software. “Persone che perdono password, persone che spingono malware di proposito, persone che dimenticano di aggiornare le cose. L’industria lo usa da molto tempo – tutti si sono divertiti a spedire il codice – e nessuno pensava alle conseguenze a lungo termine.

I ricercatori di Chainguard affermano di aver a lungo considerato lo sviluppo di un registro progettato in modo più ponderato, in particolare uno che elimini le password e utilizzi invece un approccio single sign-on per controllare l’accesso al registro. In questo modo, un registro può essere progettato per essere accessibile o bloccato secondo necessità e solo le persone che hanno effettuato l’accesso ad altri account, come servizi di identità aziendale o account Google, e quindi specificamente autorizzate possono interagire con il registro.

“I registri dei container sono stati un anello debole”, afferma Jason Hall, ingegnere del software di Chainguard. “Sono piuttosto noiosi, piuttosto standard. Questo è un software che fa affidamento sul software per fornire software. Dobbiamo fare di meglio e sbarazzarci delle password per parlare con il registro ed essere in grado di inviare al registro.

La grande limitazione nell’implementazione di un sistema come questo, tuttavia, è stata il costo. L’esecuzione di un registro contenitori in genere diventa molto costosa a causa delle “tasse di uscita”. In altre parole, i fornitori di servizi cloud non addebitano ai clienti aziendali il caricamento dei dati nel cloud, ma li addebitano ogni volta che qualcuno scarica i dati. Quindi, se i registri dei container sono come un app store in cui tutti vengono a scaricare le immagini dei container, le tariffe di uscita possono diventare molto alte, molto velocemente. Questo ha disincentivato il lavoro sulla revisione della sicurezza dei registri dei container, perché nessuno voleva assumersi il costo associato all’offerta di un’alternativa più sicura.