Sécuriser la chaîne d’approvisionnement et les secrets

Une image de conteneur est construite à partir d'images de base, de paquets OS et de dépendances applicatives, puis envoyée via un registre dans le cluster. Chaque étape est une occasion de compromission. Les attaques contre la chaîne d'approvisionnement insèrent du code malveillant avant même qu'il n'atteigne la production.

• Images de base ou dépendances compromises.
• Images altérées dans le registre.
• Étapes malveillantes de la chaîne CI/CD.

Les images contiennent souvent des paquets présentant des vulnérabilités connues. L'analyse permet de les détecter avant le déploiement.

• Les anciennes images de base accumulent des CVE.
• Les images volumineuses élargissent la surface d'attaque.
• Les secrets intégrés dans les couches des images divulguent des identifiants.

Réduisez la surface d'attaque en commençant par une base minimale et fiable.

• Utilisez des images de base distroless ou minimales (sans interpréteur de commandes ni gestionnaire de paquets).
• Figez les images de base à l'aide de leur condensat, plutôt que de balises flottantes.
• Privilégiez les bases officielles ou contrôlées en interne.

Une image plus petite signifie moins de CVE et moins d'outils qu'un attaquant pourrait détourner après une compromission.

La signature prouve qu'une image provient de votre chaîne CI/CD et n'a pas été altérée. La provenance (SLSA) retrace la manière dont elle a été construite.

• Cosign signe et vérifie les images.
• Générez un SBOM pour suivre chaque composant.
• Ajoutez des attestations de provenance de la construction.

Faites en sorte que seules des images signées et analysées puissent être exécutées. Un contrôleur d'admission rejette les images non signées ou vulnérables au moment du déploiement.

Le système CI/CD lui-même est une cible de grande valeur : il contient des identifiants et peut envoyer des artefacts en production.

• Limitez la portée des identifiants de la chaîne CI/CD selon le principe du moindre privilège et réduisez leur durée de validité.
• Figez et vérifiez les actions et greffons CI tiers.
• Isolez les exécutants de compilation ; ne les réutilisez pas entre différents niveaux de confiance.
• Protégez le registre par une authentification et l'immuabilité.

Par défaut, les secrets Kubernetes sont encodés en base64 et non chiffrés. Toute personne pouvant les lire, ou pouvant lire etcd, voit le texte en clair.

Protégez le contenu d'etcd afin qu'une sauvegarde volée ou un accès à etcd ne divulgue pas toutes les données.

• Activez le chiffrement au repos avec une EncryptionConfiguration.
• Appuyez-vous sur un fournisseur KMS cloud pour le chiffrement par enveloppe.
• Limitez et auditez l'accès direct à etcd.

Le modèle le plus sûr consiste à conserver entièrement les secrets hors du magasin du cluster.

• HashiCorp Vault ou des gestionnaires de secrets cloud détiennent la source de référence.
• L'External Secrets Operator ou le pilote CSI les injecte à l'exécution.
• Utilisez une identité de charge de travail afin que les pods récupèrent les secrets au moyen de jetons cloud à courte durée de vie, et non de clés statiques.

Les pratiques opérationnelles réduisent l'exposition des secrets.

• N'intégrez jamais de secrets dans les images et ne les validez jamais dans Git.
• Analysez les dépôts et les images à la recherche d'identifiants divulgués.
• Renouvelez régulièrement les secrets et dès qu'une exposition est soupçonnée.
• Limitez RBAC get/list secrets au strict minimum.

Lors de l'évaluation, vérifiez que les images non signées ou vulnérables sont effectivement bloquées, que les secrets sont chiffrés au repos et qu'aucun identifiant en clair ne se trouve dans les images ou dans Git. Présentez les résultats sans exfiltrer de vrais secrets au-delà de ce qui est nécessaire pour la preuve.

Signalez chaque lacune avec le contrôle concret qui la comble (politique de signature, chiffrement KMS, gestionnaire externe).

Vous avez renforcé la chaîne d'approvisionnement des images et la gestion des secrets.

• Analysez les images, utilisez des bases minimales figées et signez avec Cosign.
• Imposez les images signées et analysées ainsi que les registres fiables lors de l'admission.
• Les secrets Kubernetes sont uniquement encodés en base64 ; activez le chiffrement KMS au repos.
• Privilégiez les gestionnaires de secrets externes et l'identité de charge de travail ; appliquez de bonnes pratiques de gestion des secrets.

Ce cours sur la sécurité de Kubernetes et cette série de leçons sont maintenant terminés.