Unha devasa entre portos non é unha fronteira de host

O sitio web responde no 443, a VPN responde no 1194, a devasa permite exactamente eses dous e a revisión pasa. Nada nesa secuencia preguntou que pode ler o traballador web nin que ficheiros pode reescribir. Un traballador comprometido non precisa un porto aberto se pode chegar a un socket de control ou a un directorio de configuración escribible. A fronteira é a autoridade, e os oíntes son só a parte fácil de ver.

Un nome de servizo separado é unha etiqueta; unha identidade separada é unha propiedade de seguridade.

Conta a autoridade do traballador, non os portos

Comeza polo usuario de execución, os seus grupos, as súas capacidades e a súa vista do sistema de ficheiros. Unha conta de servizo que pertence por casualidade a un grupo de VPN pode ler material de claves sen ningún porto aberto. As montaxes escribibles son a outra metade: as cargas e as cachés deben quedar lonxe dos ficheiros de política e dos segredos, e un directorio compartido escribible innecesariamente estraga un nomeado ordenado. Comproba o proceso que realizaría a operación, porque un pai privilexiado e traballadores sen privilexios non comparten unha soa autoridade.

Que unha clave de VPN sexa lexible durante o arranque do demonio non significa que o traballador web a necesite. Separa a lectura que fai o demonio do acceso que se concede á aplicación.

Sockets que conceden máis do que parecen

Algúns puntos finais son API administrativas disfrazadas de fluxo de métricas. A interface de xestión da VPN pode cambiar sesións, desconectar clientes e ler o estado. O socket do tempo de execución de contedores é aínda máis amplo: o acceso a el é efectivamente control do host, moi por riba do que necesita unha aplicación web. Ningún dos dous pertence ao conxunto de montaxes dunha aplicación corrente, e ningún aparece cando contas os portos que escoitan.

Vincular un oínte de xestión a un enderezo local é un comezo, non unha restrición completa, porque cada ruta de entrada a ese enderezo segue importando. Permite só as fontes e interfaces previstas.

Os contedores comparten un núcleo

Os contedores engaden fronteiras de proceso, sistema de ficheiros e rede, e comparten un núcleo co host. Iso fai decisivas as eleccións de capacidades, as montaxes do host e o acceso ao demonio: montar segredos do host ou conceder control privilexiado do tempo de execución borra a fronteira que suxire a etiqueta do contedor. As VM separadas si dan núcleos convidados separados, mentres que o hipervisor, as identidades administrativas, o almacenamento e as copias de seguridade seguen compartidos. Escolle a fronteira cuxa configuración e actualizacións teñen un propietario con nome.

Un arranxo máis elaborado que ninguén mantén é peor que un simple que realmente se revisa.

Proba a denegación e despois o servizo

Usa comprobacións aprobadas no contexto real do traballador para confirmar que non pode modificar a política de VPN, ler segredos innecesarios nin tocar a interface de xestión. Unha lectura correcta como administrador non proba nada sobre esa denegación. Despois verifica o sitio web, unha operación de VPN corrente e permitida, e que ocorre con cada unha ao reiniciar. Conserva unha ruta de recuperación que non dependa de reparar a VPN, para que un erro siga sendo recuperable.

Ambos os dous papeis seguen compartindo CPU, memoria, capacidade de enlace ascendente e eventos de mantemento. Eses recursos compartidos pertencen ao plan mesmo cando a fronteira de autoridade está limpa.

Rexistra que pode facer cada proceso, que falla se se detén e que fronteira segue compartida. O reconto de portos non é ese rexistro.