Bei der Datenübertragung zwischen vernetzten Systemen ist Vertrauen ein zentrales Anliegen.
Insbesondere bei der Kommunikation über ein nicht vertrauenswürdiges Medium wie das Internet ist es von entscheidender Bedeutung, die Integrität und den Herausgeber aller Daten zu gewährleisten, mit denen ein System arbeitet.
Sie verwenden die Docker-Engine, um Images (Daten) per Push und Pull in eine öffentliche oder private Registrierung zu pullen.
Die Inhaltsvertrauenswürdigkeit gibt Ihnen die Möglichkeit, sowohl die Integrität als auch den Herausgeber aller Daten zu überprüfen, die von einer Registrierung über einen beliebigen Kanal empfangen wurden.

Docker Content Trust ist eine Funktion in der Docker-Containerisierungsplattform, mit der Remoteregistrierungsinhalte digital signiert werden können, um sicherzustellen, dass der Inhalt unverändert ist und die aktuellste verfügbare Version ist, wenn Benutzer darauf zugreifen.
Es funktioniert über kryptografische Schlüssel.
Docker Content Trust wurde in der Docker Engine mit Version 1.8 eingeführt.
Docker Content Trust fügt Sicherheitskontrollen hinzu, die die Integrität von Containerimages – den Containerdateien, die Anwendungskomponenten und Inhalte enthalten – überprüfen, die in einer Registrierung wie Docker Hub gespeichert sind.
Unternehmensentwickler und andere Benutzer können Containerimages per Push oder Pull (Hochladen oder Herunterladen) in eine Registrierung übertragen.
Docker Content Trust adressiert zwei Probleme mit Registrierungen.
Benutzer können ein Container-Image hochladen, das mit Malware infiltriert ist, und die Benutzer, die von diesem Remote-Repository aus darauf zugreifen, können seine Integrität nicht bestimmen.
Und zweitens können Benutzer veraltete Container in eine Registry aufnehmen, was zu Interoperabilitäts-, Kompatibilitäts- oder Performance-Problemen für das Unternehmen führt.
Im Docker-Jargon ist ein Repository eine Sammlung von Containerimages mit demselben Namen, die sich durch Tags unterscheiden und in der Registrierung abgelegt werden.
Wenn ein Herausgeber ein Containerimage in eine Remoteregistrierung pusht, wendet Docker-Engine eine kryptografische Signatur auf das Containerimage an, wobei der kryptografische Schlüssel des Herausgebers verwendet wird.
Das signierte Image kann von Benutzern aus der Registrierung abgerufen werden, wobei Docker Engine den öffentlichen Schlüssel des ursprünglichen Herausgebers verwendet, um zu überprüfen, ob es sich um denselben handelt.
Diese Schlüsselprüfung überprüft lediglich, ob es sich bei dem Bild um die Originaldatei handelt, die unverändert ist.
Docker Content Trust zertifiziert nicht die Eignung oder Leistung eines Containers für eine bestimmte Aufgabe.
Es ist möglich, ein verifiziertes Containerimage zu pullen, nur damit dieser Container Fehler generiert oder eine schlechte Leistung erbringt, weil er nicht produktionsbereit ist.
Ein Benutzer kann weiterhin ein bösartiges Containerimage hochladen, und Docker Content Trust signiert das Image.
Benutzer öffentlicher Registrierungen und Repositorys tragen weiterhin die Verantwortung, ein Containerimage zu testen und zu überprüfen.

DCT-Komponenten

Sicherheitsvorteile von Docker Content Trust

Das Verifizierungssystem schützt vor Man-in-the-Middle-Angriffen, da es verhindert, dass ein Angreifer heimlich Inhalte fälscht oder manipuliert.
DCT verhindert auch Replay-Angriffe, bei denen gültige Aktionen von Angreifern kopiert und wiedergegeben werden, um ein System zu täuschen.
DCT-Zeitstempel verhindern beispielsweise, dass Angreifer ältere (in der Regel kompromittierte) Bilder weitergeben, die als die neuesten Bilder ausgegeben werden.
Das TUF-Framework und die Verwendung mehrerer Schlüssel ermöglichen es DCT, das System vor der Kompromittierung von Tagging-Schlüsseln zu schützen und es den Publishern zu ermöglichen, Tagging-Schlüssel bei Bedarf zu ändern, ohne die Benutzer zu stören.
Docker hat die Funktion “Content Trust” so konzipiert, dass sie für Entwickler, die Bilder hochladen, und die Personen, die diese Inhalte verwenden, unauffällig ist.
Inhaltsherausgeber müssen keine neuen Befehle erlernen oder Workflows ändern, aber sie müssen Schlüssel erstellen und verwalten.
Benutzer sind vollständig vom Digital Signage-System isoliert und können die gleichen Push-, Pull-, Build-, Run- und anderen Befehle verwenden, wie sie es ohne Docker Content Trust tun würden.

Überprüfen Sie die Signatur des Simplifier-Bildes

Um das Image zu überprüfen, können Sie den folgenden Befehl ausführen

docker trust inspect --pretty simplifierag/runtime:6.5

Wenn es sich bei dem Docker-Image um eines der ursprünglichen Simplifier-Images handelt, erhalten Sie die folgende Ausgabe UNTERZEICHNER-SCHLÜSSEL

simplifier 30aa71c9ab2a

Repository Key: 7a50f4ba027a885a670160d307f02bee85085bffa104c1b200a8d2753d3fd7db

Root Key: 412960d3c77b40d688b37a57acd6a683cf30c5afe0b510f89d10005aafbf20bf