Anfang Dezember gab der Google Senior Staff Engineer Jordan Liggitt von Kubernetes bekannt, dass Kubernetes CVE-2018-1002105 eine große Sicherheitslücke im Code hat, die den Software-Container verwundbar macht und Zugang zu seinen API-Servern, der wichtigsten Verwaltungseinheit in Kubernetes, ermöglicht.
Wir haben mit unserem Produktdirektor Dr. Kenneth Tan über dieses Thema gesprochen, um den Ernst der Lage besser zu verstehen und zu erfahren, was zu tun ist, um Ihr Unternehmen zu retten.
Q1. Welche Geschäftsrisiken birgt diese Sicherheitslücke?
A1: Leider betrifft die Schwachstelle alle auf Kubernetes basierenden Produkte und Dienste, insbesondere weil sie Hackern die volle administrative Kontrolle gibt, die nicht leicht entdeckt werden kann. Laut Jordan Liggitt tauchen die Anfragen der Hacker nicht in den Audit-Protokollen des Kubernetes-API-Servers oder im Serverprotokoll auf.
Q2. Gibt es realistische Methoden zur Sicherung des Open-Source-Container-Orchestrierungssystems?
A2: Die großen Anbieter auf dem Markt haben bereits Patches für ihre Kubernetes-basierten Produkte herausgegeben. Sardina Systems ist jedoch der Meinung, dass die Betreiber einen Schritt weiter gehen sollten, um Kubernetes innerhalb der VMs zu platzieren, die innerhalb einer OpenStack-Umgebung verwaltet werden können.
Mit OpenStack Magnum ermöglicht FishOS Betreibern in Unternehmen die einfache Bereitstellung von mehrfach gemieteten Kubernetes-Umgebungen mit bewährten Sicherheitsgarantien.
Durch den Betrieb von Kubernetes-Clustern innerhalb von VMs profitieren Sie von einer starken Sicherheitstrennung der VMs sowie von der Zuverlässigkeit und Ausfallsicherheit, die VMs bieten. Diese Vorteile in Bezug auf Sicherheit, Zuverlässigkeit und Ausfallsicherheit werden durch den KVM-Overhead erkauft, der in der Regel etwa 4 % der maximalen Systemleistung ausmacht. Sind 4 % ein zu hoher Preis, um ihn zu zahlen?
Q3. Was ist Sardina FishOS? Wie lange dauert es, FishOS einzusetzen und von einer anderen Lösung zu FishOS zu wechseln?
A3: FishOS bietet Betreibern eine OpenStack- und Kubernetes-Cloud-Plattform mit Automatisierungsfunktionen für jede Phase des Systemlebenszyklus – Bereitstellungs-, Betriebs- und Upgrade-Phasen.
Der Einsatz von FishOS würde nur „zwei Tassen Kaffee“ Zeit in Anspruch nehmen. Das gesamte System wird mit dem FishOS Deployer auf Bare Metal bereitgestellt, so dass ein breites Publikum von Betreibern in der Lage ist, FishOS OpenStack-Plattformen sicher zu implementieren, zu betreiben und zu aktualisieren, ohne dass ein tiefgreifendes Verständnis von Kubernetes vorausgesetzt wird, während die Trennung von Berechtigungen dort beibehalten wird, wo es darauf ankommt – auf der Ebene der Servicekunden.
FishOS Deployer bietet eine Lösung für die einfache Migration von OpenStack-Verwaltungsdiensten von einem Knoten zu einem anderen oder für ein flexibles Upgrade oder Downgrade von Softwarepaketen.
Der Übergang zu FishOS ist recht einfach. Sobald der Unterschied zwischen der bisherigen Lösung und der FishOS Solution Architecture festgestellt wurde, kann die Umstellung mit dem FishOS Deployer innerhalb eines Nachmittags durchgeführt werden.