Publikation von Christoph Puppe
Container-Sicherheit: Entwurf des BSI-Bausteins für das Grundschutz-Kompendium
Behörden und Firmen in Deutschland setzen Container strategisch ein, weshalb das BSI den Entwurf eines Bausteins für das Grundschutz-Kompendium veröffentlicht hat, den Nutzer kommentieren können, bevor er für Zertifizierungen relevant wird. Wie alle Bausteine seit August 2017 gliedert er sich in Basis, Standard und Erhöht, dazu gehört die Kreuzreferenztabelle zu den 47 elementaren Risiken. Im Prinzip sind Container nur chroot-Umgebungen oder Jails; der Vergleich mit der Java-Sandbox hinkt etwas, ist aber absichtlich gewählt, denn besonders diese Sandbox war eher ein Sieb. Die Basis der Absicherung bilden die Container-Hosts, weshalb immer die Server-Bausteine gelten, ergänzt um „SYS.1.6.A3 Härtung des Host-Systems" und „SYS.1.6.A4 Härtung der Software im Container". An der angemessenen Separierung scheiden sich die Geister: Spätestens seit Rowhammer, Meltdown und Spectre sollte jedem klar sein, dass geteilte Hardware ein Risiko birgt, weshalb die Planungsanforderungen die Entscheidung an den Schutzbedarf binden und der Baustein klarstellt, dass Container Virtualisierung und physische Trennung nicht ersetzen. Weitere Anforderungen regeln sichere Images, administrativen Fernzugriff, die Ausführung ohne privilegierten Account und die Speicherung von Zugangsdaten, denn noch immer werden täglich Anwendungen gehackt, weil Passwörter mit dem Code auf GitHub landen. Das Fazit: Der Draft gibt einen belastbaren Ausblick auf den künftig zertifizierungsrelevanten Baustein, ist aber noch nicht bindend. Der Autor hat den Baustein initiiert und am Entwurf maßgeblich mitgewirkt.
heise online · iX 7/2018 · PDF · Permalink