Auf die Cloud bauen: Security Audit zur API-Toolchain SPIRE verfügbar

Inhaltsverzeichnis

Die Cloud Native Computing Foundation (CNCF) beauftragt seit einigen Jahren externe Sicherheits-Audits für die von ihr betreuten Projekte. Anfang 2021 hatte sie die Überprüfung der Laufzeitumgebung SPIRE in Auftrag gegeben, und die Ergebnisse liegen nun vor. Die API-Toolchain zum Aufbau von Vertrauen zwischen Softwaresystemen auf unterschiedlichen Hosting-Plattformen gilt dem Audit zufolge als "sicheres Projekt", das bereits mit Blick auf Sicherheit entwickelt wurde.

Nur kleinere Schwachstellen gefunden

SPIRE ist Teil des Projekts SPIFFE (Akronym für "Secure Production Identity Framework for Everyone"), einer Spezifikation für Workload-Identität. Ein von der CNCF beauftragtes Team (Cure53) hatte den Quellcode von SPIRE geprüft, einen Penetrationstest für den SPIRE-Einsatz durchgeführt und die Sicherheitsrisiken des gesamten Softwareprojekts neu eingeschätzt. Das damit betraute Team stellte laut Audit keine schwerwiegenden oder kritischen Sicherheitsmängel innerhalb des Projekts fest, fand jedoch offenbar eine Reihe kleinerer Schwachstellen und Implementierungsprobleme, deren Behebung es empfiehlt.

Die Problembehebung der wenigen gefundenen Schwachstellen stuft Cure53 als mäßig wichtig bis dringend ein, insbesondere zwei potenzielle Sicherheitslücken sind dem Team zufolge reparaturbedürftig. So ermöglicht die Pfadnormalisierung in der SPIFFE-ID offenbar eine Impersonation (Issue CVE-2021-27099), wofür die Prüfer mit mittlerer Dringlichkeit zur Behebung raten. Außerdem sei die Server-Impersonation durch eine Legacy-Node-API möglich – dies dürfte das gröbste gefundene Problem sein, und das Team legt eine möglichst rasche Reparatur nahe (Dringlichkeit als hoch eingestuft).

Prüfer bescheinigen SPIRE gut strukturierte, sichere Codebasis

Insgesamt konstatiert das Cure53-Team dem Projekt eine saubere, gut strukturierte und leicht verständliche Codebasis, zu der eine umfangreiche Dokumentation vorliege. Problematisch seien einige Schwachstellen wie veraltete Bibliotheken von Drittanbietern (hierzu mehr unter dem Eintrag SPI-01-005), auch die fehlende Validierung von Eingaben sehen die Prüfer kritisch (beispielsweise CVE-2021-27099). Die Gesamtqualität des Projekts beurteilen sie allerdings als ausgereift. Der SPIRE-Projektbetreuer Evan Gilman zeigt sich daher mit dem Prozess und Ergebnis des Audits auch sehr zufrieden. In einem Blogeintrag der Cloud Native Computing Foundation bezieht er Stellung zu dem Bericht und betont, dass das erhaltene Feedback für das Projekt wertvoll sei. Er zeigte sich erleichtert, dass der bisherige Ansatz von SPIRE trotz des schwierigen Aufgabenfeldes offenbar robust sei und kritischer Prüfung standhalte.

Den Blogeintrag gibt es auf der CNCF-Website zum Nachlesen. Wer sich für SPIRE interessiert, sollte einen Blick auf GitHub werfen: Architektur und Designziele sind dort beschrieben, und Einsteiger finden einen Quickstart-Guide für Kubernetes, Linux sowie MacOS.

Secure Production Identity Framework für alle(s)

SPIRE ist die Laufzeitumgebung zu SPIFFE (Secure Production Identity Framework for Everyone) und stellt eine API-Toolchain dar, mit der sich über zahlreiche unterschiedliche Hosting-Plattformen hinweg Vertrauen zwischen Softwaresystemen herstellen lässt. Das Mutter-Framework SPIFFE bietet dabei einen Standard, der Workload-Identität interoperabel umsetzt. Technisch legt SPIRE die SPIFFE-Workload-API offen, die die Aufgabe hat, laufende Systeme zu überprüfen und nach positivem Befund mit SPIFFE-IDs sowie SVIDs als "vertrauenswürdig" zu kennzeichnen.

Auf diese Weise können Workloads beispielsweise in der Cloud "Vertrauen zueinander" aufbauen, was unter anderem mittels mTLS-Verbindung oder durch das Signieren und Verifizieren eines JWT-Tokens vonstatten gehen kann. Zudem kann SPIRE es laut Projektbeschreibung Workloads auch ermöglichen, sich bei einem geheimen Speicher, einer Datenbank oder einem Cloud-Anbieterdienst sicher zu authentifizieren. Das SPIFFE-Konzept gilt seit 2018 als anwendungsreif und ist insbesondere im Umfeld von Microservices und der sogenannten "API-Economy" von Bedeutung.

(sih)