Muchos administradores desactivan seccomp en su plataforma de contenedorización en una transacción con facilidad de uso / aplicación.
Sin embargo, la desactivación de una configuración de seguridad tan básica que está tan ligada al sandboxing está, hasta cierto punto, anulando el propósito de la contenedorización. Desde el punto de vista de seguridad / estabilidad, I consideraría conveniente mantener la lista negra de la mayoría de las llamadas al sistema cuando se ejecutan los contenedores LXC / Docker en servidores (según lo configurado por LXC por defecto en /usr/share/lxc/config/common.seccomp ) :
2
blacklist
[all]
kexec_load errno 1
open_by_handle_at errno 1
init_module errno 1
finit_module errno 1
delete_module errno 1
Preguntas
No 'carga de reglas de compcomp para el rendimiento de los contenedores LXC:
- significativo * ¿problemas de seguridad?
- ¿Algún otro problema técnico (aplicación o estabilidad)?
* Pregunta de bonificación: ¿Cuáles serían los riesgos al asumir que uno es el único que utiliza el sistema "madre" y sus contenedores LXC (por ejemplo, en un laboratorio de pruebas experimentales, donde puede ser menos evidente tener múltiples usuarios, pero en contenedores) ¿Todavía ofrece muchos beneficios, como la fácil creación de instantáneas / clonación de entornos experimentales)?