Renforcer la sécurité de Linux de la compilation au déploiement ?
Envie de renforcer la sécurité des conteneurs Linux ? Rejoignez ce hackathon DevSecOps : analyse des ressources, réduction de surface d’attaque, Podman rootless, systemd, ELF, IMA et contrôle d’intégrité. Venez coder des outils concrets en C pour sécuriser build, déploiement et exécution.
Les images OCI peuvent embarquer des dépendances, fichiers et droits inutiles, augmentant la surface d’attaque. L’objectif est de réduire ces ressources au strict nécessaire et de sécuriser l’exécution avec Podman rootless et systemd.
Développer en C sous Linux :
- analyse-res-cc : analyse un projet C et génère `app.build.resources.toml` pendant sa compilation avec les ressources nécessaires à son exécution.
- analyse-res-elf : analyse un binaire ELF et génère `app.elf.resources.toml` avec ses ressources et dépendances.
- analyse-res-diff : compare `app.resources.toml` aux ressources détectées au build ou au link. Les ressources déclarées dans `resource.toml` doivent constituer un sous-ensemble des ressources effectivement requises.
- secure-launcher : vérifie avant exécution qu’un ELF correspond au paquet installé, avec deux contrôles complémentaires : Linux IMA et une vérification indépendante par le launcher. Il doit notamment détecter la substitution ou la surcharge de bibliothèques dynamiques.
- docker2podman / docker2res : convertit un fichier Docker Compose en configuration Podman/systemd et génère le fichier `resources.toml` correspondant.
But final : construire une chaîne permettant de connaître, déclarer, vérifier et limiter les ressources réellement nécessaires à une application Linux et idnentifier les limites de ces approches.