【云安全】云原生- K8S kubeconfig 文件泄露

什么是 kubeconfig 文件？

kubeconfig 文件是 Kubernetes 的配置文件，用于存儲集群的訪問憑證、API Server 的地址和認證信息，允許用戶和 kubectl 等工具與 Kubernetes 集群進行交互。它通常包含多個集群的配置，支持通過上下文（context）切換不同的集群、用戶和命名空間。kubeconfig 文件的典型路徑是 ~/.kube/config，但也可以通過 KUBECONFIG 環境變量指定其他路徑。

組成部分

  • clusters: 存儲 Kubernetes 集群的信息，包括集群的 API 服務器地址和 CA 證書。
  • users: 存儲與集群進行交互的用戶信息，包括認證憑證（如用戶名、密碼、Bearer token 或證書）。
  • contexts: 定義了一個上下文，關聯了特定的集群、用戶和命名空間，用戶通過上下文來決定連接哪個集群。
  • current-context: 指定當前使用的上下文。

泄露風險

如果 kubeconfig 文件被泄露，攻擊者可以使用其中的信息訪問 Kubernetes 集群。具體風險包括：

  • 非法訪問集群：攻擊者可以用泄露的 kubeconfig 文件直接連接到集群，執行任意操作，甚至獲取敏感數據。
  • 數據泄露：集群中可能存儲了大量敏感數據（如私密配置、數據庫憑證等），攻擊者一旦訪問成功，可能會竊取數據。
  • 權限濫用：如果文件中包含管理員權限，攻擊者可以完全控制集群，修改配置，甚至刪除資源。

常見的泄露途徑

1. 版本控制系統（VCS）

  • 錯誤提交：開發人員不小心將 kubeconfig 文件提交到 GitHub、GitLab 或其他公共代碼庫。
  • 未配置 .gitignore：如果沒有正確設置 .gitignore 文件，kubeconfig 文件可能會被誤提交到版本控制系統，導致泄露。
  • 歷史記錄泄露：即使文件已刪除或更改，如果歷史提交記錄中包含了該文件，它仍然可以通過版本控制系統恢復。

2. 不當的文件權限

  • 操作系統權限配置不當：如果 kubeconfig 文件的權限過于寬松（如 777），非授權用戶或程序也可以訪問該文件。
  • 誤共享文件：將 kubeconfig 文件存儲在共享文件夾或公共目錄中，導致文件被其他用戶訪問。

3. 開發環境泄露

  • 不安全的開發機器：如果開發人員在未加密的本地計算機上存儲 kubeconfig 文件且機器遭到入侵，攻擊者可以獲取該文件。
  • 共享開發環境：如果開發環境被多個開發人員共享，并且沒有進行嚴格的訪問控制，kubeconfig 文件也可能被其他人訪問。

4. 云平臺配置錯誤

  • 不當的 IAM 配置：如果將 Kubernetes 集群的憑證（如 token 或證書）存儲在云提供商的存儲中（例如 AWS S3、Google Cloud Storage），并且存儲桶或對象沒有正確的訪問控制策略，可能導致憑證被泄露。
  • 錯誤配置的 API 訪問：如果云平臺上設置的 Kubernetes 訪問控制策略不嚴格，惡意用戶可能通過漏洞獲得憑證。

5. 容器鏡像

  • 憑證硬編碼在鏡像中：某些開發人員可能會將憑證硬編碼到應用程序中或將 kubeconfig 文件放入容器鏡像中，從而使憑證在鏡像被拉取時泄露。
  • 容器共享：在多個容器之間不當共享 Kubernetes 憑證可能會導致泄露。

6. 日志文件泄露

  • 錯誤的日志記錄：應用程序或集群的日志文件中可能意外記錄了 kubeconfig 文件的內容或認證信息（如 token、證書等）。
  • 日志文件權限不足：如果日志文件的權限過于寬松，攻擊者可能從日志文件中提取出憑證信息。

7. 社交工程與釣魚攻擊

  • 釣魚郵件：攻擊者通過釣魚郵件或社交工程手段，誘使用戶將 kubeconfig 文件上傳到不安全的地方或通過不安全的方式發送。
  • 假冒網站：攻擊者可能創建假冒的 Kubernetes 登錄頁面或API接口，誘使用戶上傳 kubeconfig 文件，進而竊取憑證。

8. 不當的文件備份和遷移

  • 備份未加密：如果 kubeconfig 文件被備份但沒有進行加密，備份文件可能成為泄露途徑。
  • 無安全傳輸：在遷移或傳輸 kubeconfig 文件時，使用不安全的方式（如 FTP 或未加密的 HTTP）可能導致文件在傳輸過程中被竊取。

9. 惡意軟件與病毒

  • 木馬或惡意軟件：攻擊者可能通過惡意軟件或病毒竊取本地文件，包括 kubeconfig 文件。這些惡意軟件可能會掃描本地文件系統并自動上傳敏感文件。
  • 鍵盤記錄器：如果計算機感染了鍵盤記錄器，攻擊者可以捕捉到用戶輸入的憑證。

10. 不當的第三方工具或插件

  • 不信任的工具：一些第三方工具、插件或應用程序可能會不安全地處理或存儲 Kubernetes 憑證。如果這些工具存在漏洞或不安全的設計，它們可能會導致 kubeconfig 文件的泄露。
  • 公開共享的 API：通過某些 API 或工具訪問 Kubernetes 集群時，如果沒有加密傳輸或者 API 配置不當，可能導致憑證泄露。

11. 共享或過期的憑證

  • 與他人共享憑證：如果管理員或開發人員將 kubeconfig 文件共享給他人，但沒有撤銷過期或不再使用的憑證，也可能導致憑證泄露。
  • 公共訪問控制：某些情況下，kubeconfig 文件可能與其他用戶共享或傳遞，而沒有采取適當的訪問控制。

利用方式

攻擊者獲取到config文件后，如何利用？

1. kubectl 官方客戶端連接工具?

安裝工具 | Kubernetes

我這里使用scoop安裝kubectl工具

?

#獲取node信息
kubectl -s https://192.168.48.142:6443 --kubeconfig=config --insecure-skip-tls-verify get node#獲取pod信息
kubectl -s https://192.168.48.142:6443 --kubeconfig=config --insecure-skip-tls-verify get pod#創建惡意pod
kubectl -s https://192.168.48.142:6443 --kubeconfig=config --insecure-skip-tls-verify create -f 1.yaml

2. dashboard 登錄

使用Kubeconfig方式進行登錄，選擇獲取到的config文件

登錄成功，創建惡意pod

如何防范

為了防止 Kubernetes kubeconfig 文件泄露，需要采取一系列的安全措施來保護該文件及其內容。以下是一些有效的防護措施：

1. 限制文件訪問權限

文件權限設置：確保 kubeconfig 文件只能由授權用戶訪問，使用操作系統的文件權限控制功能，限制文件的讀寫權限。

設置文件權限為 600（僅允許文件所有者讀寫）：

chmod 600 ~/.kube/config

目錄權限：確保 .kube 目錄的權限足夠嚴格，防止其他用戶查看文件：

chmod 700 ~/.kube

2. 避免加入版本控制系統

使用 .gitignore：確保 kubeconfig 文件和其他敏感配置文件不被意外提交到 Git 倉庫。將 .kube/ 目錄添加到 .gitignore 文件中，防止泄露：

echo ".kube/" >> .gitignore

3. 使用環境變量指定路徑

限制文件位置：通過設置 KUBECONFIG 環境變量指定 kubeconfig 文件的路徑，這樣可以將敏感配置文件存放在更安全的位置，而不是默認的 ~/.kube/config。

export KUBECONFIG=/path/to/secure/config

限制環境變量訪問：確保只有授權的進程和用戶能夠訪問 KUBECONFIG 環境變量。避免通過共享的環境或配置文件暴露該變量。

4. 使用安全的身份驗證和認證方式

避免存儲敏感憑證：避免將 API Token 或證書等敏感憑證直接存儲在 kubeconfig 文件中。可以使用外部的認證機制（如 OAuth2、AWS IAM、Azure AD）來替代硬編碼憑證。

使用短期證書或 Token：如果必須使用 Token 或證書，盡量使用短期有效的證書或 Token，并定期輪換它們。

啟用多因素認證：盡量啟用多因素認證（MFA），增加一個額外的安全層，減少憑證泄露的風險。

5. 限制訪問控制

最小權限原則：為用戶和服務帳戶分配最小權限，確保即使 kubeconfig 文件泄露，攻擊者獲得的權限也受到限制。使用 RBAC（Role-Based Access Control）確保用戶只能訪問他們需要的資源。

限制 API 服務器訪問：通過防火墻、IP 白名單或 VPN 等方式，限制對 Kubernetes API Server 的訪問，避免外部未經授權的訪問。

6. 審計和監控

啟用審計日志：啟用 Kubernetes 審計日志，以便在發生敏感操作時能夠及時發現。這樣可以追蹤任何濫用 kubeconfig 文件的行為。

監控配置文件訪問：監控 kubeconfig 文件的訪問和修改操作，任何未經授權的訪問都能被迅速識別并響應。

7. 定期審計和更新 kubeconfig 文件

定期更換憑證：定期更換 kubeconfig 文件中的 Token、證書和憑證，減少憑證泄露后的潛在風險。

清理無用的 kubeconfig 文件：確保只有必要的用戶或機器持有 kubeconfig 文件，對于不再使用的配置文件及時刪除。

8. 加密存儲

加密文件存儲：如果需要在磁盤上存儲 kubeconfig 文件，可以考慮使用加密文件系統或工具，如 LUKS（Linux Unified Key Setup）來加密磁盤分區，確保即使文件被竊取，也無法被輕易解密。

9. 在容器和云環境中使用 IAM/Service Account

容器化部署：如果在容器環境中部署 Kubernetes 客戶端，避免將 kubeconfig 文件直接嵌入容器鏡像。使用基于環境變量或 Kubernetes Secrets 等方式管理憑證。

云平臺 IAM：在云平臺（如 AWS、Azure、GCP）中，利用 IAM（Identity and Access Management）來管理訪問，而不是依賴本地的 kubeconfig 文件。例如，AWS 可以使用 eks 配置文件或 IAM 角色來訪問 Kubernetes。

總結

kubeconfig 文件是 Kubernetes 集群訪問的關鍵憑證，泄露可能導致嚴重的安全后果。通過限制文件訪問、避免上傳至版本控制系統、使用更安全的認證方式、啟用審計和監控等措施，可以大大降低 kubeconfig 文件泄露的風險，保護 Kubernetes 集群免受攻擊。

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/diannao/70069.shtml
繁體地址，請注明出處：http://hk.pswp.cn/diannao/70069.shtml
英文地址，請注明出處：http://en.pswp.cn/diannao/70069.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

【環境安裝】重裝Docker-26.0.2版本

【環境安裝】重裝Docker-26.0.2版本

【機器背景說明】Linux-Centos7；已有低版本的Docker 【目標環境說明】 卸載已有Docker，用docker-26.0.2.tgz安裝包安裝 1.Docker包下載 下載地址：Index of linux/static/stable/x86_64/ 2.卸載已有的Docker 卸載之前首先停掉服務 sudo…
閱讀更多...
字節跳動后端二面

字節跳動后端二面

📍1. 數據庫的事務性質，InnoDB是如何實現的？ 數據庫事務具有ACID特性，即原子性、一致性、隔離性和持久性。InnoDB通過以下機制實現這些特性： 🚀 實現細節： 原子性：通過undo log實…
閱讀更多...
SpringBoot中使用MyBatis-Plus詳細介紹

SpringBoot中使用MyBatis-Plus詳細介紹

目錄 一、MyBatis-Plus的使用步驟 1.引入MybatisPlus的起步依賴 2.定義Mapper（也叫dao）層的接口 3.MyBatis-Plus中常用注解 4. 使用MyBatis-Plus時要做如下配置 5.條件構造器 Wrapper 一、MyBatis-Plus的使用步驟 1.引入MybatisPlus的起步依賴 M…
閱讀更多...
vue3讀取webrtc-stream 視頻流

vue3讀取webrtc-stream 視頻流

一.首先下載webrtc-stream&#xff0c;方便自己本地搭建視頻流服務 https://download.csdn.net/download/cyw8998/90373521 解壓后&#xff0c;啟動命令 webrtc-streamer.exe -H 127.0.0.1:8020 二.vue3代碼如下 <template><h1>video</h1><video id&…
閱讀更多...
vue3搭建實戰項目筆記二

vue3搭建實戰項目筆記二

vue3搭建實戰項目筆記二 2.1.git管理項目2.2.隱藏tabBar欄2.2.1 方案一&#xff1a;在路由元信息中設置一個參數是否顯示tabBar2.2.2 方案二&#xff1a;通過全局設置相對定位樣式 2.3.項目里封裝axios2.3.1 發送網絡請求的兩種做法2.3.2 封裝axios并發送網絡請求2.3.2.1 對axi…
閱讀更多...
USC 安防平臺之移動偵測

USC 安防平臺之移動偵測

隨著第四次科技革命的開啟&#xff0c;AI技術獲取了突飛猛進的發展&#xff0c;視頻監控對應的視頻分析技術也獲取了巨大的發展。 還記得15年前采用人工提取特征做前景背景分離和提取&#xff0c;大部分依賴CPU&#xff0c;最多使用一下TI的DM642 DSP加速&#xff0c;開發難度…
閱讀更多...
Unity CommandBuffer繪制粒子系統網格顯示

Unity CommandBuffer繪制粒子系統網格顯示

CommandBuffer是 Unity 提供的一種在渲染流程中插入自定義渲染命令的機制。在渲染粒子系統時&#xff0c;常規的渲染流程可能無法滿足特定的渲染需求&#xff0c;而CommandBuffer允許開發者靈活地設置渲染參數、控制渲染順序以及執行自定義的繪制操作。通過它&#xff0c;可以精…
閱讀更多...
【天地圖】繪制、刪除點線面

【天地圖】繪制、刪除點線面

使用天地圖繪制、刪除點線面 實現效果圖地圖組件完整代碼使用地圖組件完整代碼 實現效果圖 地圖組件完整代碼 // 天地圖組件 <template><div class"map-container"><div id"mapCon"></div></div> </template><scri…
閱讀更多...
Java八股文詳細文檔.2（基于黑馬、ChatGPT、DeepSeek）

Java八股文詳細文檔.2（基于黑馬、ChatGPT、DeepSeek）

通過B站黑馬程序員的八股文教學&#xff0c;自己也二刷了&#xff0c;結合ChatGpt、deepSeek總結了一下,Java八股文詳細文檔.2&#xff08;Redis篇和消息中間件篇&#xff0c;還沒有寫完&#xff0c;這只是一部分&#xff09; Java八股文詳細文檔.1&#xff08;包含JVM篇、數據…
閱讀更多...
簡述 tsconfig.json 中 rootDir 和 include 之間的關系

簡述 tsconfig.json 中 rootDir 和 include 之間的關系

tsconfig.json 中的 rootDir 和 include 之間有一定的關系&#xff0c;但它們的作用是不同的。理解它們的關系可以幫助你更好地配置 TypeScript 項目。 1. rootDir 的作用 rootDir 用于指定 TypeScript 編譯器&#xff08;tsc&#xff09;的“根目錄”。它的主要作用是&#x…
閱讀更多...
如何在Spring Boot中使用Profiles實現環境隔離

如何在Spring Boot中使用Profiles實現環境隔離

文章目錄 如何在Spring Boot中使用Profiles實現環境隔離什么是Spring Profiles1.基本概念2.配置管理3.使用場景4.條件化配置5.優點Spring Profiles的基礎知識1.Profile的定義2.配置文件3.激活Profiles4.條件化配置5.Profile的優先級與合并6.Profiles的最佳實踐配置文件的組織1.…
閱讀更多...
SpringBoot使用TraceId日志鏈路追蹤

SpringBoot使用TraceId日志鏈路追蹤

項目場景&#xff1a; ??有時候一個業務調用鏈場景&#xff0c;很長&#xff0c;調了各種各樣的方法&#xff0c;看日志的時候&#xff0c;各個接口的日志穿插&#xff0c;確實讓人頭大。為了解決這個痛點&#xff0c;就使用了TraceId&#xff0c;根據TraceId關鍵字進入服務…
閱讀更多...
微信小程序網絡請求封裝

微信小程序網絡請求封裝

微信小程序的網絡請求為什么要封裝&#xff1f;封裝使用有什么好處&#xff1f; 封裝的目的是為了偷懶&#xff0c;試想一下每次都要wx.request&#xff0c;巴拉巴拉傳一堆參數&#xff0c;是不是很麻煩&#xff0c;有些公共的參數例如header&#xff0c;baseUrl是不是可以封裝…
閱讀更多...
Element Plus table 去除行hover效果

Element Plus table 去除行hover效果

需求&#xff1a; 給table的指定行設置高亮背景色且去除掉這些行的hover效果 思路&#xff1a; 給指定行設置css類名選擇需要設置高亮的行的單元格&#xff0c;設置鼠標禁用屬性讓高亮行繼承父元素的背景色 考慮到表格的第一列是勾選框&#xff0c;因此僅選擇 tr 下除了第一…
閱讀更多...
認識vue-admin

認識vue-admin

認識vue-admin **核心交付:** 為什么要基于現成架子二次開發 什么是二次開發&#xff1a;基于已有的代碼&#xff08;項目工程&#xff0c;腳手架&#xff09;開進行新功能的開發 所以看懂已有的框架中的既有代碼&#xff0c;變得很重要了 1. 背景知識 后臺管理系統是一種最…
閱讀更多...
無人機航跡規劃：孟加拉虎優化（ Savannah Bengal Tiger Optimization ，SBTO）算法求解無人機路徑規劃MATLAB

無人機航跡規劃：孟加拉虎優化（ Savannah Bengal Tiger Optimization ，SBTO）算法求解無人機路徑規劃MATLAB

一、孟加拉虎優化算法 孟加拉虎優化&#xff08; Savannah Bengal Tiger Optimization &#xff0c;SBTO&#xff09;算法模擬了孟加拉虎的群體狩獵行為&#xff0c;采用了獵物搜索、隱身接近和攻擊狩獵三種策略。 參考文獻&#xff1a; [1]Yujing Sun, Xingguo Xu. Savann…
閱讀更多...
sib報錯：com.*.xctrunner is not in your device!

sib報錯：com.*.xctrunner is not in your device!

1、問題描述 在使用sonic集成IOS設備的時候，我們需要通過sonic-agent服務去識別IOS設備。但是在識別的時候提示如下問題： 本質就是在你這個設備中找不到這個設備也就是找不到WebDriverAgentRunner，但是確實安裝了，甚至appium可以正常的調用。 或執行如下命令的時候報錯：…
閱讀更多...
c++中什么時候應該使用final關鍵字？

c++中什么時候應該使用final關鍵字？

在C中&#xff0c;final關鍵字是自C11標準引入的重要特性&#xff0c;主要用于類繼承和虛函數重寫機制的約束。下面從技術原理、使用場景和最佳實踐三個維度進行系統分析&#xff0c;并給出工業級代碼示例。 目錄 一、技術原理深度解析 二、關鍵使用場景分析 1. 類級別的fi…
閱讀更多...
【AI】Docker中快速部署Ollama并安裝DeepSeek-R1模型: 一步步指南

【AI】Docker中快速部署Ollama并安裝DeepSeek-R1模型: 一步步指南

【AI】Docker中快速部署Ollama并安裝DeepSeek-R1模型: 一步步指南 一、前言 為了確保在 Docker 環境中順利安裝并高效運行 Ollama 以及 DeepSeek 離線模型&#xff0c;本文將詳細介紹整個過程&#xff0c;涵蓋從基礎安裝到優化配置等各個方面。通過對關鍵參數和配置的深入理解…
閱讀更多...
文件夾上傳到github分支最后github上面還是沒有文件和文件夾

文件夾上傳到github分支最后github上面還是沒有文件和文件夾

環境&#xff1a; github 問題描述&#xff1a; 文件夾上傳到github分支最后github上面還是沒有文件和文件夾, 和這樣一樣 解決方案&#xff1a; 從 git ls-tree -r HEAD 的輸出中可以看到&#xff0c;metahuman-stream 文件夾顯示為如下內容&#xff1a; 160000 commi…
閱讀更多...
最新文章

Copyright @ 2022~2023