Auditoría Continua de Imágenes de Contenedores con Cosign y Admission Controller

Aprende a blindar tu entorno en la nube utilizando firmas criptográficas con Cosign y validación estricta en tiempo de ejecución mediante Admission Controllers.

Marcio Cunha•5 min

También disponible en:English Português

Resumen

La integridad de paquetes en entornos de producción exige garantías criptográficas que superan la simple comprobación de hashes tradicionales.
El uso de Cosign posibilita la firma digital de imágenes directamente en el flujo de CI sin la complejidad de gestionar claves privadas expuestas.
Validar artefactos en el Admission Controller impide físicamente que cargas de trabajo no autorizadas se ejecuten en los nodos del clúster.
Las políticas basadas en claves públicas garantizan que solo los artefactos originados en pipelines auditados alcancen el entorno productivo.
La observabilidad continua de artefactos reduce drásticamente la superficie de ataque contra vulnerabilidades en la cadena de suministro de software.

El desafío invisible de la cadena de suministro de software

En el desarrollo moderno de software, dependemos constantemente de bibliotecas de terceros, paquetes de código abierto e imágenes de contenedores preconstruidas. En la práctica, esto significa que gran parte del software que corre en producción fue fabricado por equipos desconocidos en ubicaciones remotas. Cuando un atacante logra inyectar código malicioso en una dependencia común, todo el ecosistema downstream hereda esa falla en silencio. Proteger los entornos productivos exige ir más allá de la simple verificación de versiones para alcanzar el nivel criptográfico.

Garantizar que el artefacto ejecutado en el servidor es exactamente el mismo que pasó las pruebas de seguridad es el objetivo central de la firma de imágenes. Sin este mecanismo de confianza, cualquier actor malintencionado con acceso al registro central de imágenes puede sustituir un paquete legítimo por una versión alterada. La auditoría continua transforma la confianza ciega en una verificación matemática rigurosa en cada nuevo ciclo de entrega.

Entendiendo las firmas criptográficas con Cosign

Cosign es una herramienta diseñada específicamente para simplificar la firma, verificación y almacenamiento de artefactos de contenedores utilizando criptografía moderna. En la práctica, funciona como una notaría digital que sella el paquete de software y atestigua su origen auténtico. Utilizando claves asimétricas, donde una clave privada sella el archivo y una clave pública valida la firma, el sistema hace imposible la falsificación sin comprometer la clave secreta.

A diferencia de los métodos heredados que exigían una gestión compleja de certificados X.509 tradicionales, Cosign se integra perfectamente con identidades basadas en la nube y proveedores de autenticación modernos. Esto significa que la propia identidad del desarrollador o del pipeline puede servir como prueba de autenticidad, eliminando archivos de claves estáticas olvidados en servidores vulnerables. El resultado es un proceso transparente que encaja de forma natural en los flujos de automatización existentes.

Arquitectura de validación en tiempo de ejecución en Kubernetes

Firmar imágenes durante la compilación del software resuelve la mitad del problema, pero el sistema debe garantizar que el artefacto firmado sea realmente el único autorizado para ejecutarse. Aquí es donde entra el Admission Controller, un componente de Kubernetes que intercepta solicitudes al clúster antes de que los objetos sean persistidos o ejecutados. En la práctica, actúa como un guardia de seguridad estricto en la puerta del evento, exigiendo una invitación firmada antes de dejar entrar a cualquier contenedor.

Cuando se dispara un comando de despliegue en el clúster, el Admission Controller acopla una verificación automatizada para validar la firma criptográfica de la imagen contra una clave pública de confianza. Si la firma falta, está corrupta o pertenece a una clave no autorizada, la ejecución es rechazada sumariamente. Esta barrera impide que imágenes no auditadas entren en producción, incluso si un atacante obtiene credenciales parciales de acceso al clúster.

Implementando la verificación automatizada con políticas de seguridad

Para poner esta arquitectura en práctica, configuramos políticas que gobiernan el comportamiento del clúster ante cada imagen solicitada. La implementación exige definir reglas claras sobre qué emisores son de confianza y qué excepciones, si las hay, deben tolerarse en entornos de prueba. En la práctica, el proceso involucra los siguientes pasos operacionales en tu pipeline e infraestructura:

Genera un par de claves criptográficas utilizando la herramienta de línea de comandos de Cosign en tu entorno seguro de compilación.
```
cosign generate-key-pair
```
Firma la imagen recién construida en tu registro de contenedores utilizando la clave privada generada anteriormente.
```
cosign sign --key cosign.key mi-registro.io/app/servicio:v1.0.0
```
Instala y configura un validador de admisión, como Kyverno o Policy Controller, en tu clúster de Kubernetes.
```
kubectl apply -f https://github.com/kyverno/kyverno/releases/latest/download/install.yaml
```

Aplica la política de verificación que exige la presencia de una firma válida basada en tu clave pública.

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signature
spec:
  validationFailureAction: Enforce
  rules:
    - name: verify-cosign
      match:
        any:
          - resources:
              kinds:
                - Pod
      verifyImages:
        - imageReferences:
            - "mi-registro.io/app/*"
              attestations:
                - predicateType: custom
                  fullyQualified: true

Monitorea los registros de auditoría del clúster para identificar intentos de ejecución de imágenes no firmadas.
```
kubectl logs -n kyverno -l app=kyverno --tail=100
```

Consideraciones operacionales e impactos en el rendimiento

Añadir comprobaciones criptográficas e intercepciones en tiempo de ejecución introduce una pequeña sobrecarga que debe gestionarse con cuidado. En la práctica, consultar registros remotos de imágenes para verificar firmas puede añadir milisegundos preciosos al tiempo de inicio de los pods. Para mitigar este impacto, las herramientas de validación suelen almacenar en caché los resultados de las verificaciones y utilizar estrategias eficientes de comunicación con el registro de contenedores.

Otro punto crítico es la gestión del ciclo de vida de las claves criptográficas. Si una clave privada se filtra, el equipo debe revocarla de inmediato y reemitir nuevas firmas para todo el catálogo de imágenes en producción. Establecer rutinas automatizadas de rotación de claves y auditoría periódica garantiza que la seguridad de la cadena de suministro permanezca robusta sin paralizar el ritmo de entrega de los equipos de ingeniería.

Consideraciones Finales

La seguridad de infraestructuras basadas en contenedores dejó de ser un diferencial estético para convertirse en un requisito fundamental de supervivencia digital. Combinar firmas criptográficas mediante Cosign con el bloqueo activo en Admission Controllers transforma el pipeline de desarrollo en un entorno de alta confiabilidad. En la práctica, este enfoque blinda al negocio contra alteraciones silenciosas y garantiza que solo el código rigurosamente auditado llegue a los ojos del cliente final.

Implementar estas prácticas exige planificación cultural y técnica, pero el retorno de la inversión en términos de tranquilidad operacional es incalculable. Al eliminar la confianza ciega en los servidores y sustituirla por matemáticas y validaciones automatizadas, tu ingeniería gana la madurez necesaria para navegar por los complejos desafíos de la computación moderna en la nube.