Auditoria de Imagens de Container com Cosign e Admission Controller no Kubernetes

Descubra como blindar seu ambiente de computação em nuvem utilizando assinaturas criptográficas com Cosign e validação estrita em tempo de execução com Admission Controllers.

Marcio Cunha•5 min

Também disponível em:English Español

Resumo

A integridade de pacotes em ambientes de produção exige garantias criptográficas que superam a simples checagem de hashes tradicionais.
O uso do Cosign viabiliza a assinatura digital de imagens diretamente no fluxo de integração contínua sem a complexidade de gerenciar chaves privadas expostas.
Validar artefatos no Admission Controller impede fisicamente que workloads não autorizados sejam executados nos nós do cluster.
Políticas baseadas em chaves públicas garantem que apenas artefatos originados em pipelines auditados alcancem o ambiente produtivo.
A observabilidade contínua de artefatos reduz drasticamente a superfície de ataque contra vulnerabilidades de cadeia de suprimentos de software.

O desafio invisível da cadeia de suprimentos de software

No desenvolvimento moderno de aplicações, dependemos constantemente de bibliotecas de terceiros, pacotes de código aberto e imagens de container pré-construídas. Na prática, isso significa que grande parte do software que roda em produção foi fabricada por equipes desconhecidas em locais remotos. Quando um invasor consegue injetar código malicioso em uma dependência comum, todo o ecossistema downstream herda essa falha silenciosamente. Proteger os ambientes produtivos exige ir além da simples verificação de versões e alcançar o nível criptográfico.

Garantir que o artefato executado no servidor é exatamente o mesmo que passou pelos testes de segurança é o objetivo central da assinatura de imagens. Sem esse mecanismo de confiança, qualquer ator mal-intencionado com acesso ao repositório central de imagens pode substituir um pacote legítimo por uma versão adulterada. A auditoria contínua transforma a confiança cega em verificação matemática rigorosa a cada novo ciclo de entrega.

Entendendo as assinaturas criptográficas com Cosign

O Cosign é uma ferramenta projetada especificamente para simplificar a assinatura, verificação e armazenamento de artefatos de containers utilizando criptografia moderna. Na prática, ele funciona como um cartório digital que sela o pacote de software e atesta sua origem autêntica. Utilizando chaves assimétricas, onde uma chave privada sela o arquivo e uma chave pública valida a assinatura, o sistema torna impossível a falsificação sem o comprometimento da chave secreta.

Diferente de métodos legados que exigiam a gestão complexa de certificados X.509 tradicionais, o Cosign integra-se perfeitamente com identidades baseadas em nuvem e provedores de autenticação modernos. Isso significa que a própria identidade do desenvolvedor ou da esteira de integração pode servir como prova de autenticidade, eliminando arquivos de chave estáticos esquecidos em servidores vulneráveis. O resultado é um processo transparente que se encaixa naturalmente nos fluxos de automação existentes.

Arquitetura de validação em tempo de execução no Kubernetes

Assinar imagens durante a construção do software resolve metade do problema, mas o sistema precisa garantir que o artefato assinado seja realmente o único permitido a rodar. É aqui que entra o Admission Controller, um componente do Kubernetes que intercepta requisições ao cluster antes que os objetos sejam persistidos ou executados. Na prática, ele age como um segurança rigoroso na porta da festa, exigindo o convite assinado antes de deixar qualquer container entrar.

Quando um comando de implantação é disparado no cluster, o Admission Controller acopla uma checagem automatizada para validar a assinatura criptográfica da imagem contra uma chave pública confiável. Se a assinatura estiver ausente, corrompida ou pertencer a uma chave não autorizada, a execução é sumariamente rejeitada. Essa barreira impede que imagens não auditadas entrem em produção, mesmo que um invasor obtenha credenciais parciais de acesso ao cluster.

Implementando a verificação automatizada com políticas de segurança

Para colocar essa arquitetura em prática, configuramos políticas que governam o comportamento do cluster diante de cada imagem solicitada. A implementação exige a definição de regras claras sobre quais emissores são confiáveis e quais exceções, se houver, devem ser toleradas em ambientes de teste. Na prática, o processo envolve os seguintes passos operacionais na sua esteira e infraestrutura:

Gere um par de chaves criptográficas utilizando a ferramenta de linha de comando do Cosign no ambiente seguro de build.
```
cosign generate-key-pair
```
Assine a imagem recém-construída no seu registro de containers utilizando a chave privada gerada anteriormente.
```
cosign sign --key cosign.key meu-registro.io/app/servico:v1.0.0
```
Instale e configure um validador de admissão, como o Kyverno ou Policy Controller, no seu cluster Kubernetes.
```
kubectl apply -f https://github.com/kyverno/kyverno/releases/latest/download/install.yaml
```

Aplique a política de verificação que exige a presença de uma assinatura válida baseada na sua chave pública.

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signature
spec:
  validationFailureAction: Enforce
  rules:
    - name: verify-cosign
      match:
        any:
          - resources:
              kinds:
                - Pod
      verifyImages:
        - imageReferences:
            - "meu-registro.io/app/*"
              attestations:
                - predicateType: custom
                  fullyQualified: true

Monitore os logs de auditoria do cluster para identificar tentativas de execução de imagens não assinadas.
```
kubectl logs -n kyverno -l app=kyverno --tail=100
```

Considerações operacionais e impactos na performance

Adicionar verificações criptográficas e interceptações em tempo de execução introduz pequenas sobrecargas que precisam ser gerenciadas com cuidado. Na prática, consultar registros remotos de imagem para checar assinaturas pode adicionar milissegundos preciosos ao tempo de inicialização dos pods. Para mitigar esse impacto, as ferramentas de validação costumam cachear os resultados das verificações e utilizar estratégias eficientes de comunicação com o registro de containers.

Outro ponto crítico é a gestão do ciclo de vida das chaves criptográficas. Se uma chave privada vazar, a equipe precisa revogá-la imediatamente e reemitir novas assinaturas para todo o catálogo de imagens em produção. Estabelecer rotinas automatizadas de rotação de chaves e auditoria periódica garante que a segurança da cadeia de suprimentos permaneça robusta sem paralisar o ritmo de entrega das equipes de engenharia.

Considerações Finais

A segurança de infraestruturas baseadas em containers deixou de ser um diferencial estético e passou a ser um requisito fundamental de sobrevivência digital. Combinar assinaturas criptográficas via Cosign com o bloqueio ativo em Admission Controllers transforma a esteira de desenvolvimento em um ambiente de alta confiabilidade. Na prática, essa abordagem blinda o negócio contra adulterações silenciosas e garante que apenas o código rigorosamente auditado alcance os olhos do cliente final.

Implementar essas práticas exige planejamento cultural e técnico, mas o retorno sobre o investimento em termos de tranquilidade operacional é imensurável. Ao remover a confiança cega dos servidores e substituí-la por matemática e validações automatizadas, sua engenharia ganha a maturidade necessária para navegar pelos desafios complexos da computação moderna em nuvem.