Construcción de Pipelines de Imágenes OCI Seguras con Cosign y Kyverno

El Desafío de la Confianza en las Imágenes de Contenedores

En el desarrollo de software moderno, los contenedores han estandarizado la forma en que empaquetamos aplicaciones y sus dependencias. El formato OCI, que significa Open Container Initiative (una especificación abierta que dicta cómo deben funcionar las imágenes y los tiempos de ejecución de contenedores), se ha convertido en el estándar universal de la industria. Sin embargo, el hecho de que una imagen se ejecute con éxito no garantiza que sea confiable o que no haya sido modificada por un atacante en el camino entre el registro privado y el clúster de producción. En la práctica, esto significa que confiar ciegamente en cualquier etiqueta de imagen equivale a recibir un paquete sellado por correo sin saber quién lo envió o si el contenido fue comprometido.

Para resolver este problema, la ingeniería moderna recurre a la firma criptográfica. Al igual que firmamos un contrato físico con firma notariada o usamos una clave digital para validar una transacción bancaria, la firma de contenedores utiliza matemáticas avanzadas para certificar dos propiedades vitales: quién construyó la imagen y si sufrió alguna alteración después de su compilación. Cuando introducimos herramientas como Cosign en el flujo de trabajo, transformamos el proceso de despliegue en una operación verificable matemáticamente, eliminando la dependencia exclusiva de credenciales de acceso a repositorios.

Comprendiendo la Firma Criptográfica con Cosign

Cosign es una herramienta desarrollada por la comunidad nativa de la nube que simplifica la firma, verificación y almacenamiento de artefactos OCI. A diferencia de las soluciones heredadas que exigen la gestión compleja de certificados X.509 y autoridades certificadoras tradicionales, Cosign opera de manera sencilla mediante pares de claves asimétricas o utilizando identidades basadas en OIDC, que significa OpenID Connect (un protocolo de autenticación que permite verificar la identidad a través de proveedores confiables como Google o GitHub). En la práctica, la clave privada permanece restringida al entorno seguro de CI, mientras que la clave pública se distribuye a los servidores que realizarán la verificación.

Cuando un desarrollador dispara una compilación, el pipeline ejecuta pruebas automatizadas, construye la imagen e inmediatamente utiliza Cosign para firmar el hash criptográfico de la imagen almacenada en el registro. Esta firma se envía al mismo registro de contenedores como un artefacto asociado, creando un vínculo inseparable entre el binario y la prueba de autenticidad. Si un atacante altera un solo byte de la imagen dentro del repositorio, el hash resultante cambia de inmediato, invalidando la firma y provocando que la imagen sea rechazada por cualquier sistema de verificación posterior.

Garantizando la Seguridad del Clúster con Kyverno

Firmar imágenes es solo el primer paso en una estrategia de seguridad robusta. El segundo paso, igualmente crítico, ocurre en el momento en que el clúster intenta ejecutar dicha imagen. Aquí es donde entra Kyverno, un motor de políticas nativo de Kubernetes que actúa como un portero estricto para su entorno. Kubernetes es el orquestador de contenedores que gestiona dónde y cómo se ejecutan las aplicaciones, e intercepta todas las solicitudes de creación de pods para verificar si cumplen con los criterios de cumplimiento de la organización.

En la práctica, configuramos Kyverno para exigir que cualquier imagen que intente ejecutarse en el clúster posea una firma válida emitida por la clave confiable de la empresa. Si un desarrollador intenta desplegar una imagen sin firmar o firmada por una clave desconocida, Kyverno rechaza la solicitud al instante, evitando que código no auditado toque los nodos de cómputo. Este mecanismo opera de manera transparente y declarativa, permitiendo que los equipos de seguridad definan reglas complejas usando YAML simple, sin necesidad de escribir scripts en lenguajes oscuros.

Implementando el Flujo Automatizado en el Pipeline

Para poner esta arquitectura en práctica, necesitamos integrar la generación y firma de imágenes directamente en nuestro pipeline de integración continua, como GitHub Actions o GitLab CI. El procedimiento implica compilar el código, enviar la imagen al registro OCI e inmediatamente firmar el artefacto resultante antes de que finalice el pipeline. A continuación, visualizamos los pasos fundamentales ejecutados por el sistema de automatización para garantizar que ninguna imagen se promueva sin validación previa:

1. El código se prueba y compila dentro de un entorno de compilación aislado.
2. La imagen resultante se envía al registro privado OCI utilizando credenciales temporales.
3. Se activa Cosign utilizando la clave privada almacenada de forma segura en los secretos del repositorio.
4. Se genera la firma criptográfica y se envía al mismo registro de imágenes.
5. Se actualiza el manifiesto de Kubernetes para hacer referencia a la imagen y su etiqueta inmutable.

El uso de etiquetas inmutables, como el hash SHA-256 de la imagen en lugar de etiquetas mutables como 'latest', es un requisito fundamental para evitar ataques de suplantación de etiquetas. Al apuntar a un hash específico, tenemos la garantía absoluta de que el código que corre en producción es exactamente el que pasó las pruebas de seguridad y recibió la firma criptográfica.

Validando Imágenes en Tiempo de Ejecución con Políticas Declarativas

Con las imágenes debidamente firmadas en el registro, el siguiente paso es configurar Kyverno en el clúster de Kubernetes para hacer cumplir esta validación. Creamos una política de admisión, conocida en el vocabulario de Kyverno como un ClusterPolicy, que intercepta cualquier intento de crear recursos de tipo Pod. El archivo de configuración instruye a Kyverno para consultar internamente a Cosign y verificar que la imagen posea una firma válida vinculada a nuestra clave pública oficial. A continuación, examinamos la estructura conceptual de esta regla de validación aplicada directamente por el motor de políticas:

apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signatures
spec:
  validationFailureAction: Enforce
  rules:
    - name: check-cosign-signature
      match:
        any:
          - resources:
              kinds:
                - Pod
      verifyImages:
        - imageReferences:
            - "registry.empresa.com/*"
          attestors:
            - count: 1
              entries:
                - keys:
                    publicKeys: "-----BEGIN PUBLIC KEY-----\n...-----\n-----\n"

Este bloque de configuración garantiza que el modo de cumplimiento esté activo, bloqueando activamente cualquier intento de ejecutar código sin firmar. Si se intenta una violación, el operador del clúster recibe un error descriptivo que detalla que la firma de la imagen falló en la verificación criptográfica, manteniendo la superficie de ataque rigurosamente controlada.

Consideraciones Finales y Próximos Pasos

La construcción de pipelines seguros de imágenes OCI utilizando la firma de Cosign y la verificación en tiempo de ejecución con Kyverno representa un salto expresivo en la madurez de seguridad de cualquier infraestructura moderna basada en Kubernetes. Al reemplazar la confianza ciega en repositorios con garantías matemáticas y políticas automatizadas, las organizaciones protegen sus sistemas contra invasiones sofisticadas en la cadena de suministro. Aunque requiere un esfuerzo inicial de configuración y un cambio cultural en los procesos de compilación, el retorno de la inversión se traduce en resiliencia operacional, cumplimiento normativo y la tranquilidad de saber que solo código autenticado y auditado habita el entorno productivo.