【云安全】云原生- K8S kubeconfig 文件泄露

什么是 kubeconfig 文件？

kubeconfig 文件是 Kubernetes 的配置文件，用于存储集群的访问凭证、API Server 的地址和认证信息，允许用户和 kubectl 等工具与 Kubernetes 集群进行交互。它通常包含多个集群的配置，支持通过上下文（context）切换不同的集群、用户和命名空间。kubeconfig 文件的典型路径是 ~/.kube/config，但也可以通过 KUBECONFIG 环境变量指定其他路径。

组成部分

  • clusters: 存储 Kubernetes 集群的信息，包括集群的 API 服务器地址和 CA 证书。
  • users: 存储与集群进行交互的用户信息，包括认证凭证（如用户名、密码、Bearer token 或证书）。
  • contexts: 定义了一个上下文，关联了特定的集群、用户和命名空间，用户通过上下文来决定连接哪个集群。
  • current-context: 指定当前使用的上下文。

泄露风险

如果 kubeconfig 文件被泄露，攻击者可以使用其中的信息访问 Kubernetes 集群。具体风险包括：

  • 非法访问集群：攻击者可以用泄露的 kubeconfig 文件直接连接到集群，执行任意操作，甚至获取敏感数据。
  • 数据泄露：集群中可能存储了大量敏感数据（如私密配置、数据库凭证等），攻击者一旦访问成功，可能会窃取数据。
  • 权限滥用：如果文件中包含管理员权限，攻击者可以完全控制集群，修改配置，甚至删除资源。

常见的泄露途径

1. 版本控制系统（VCS）

  • 错误提交：开发人员不小心将 kubeconfig 文件提交到 GitHub、GitLab 或其他公共代码库。
  • 未配置 .gitignore：如果没有正确设置 .gitignore 文件，kubeconfig 文件可能会被误提交到版本控制系统，导致泄露。
  • 历史记录泄露：即使文件已删除或更改，如果历史提交记录中包含了该文件，它仍然可以通过版本控制系统恢复。

2. 不当的文件权限

  • 操作系统权限配置不当：如果 kubeconfig 文件的权限过于宽松（如 777），非授权用户或程序也可以访问该文件。
  • 误共享文件：将 kubeconfig 文件存储在共享文件夹或公共目录中，导致文件被其他用户访问。

3. 开发环境泄露

  • 不安全的开发机器：如果开发人员在未加密的本地计算机上存储 kubeconfig 文件且机器遭到入侵，攻击者可以获取该文件。
  • 共享开发环境：如果开发环境被多个开发人员共享，并且没有进行严格的访问控制，kubeconfig 文件也可能被其他人访问。

4. 云平台配置错误

  • 不当的 IAM 配置：如果将 Kubernetes 集群的凭证（如 token 或证书）存储在云提供商的存储中（例如 AWS S3、Google Cloud Storage），并且存储桶或对象没有正确的访问控制策略，可能导致凭证被泄露。
  • 错误配置的 API 访问：如果云平台上设置的 Kubernetes 访问控制策略不严格，恶意用户可能通过漏洞获得凭证。

5. 容器镜像

  • 凭证硬编码在镜像中：某些开发人员可能会将凭证硬编码到应用程序中或将 kubeconfig 文件放入容器镜像中，从而使凭证在镜像被拉取时泄露。
  • 容器共享：在多个容器之间不当共享 Kubernetes 凭证可能会导致泄露。

6. 日志文件泄露

  • 错误的日志记录：应用程序或集群的日志文件中可能意外记录了 kubeconfig 文件的内容或认证信息（如 token、证书等）。
  • 日志文件权限不足：如果日志文件的权限过于宽松，攻击者可能从日志文件中提取出凭证信息。

7. 社交工程与钓鱼攻击

  • 钓鱼邮件：攻击者通过钓鱼邮件或社交工程手段，诱使用户将 kubeconfig 文件上传到不安全的地方或通过不安全的方式发送。
  • 假冒网站：攻击者可能创建假冒的 Kubernetes 登录页面或API接口，诱使用户上传 kubeconfig 文件，进而窃取凭证。

8. 不当的文件备份和迁移

  • 备份未加密：如果 kubeconfig 文件被备份但没有进行加密，备份文件可能成为泄露途径。
  • 无安全传输：在迁移或传输 kubeconfig 文件时，使用不安全的方式（如 FTP 或未加密的 HTTP）可能导致文件在传输过程中被窃取。

9. 恶意软件与病毒

  • 木马或恶意软件：攻击者可能通过恶意软件或病毒窃取本地文件，包括 kubeconfig 文件。这些恶意软件可能会扫描本地文件系统并自动上传敏感文件。
  • 键盘记录器：如果计算机感染了键盘记录器，攻击者可以捕捉到用户输入的凭证。

10. 不当的第三方工具或插件

  • 不信任的工具：一些第三方工具、插件或应用程序可能会不安全地处理或存储 Kubernetes 凭证。如果这些工具存在漏洞或不安全的设计，它们可能会导致 kubeconfig 文件的泄露。
  • 公开共享的 API：通过某些 API 或工具访问 Kubernetes 集群时，如果没有加密传输或者 API 配置不当，可能导致凭证泄露。

11. 共享或过期的凭证

  • 与他人共享凭证：如果管理员或开发人员将 kubeconfig 文件共享给他人，但没有撤销过期或不再使用的凭证，也可能导致凭证泄露。
  • 公共访问控制：某些情况下，kubeconfig 文件可能与其他用户共享或传递，而没有采取适当的访问控制。

利用方式

攻击者获取到config文件后，如何利用？

1. kubectl 官方客户端连接工具 

安装工具 | Kubernetes

我这里使用scoop安装kubectl工具

​

#获取node信息
kubectl -s https://192.168.48.142:6443 --kubeconfig=config --insecure-skip-tls-verify get node#获取pod信息
kubectl -s https://192.168.48.142:6443 --kubeconfig=config --insecure-skip-tls-verify get pod#创建恶意pod
kubectl -s https://192.168.48.142:6443 --kubeconfig=config --insecure-skip-tls-verify create -f 1.yaml

2. dashboard 登录

使用Kubeconfig方式进行登录，选择获取到的config文件

登录成功，创建恶意pod

如何防范

为了防止 Kubernetes kubeconfig 文件泄露，需要采取一系列的安全措施来保护该文件及其内容。以下是一些有效的防护措施：

1. 限制文件访问权限

文件权限设置：确保 kubeconfig 文件只能由授权用户访问，使用操作系统的文件权限控制功能，限制文件的读写权限。

设置文件权限为 600（仅允许文件所有者读写）：

chmod 600 ~/.kube/config

目录权限：确保 .kube 目录的权限足够严格，防止其他用户查看文件：

chmod 700 ~/.kube

2. 避免加入版本控制系统

使用 .gitignore：确保 kubeconfig 文件和其他敏感配置文件不被意外提交到 Git 仓库。将 .kube/ 目录添加到 .gitignore 文件中，防止泄露：

echo ".kube/" >> .gitignore

3. 使用环境变量指定路径

限制文件位置：通过设置 KUBECONFIG 环境变量指定 kubeconfig 文件的路径，这样可以将敏感配置文件存放在更安全的位置，而不是默认的 ~/.kube/config。

export KUBECONFIG=/path/to/secure/config

限制环境变量访问：确保只有授权的进程和用户能够访问 KUBECONFIG 环境变量。避免通过共享的环境或配置文件暴露该变量。

4. 使用安全的身份验证和认证方式

避免存储敏感凭证：避免将 API Token 或证书等敏感凭证直接存储在 kubeconfig 文件中。可以使用外部的认证机制（如 OAuth2、AWS IAM、Azure AD）来替代硬编码凭证。

使用短期证书或 Token：如果必须使用 Token 或证书，尽量使用短期有效的证书或 Token，并定期轮换它们。

启用多因素认证：尽量启用多因素认证（MFA），增加一个额外的安全层，减少凭证泄露的风险。

5. 限制访问控制

最小权限原则：为用户和服务帐户分配最小权限，确保即使 kubeconfig 文件泄露，攻击者获得的权限也受到限制。使用 RBAC（Role-Based Access Control）确保用户只能访问他们需要的资源。

限制 API 服务器访问：通过防火墙、IP 白名单或 VPN 等方式，限制对 Kubernetes API Server 的访问，避免外部未经授权的访问。

6. 审计和监控

启用审计日志：启用 Kubernetes 审计日志，以便在发生敏感操作时能够及时发现。这样可以追踪任何滥用 kubeconfig 文件的行为。

监控配置文件访问：监控 kubeconfig 文件的访问和修改操作，任何未经授权的访问都能被迅速识别并响应。

7. 定期审计和更新 kubeconfig 文件

定期更换凭证：定期更换 kubeconfig 文件中的 Token、证书和凭证，减少凭证泄露后的潜在风险。

清理无用的 kubeconfig 文件：确保只有必要的用户或机器持有 kubeconfig 文件，对于不再使用的配置文件及时删除。

8. 加密存储

加密文件存储：如果需要在磁盘上存储 kubeconfig 文件，可以考虑使用加密文件系统或工具，如 LUKS（Linux Unified Key Setup）来加密磁盘分区，确保即使文件被窃取，也无法被轻易解密。

9. 在容器和云环境中使用 IAM/Service Account

容器化部署：如果在容器环境中部署 Kubernetes 客户端，避免将 kubeconfig 文件直接嵌入容器镜像。使用基于环境变量或 Kubernetes Secrets 等方式管理凭证。

云平台 IAM：在云平台（如 AWS、Azure、GCP）中，利用 IAM（Identity and Access Management）来管理访问，而不是依赖本地的 kubeconfig 文件。例如，AWS 可以使用 eks 配置文件或 IAM 角色来访问 Kubernetes。

总结

kubeconfig 文件是 Kubernetes 集群访问的关键凭证，泄露可能导致严重的安全后果。通过限制文件访问、避免上传至版本控制系统、使用更安全的认证方式、启用审计和监控等措施，可以大大降低 kubeconfig 文件泄露的风险，保护 Kubernetes 集群免受攻击。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/70069.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【环境安装】重装Docker-26.0.2版本

【环境安装】重装Docker-26.0.2版本

【机器背景说明】Linux-Centos7；已有低版本的Docker 【目标环境说明】 卸载已有Docker，用docker-26.0.2.tgz安装包安装 1.Docker包下载 下载地址：Index of linux/static/stable/x86_64/ 2.卸载已有的Docker 卸载之前首先停掉服务 sudo…
阅读更多...
字节跳动后端二面

字节跳动后端二面

📍1. 数据库的事务性质，InnoDB是如何实现的？ 数据库事务具有ACID特性，即原子性、一致性、隔离性和持久性。InnoDB通过以下机制实现这些特性： 🚀 实现细节： 原子性：通过undo log实…
阅读更多...
SpringBoot中使用MyBatis-Plus详细介绍

SpringBoot中使用MyBatis-Plus详细介绍

目录 一、MyBatis-Plus的使用步骤 1.引入MybatisPlus的起步依赖 2.定义Mapper（也叫dao）层的接口 3.MyBatis-Plus中常用注解 4. 使用MyBatis-Plus时要做如下配置 5.条件构造器 Wrapper 一、MyBatis-Plus的使用步骤 1.引入MybatisPlus的起步依赖 M…
阅读更多...
vue3读取webrtc-stream 视频流

vue3读取webrtc-stream 视频流

一.首先下载webrtc-stream&#xff0c;方便自己本地搭建视频流服务 https://download.csdn.net/download/cyw8998/90373521 解压后&#xff0c;启动命令 webrtc-streamer.exe -H 127.0.0.1:8020 二.vue3代码如下 <template><h1>video</h1><video id&…
阅读更多...
vue3搭建实战项目笔记二

vue3搭建实战项目笔记二

vue3搭建实战项目笔记二 2.1.git管理项目2.2.隐藏tabBar栏2.2.1 方案一&#xff1a;在路由元信息中设置一个参数是否显示tabBar2.2.2 方案二&#xff1a;通过全局设置相对定位样式 2.3.项目里封装axios2.3.1 发送网络请求的两种做法2.3.2 封装axios并发送网络请求2.3.2.1 对axi…
阅读更多...
USC 安防平台之移动侦测

USC 安防平台之移动侦测

随着第四次科技革命的开启&#xff0c;AI技术获取了突飞猛进的发展&#xff0c;视频监控对应的视频分析技术也获取了巨大的发展。 还记得15年前采用人工提取特征做前景背景分离和提取&#xff0c;大部分依赖CPU&#xff0c;最多使用一下TI的DM642 DSP加速&#xff0c;开发难度…
阅读更多...
Unity CommandBuffer绘制粒子系统网格显示

Unity CommandBuffer绘制粒子系统网格显示

CommandBuffer是 Unity 提供的一种在渲染流程中插入自定义渲染命令的机制。在渲染粒子系统时&#xff0c;常规的渲染流程可能无法满足特定的渲染需求&#xff0c;而CommandBuffer允许开发者灵活地设置渲染参数、控制渲染顺序以及执行自定义的绘制操作。通过它&#xff0c;可以精…
阅读更多...
【天地图】绘制、删除点线面

【天地图】绘制、删除点线面

使用天地图绘制、删除点线面 实现效果图地图组件完整代码使用地图组件完整代码 实现效果图 地图组件完整代码 // 天地图组件 <template><div class"map-container"><div id"mapCon"></div></div> </template><scri…
阅读更多...
Java八股文详细文档.2（基于黑马、ChatGPT、DeepSeek）

Java八股文详细文档.2（基于黑马、ChatGPT、DeepSeek）

通过B站黑马程序员的八股文教学&#xff0c;自己也二刷了&#xff0c;结合ChatGpt、deepSeek总结了一下,Java八股文详细文档.2&#xff08;Redis篇和消息中间件篇&#xff0c;还没有写完&#xff0c;这只是一部分&#xff09; Java八股文详细文档.1&#xff08;包含JVM篇、数据…
阅读更多...
简述 tsconfig.json 中 rootDir 和 include 之间的关系

简述 tsconfig.json 中 rootDir 和 include 之间的关系

tsconfig.json 中的 rootDir 和 include 之间有一定的关系&#xff0c;但它们的作用是不同的。理解它们的关系可以帮助你更好地配置 TypeScript 项目。 1. rootDir 的作用 rootDir 用于指定 TypeScript 编译器&#xff08;tsc&#xff09;的“根目录”。它的主要作用是&#x…
阅读更多...
如何在Spring Boot中使用Profiles实现环境隔离

如何在Spring Boot中使用Profiles实现环境隔离

文章目录 如何在Spring Boot中使用Profiles实现环境隔离什么是Spring Profiles1.基本概念2.配置管理3.使用场景4.条件化配置5.优点Spring Profiles的基础知识1.Profile的定义2.配置文件3.激活Profiles4.条件化配置5.Profile的优先级与合并6.Profiles的最佳实践配置文件的组织1.…
阅读更多...
SpringBoot使用TraceId日志链路追踪

SpringBoot使用TraceId日志链路追踪

项目场景&#xff1a; ??有时候一个业务调用链场景&#xff0c;很长&#xff0c;调了各种各样的方法&#xff0c;看日志的时候&#xff0c;各个接口的日志穿插&#xff0c;确实让人头大。为了解决这个痛点&#xff0c;就使用了TraceId&#xff0c;根据TraceId关键字进入服务…
阅读更多...
微信小程序网络请求封装

微信小程序网络请求封装

微信小程序的网络请求为什么要封装&#xff1f;封装使用有什么好处&#xff1f; 封装的目的是为了偷懒&#xff0c;试想一下每次都要wx.request&#xff0c;巴拉巴拉传一堆参数&#xff0c;是不是很麻烦&#xff0c;有些公共的参数例如header&#xff0c;baseUrl是不是可以封装…
阅读更多...
Element Plus table 去除行hover效果

Element Plus table 去除行hover效果

需求&#xff1a; 给table的指定行设置高亮背景色且去除掉这些行的hover效果 思路&#xff1a; 给指定行设置css类名选择需要设置高亮的行的单元格&#xff0c;设置鼠标禁用属性让高亮行继承父元素的背景色 考虑到表格的第一列是勾选框&#xff0c;因此仅选择 tr 下除了第一…
阅读更多...
认识vue-admin

认识vue-admin

认识vue-admin **核心交付:** 为什么要基于现成架子二次开发 什么是二次开发&#xff1a;基于已有的代码&#xff08;项目工程&#xff0c;脚手架&#xff09;开进行新功能的开发 所以看懂已有的框架中的既有代码&#xff0c;变得很重要了 1. 背景知识 后台管理系统是一种最…
阅读更多...
无人机航迹规划：孟加拉虎优化（ Savannah Bengal Tiger Optimization ，SBTO）算法求解无人机路径规划MATLAB

无人机航迹规划：孟加拉虎优化（ Savannah Bengal Tiger Optimization ，SBTO）算法求解无人机路径规划MATLAB

一、孟加拉虎优化算法 孟加拉虎优化&#xff08; Savannah Bengal Tiger Optimization &#xff0c;SBTO&#xff09;算法模拟了孟加拉虎的群体狩猎行为&#xff0c;采用了猎物搜索、隐身接近和攻击狩猎三种策略。 参考文献&#xff1a; [1]Yujing Sun, Xingguo Xu. Savann…
阅读更多...
sib报错：com.*.xctrunner is not in your device!

sib报错：com.*.xctrunner is not in your device!

1、问题描述 在使用sonic集成IOS设备的时候，我们需要通过sonic-agent服务去识别IOS设备。但是在识别的时候提示如下问题： 本质就是在你这个设备中找不到这个设备也就是找不到WebDriverAgentRunner，但是确实安装了，甚至appium可以正常的调用。 或执行如下命令的时候报错：…
阅读更多...
c++中什么时候应该使用final关键字？

c++中什么时候应该使用final关键字？

在C中&#xff0c;final关键字是自C11标准引入的重要特性&#xff0c;主要用于类继承和虚函数重写机制的约束。下面从技术原理、使用场景和最佳实践三个维度进行系统分析&#xff0c;并给出工业级代码示例。 目录 一、技术原理深度解析 二、关键使用场景分析 1. 类级别的fi…
阅读更多...
【AI】Docker中快速部署Ollama并安装DeepSeek-R1模型: 一步步指南

【AI】Docker中快速部署Ollama并安装DeepSeek-R1模型: 一步步指南

【AI】Docker中快速部署Ollama并安装DeepSeek-R1模型: 一步步指南 一、前言 为了确保在 Docker 环境中顺利安装并高效运行 Ollama 以及 DeepSeek 离线模型&#xff0c;本文将详细介绍整个过程&#xff0c;涵盖从基础安装到优化配置等各个方面。通过对关键参数和配置的深入理解…
阅读更多...
文件夹上传到github分支最后github上面还是没有文件和文件夹

文件夹上传到github分支最后github上面还是没有文件和文件夹

环境&#xff1a; github 问题描述&#xff1a; 文件夹上传到github分支最后github上面还是没有文件和文件夹, 和这样一样 解决方案&#xff1a; 从 git ls-tree -r HEAD 的输出中可以看到&#xff0c;metahuman-stream 文件夹显示为如下内容&#xff1a; 160000 commi…
阅读更多...
最新文章

Copyright @ 2022~2023