[發明專利]一種基于區塊鏈技術的容器鏡像可信認證的系統與方法

有效

• 申請號: 202010644383.1
• 申請日: 2020-07-07
• 公開（公告）號: CN111787116B
• 公開（公告）日: 2021-08-20
• 發明（設計）人: 潘遠航;顏開;張瀟;徐俊杰
• 申請（專利權）人: 上海道客網絡科技有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;H04L9/32
• 代理公司: 上海市匯業律師事務所 31325
• 代理人: 王函

本發明公開了一種基于區塊鏈技術的容器鏡像可信認證的系統與方法，系統包含鏡像簽名注冊組件、去中心化的鏡像可信認證組件、鏡像簽名驗證組件、鏡像倉庫；方法包含：步驟1：原作者上傳鏡像至鏡像簽名注冊組件，鏡像簽名注冊組件根據鏡像計算出鏡像作者信息、數字簽名、鏡像名稱、鏡像ID并整合成可信認證信息后與鏡像寫入去中心化的鏡像可信認證組件中后將鏡像與可信認證信息組合成智能合約寫入區塊鏈網絡中，將鏡像上傳至鏡像倉庫內；步驟2：下載者從鏡像倉庫下載鏡像，對鏡像進行數字簽名計算，并從去中心化的鏡像可信認證組件中獲取鏡像與數字簽名；步驟3：將兩個數字簽名進行對比驗證，若相同允許鏡像被使用，若不相同拒絕鏡像被使用。

技術領域

本發明涉及云原生領域中，具體涉及一種基于區塊鏈技術的容器鏡像可信認證的系統與方法。

背景技術

在云原生領域中，基于容器技術的應用開發和應用部署，都需要基于從遠程下載的容器鏡像，但是所下載的鏡像的可信度認證就一個重要的安全問題，也是一個知識產權保護的問題，目前針對從鏡像上傳到服務器之后，到某用戶下載使用該鏡像之間，需要解決如何防止鏡像被篡改的問題，因此本專利申請提出一種基于區塊鏈的智能合約技術的去中心化技術，對容器鏡像進行認證，該方法能夠很好解決上述問題，同樣的技術，同樣可以對容器編排腳本也進行相應的可信認證；

Docker（應用容器引擎）鏡像分發是通過遠端倉庫(registry)分發數據實現的，鏡像發布者在本地計算機上構建容器鏡像，然后將鏡像推送到遠程倉庫，然后其他用戶可以通過網絡拉取鏡像；

在現存的鏡像倉庫技術中，有如下幾種安全機制來保證鏡像不被篡改/進行可信認證：

1.鏡像倉庫提供商的鏡像操作都需要用戶名/密碼登陸，避免鏡像被人隨意篡改；

2.容器鏡像簽名技術（Docker Content Trust），通過對鏡像進行數字簽名，并在鏡像倉庫保障鏡像簽名的認證；

3.鏡像倉庫提供商的上傳/下載是通過HTTPS協議加密傳輸；

4.部分鏡像倉庫提供商也會提供基本的鏡像安全掃描機制，在某種程度上能提前發現有非法植入安全風險的惡意鏡像，并提示給用戶；

5.鏡像下載頁面上，一般會有標注鏡像上傳的用戶名，并按照例如下載量排序等，以保證最熱門的鏡像排列在前面；

但是現有技術方法并不是完全可靠的，對上述的安全機制，其缺點為：

1.用戶名密碼：弱用戶名密碼常容易被破解，并且倉庫服務提供商的服務器也可能被惡意入侵，無法保證下載的鏡像就是原始作者最開始時所上傳的鏡像；

2.鏡像簽名技術：鏡像發布可以對其容器鏡像進行數字簽名，鏡像使用者可以通過遠程服務器來檢驗簽名的完整性和發布者，首先該技術需要一個中心化的認證服務器（Docker Notary服務器）來驗證，簽名的公鑰是被添加到Notary服務器（公證服務器），這個中心化的服務器地址有可能被惡意劫持或者被偽造，所以即使鏡像內容被簽名，也無法保證簽名本身不被篡改；

3.HTTPS的協議在一些場景下會受到“中間人攻擊”，也非絕對安全；

4.如果不被信任的、含有惡意代碼的鏡像被上傳，雖然鏡像倉庫供應商有安全掃描功能，并且無法保證第一時間發現所有的惡意程序，也無法保障鏡像內容的可信任和可靠性；

5.有些惡意攻擊者，會上傳一個與現有熱門鏡像同名的鏡像，通過“魚目混珠”的方式讓使用者下載其鏡像，因為倉庫頁面一般通過下載熱門程度排序，剽竊者很容易通過偽造熱門狀況，將所剽竊的鏡像排在前面位置，竊取鏡像的冠名權；

關于安全信任問題：在云原生領域中，基于kubernetes或docker的應用開發和部署過程中，都需要去遠端下載鏡像，安全性非常重要，而鏡像的可信度從根本上決定應用的安全性，但是基于容器的安全領域，在業界尚未成熟；