Jeff Bruchado
Retour au blog

Plus de 10 000 Images Docker Hub Exposant des Credentials : Ce Que Vous Devez Savoir

Salut HaWkers, une découverte préoccupante secoue la communauté DevOps. Des chercheurs en sécurité ont identifié plus de 10 000 images publiques sur Docker Hub qui exposent des credentials, clés d'API, tokens d'accès et autres informations sensibles.

Si vous utilisez des containers Docker en production, cet article est essentiel pour comprendre le problème et comment vous protéger. La question va au-delà d'une simple faille technique : elle expose des pratiques non sécurisées répandues dans toute l'industrie.

La Découverte et Ses Dimensions

Des chercheurs en sécurité ont mené une analyse massive de Docker Hub, scannant des milliers d'images publiques à la recherche de secrets exposés. Le résultat a été alarmant.

Chiffres Principaux :

  • Plus de 10 000 images avec des credentials exposées
  • Clés AWS, tokens GitHub, mots de passe de bases de données
  • Certificats TLS privés et clés SSH
  • Tokens d'APIs de services cloud
  • Credentials de services tiers (Stripe, Twilio, SendGrid)

🚨 Alerte : Beaucoup de ces images sont téléchargées des milliers de fois par semaine, ce qui signifie que les credentials exposées peuvent être utilisées dans des environnements de production à travers le monde.

Comment les Credentials Finissent dans les Images

Comprendre comment cela arrive est crucial pour prévenir le problème dans vos propres images. Il existe plusieurs façons courantes par lesquelles les secrets finissent exposés dans les containers.

Scénarios Courants de Fuite

1. Variables d'Environnement dans le Build :

Les développeurs passent fréquemment des credentials comme variables d'environnement pendant le build, sans réaliser qu'elles restent enregistrées dans les couches de l'image.

# FAUX - Le credential reste dans l'image
FROM node:18
ENV DATABASE_URL=postgres://user:motdepasse@host:5432/db
COPY . .
RUN npm install

2. Fichiers de Configuration Copiés :

Des fichiers comme .env, config.json ou des credentials de cloud providers sont copiés accidentellement dans l'image.

# FAUX - Copie tout, y compris .env
FROM node:18
WORKDIR /app
COPY . .
RUN npm install

3. Historique des Couches :

Même si vous supprimez un fichier dans une couche ultérieure, il reste présent dans les couches précédentes de l'image.

# FAUX - Le fichier existe encore dans les couches
FROM node:18
COPY secrets.json /app/
RUN rm /app/secrets.json

Comment Vérifier Vos Propres Images

Maintenant que vous comprenez le problème, il est temps d'auditer vos images Docker. Il existe des outils spécifiques pour cette tâche.

Outils d'Analyse de Secrets

1. Trivy (Aqua Security) :

# Scanner une image locale
trivy image --scanners secret mon-image:latest

# Scanner une image Docker Hub
trivy image --scanners secret utilisateur/image:tag

2. Docker Scout :

# Analyser les vulnérabilités et secrets
docker scout cves mon-image:latest
docker scout quickview mon-image:latest

3. Dockle :

# Vérifier les bonnes pratiques
dockle mon-image:latest

Analyse Manuelle des Couches

Vous pouvez aussi inspecter les couches manuellement pour comprendre ce qui se trouve dans chacune :

# Sauvegarder l'image en tar
docker save mon-image:latest > image.tar

# Extraire et analyser
mkdir analyse && tar -xf image.tar -C analyse

# Vérifier le contenu des couches
for layer in analyse/*/layer.tar; do
  echo "=== $layer ==="
  tar -tf "$layer" | grep -E '\.(env|json|key|pem|conf)$'
done

Bonnes Pratiques pour Éviter les Fuites

Prévenir vaut toujours mieux que guérir. Voici les meilleures pratiques pour garder vos images Docker sécurisées.

1. Utilisez les Build Secrets (Docker BuildKit)

# syntax=docker/dockerfile:1.4
FROM node:18

# Utiliser un secret pendant le build sans l'exposer dans l'image
RUN --mount=type=secret,id=npm_token \
    NPM_TOKEN=$(cat /run/secrets/npm_token) \
    npm install
# Build avec secret
docker build --secret id=npm_token,src=./.npmrc -t app:latest .

2. Multi-Stage Builds

# Stage 1: Build avec dépendances
FROM node:18 AS builder
WORKDIR /app
COPY package*.json ./
# Les credentials n'existent que dans ce stage
ARG NPM_TOKEN
RUN npm install
COPY . .
RUN npm run build

# Stage 2: Image finale propre
FROM node:18-slim
WORKDIR /app
# Copie uniquement les artefacts nécessaires
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
CMD ["node", "dist/index.js"]

3. Fichier .dockerignore Robuste

# Ignorer les fichiers sensibles
.env
.env.*
*.pem
*.key
.aws/
.ssh/
credentials.json
secrets/
*.secret

# Ignorer les fichiers de développement
.git
node_modules
.vscode
*.log

4. Injection de Secrets au Runtime

# docker-compose.yml
version: '3.8'
services:
  app:
    image: mon-app:latest
    secrets:
      - db_password
      - api_key
    environment:
      - DB_PASSWORD_FILE=/run/secrets/db_password

secrets:
  db_password:
    file: ./secrets/db_password.txt
  api_key:
    external: true

L'Impact pour l'Industrie

Cette découverte soulève des questions importantes sur la sécurité de la chaîne d'approvisionnement logicielle.

Risques Identifiés

Accès à l'Infrastructure :

  • Les clés AWS permettent l'accès aux ressources cloud
  • Les credentials de base de données exposent des données sensibles
  • Les tokens CI/CD permettent l'injection de code malveillant

Mouvement Latéral :

  • Un credential exposé peut mener à d'autres
  • Accès aux dépôts privés
  • Compromission de pipelines entiers

Impact Financier :

  • Utilisation non autorisée de ressources cloud
  • Coûts de réponse aux incidents
  • Potentielles amendes réglementaires (RGPD)

Ce Que Font les Entreprises

Entreprise Action Prise
Docker Implémente le scan automatique
AWS Alertes pour clés exposées publiquement
GitHub Secret scanning dans les dépôts
Google Cloud Détection de credentials dans les logs

Outils de Prévention en CI/CD

Pour éviter que des credentials n'atteignent les images, implémentez des vérifications dans le pipeline CI/CD.

GitHub Actions

name: Security Scan
on: [push, pull_request]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Build Image
        run: docker build -t app:${{ github.sha }} .

      - name: Trivy Scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'app:${{ github.sha }}'
          format: 'sarif'
          output: 'trivy-results.sarif'
          scanners: 'vuln,secret'

      - name: Upload Results
        uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: 'trivy-results.sarif'

Pre-commit Hooks

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

  - repo: https://github.com/trufflesecurity/trufflehog
    rev: v3.63.0
    hooks:
      - id: trufflehog

Que Faire Si Vos Credentials Ont Été Exposées

Si vous découvrez que des credentials ont été exposées dans une image Docker, agissez immédiatement.

Étapes de Réponse :

  1. Rotationner les Credentials : Générez de nouvelles credentials immédiatement
  2. Auditer l'Utilisation : Vérifiez les logs d'accès pour un usage non autorisé
  3. Supprimer l'Image : Supprimez l'image de Docker Hub
  4. Notifier : Informez les équipes et parties prenantes concernées
  5. Documenter : Enregistrez l'incident pour analyse ultérieure

⚠️ Important : Supprimer simplement l'image n'est pas suffisant. Si quelqu'un a déjà téléchargé l'image, les credentials restent exposées. La rotation est obligatoire.

Conclusion

La fuite de plus de 10 000 images Docker avec des credentials exposées est un rappel que la sécurité doit être partie intégrante du processus de développement, pas une réflexion tardive. La bonne nouvelle est que les outils et pratiques pour prévenir cela sont disponibles et relativement simples à implémenter.

Si vous travaillez avec des containers, prenez le temps d'auditer vos images et d'implémenter les pratiques recommandées dans cet article. La sécurité de votre environnement en dépend.

Si vous vous intéressez à la sécurité dans le développement, je recommande de jeter un œil à un autre article : Vulnérabilité Critique dans React Server Components : Ce Que Vous Devez Savoir Pour Protéger Vos Applications où vous découvrirez comment protéger vos applications React contre les vulnérabilités récentes.

C'est parti ! 🦅

Commentaires (0)

Cet article n'a pas encore de commentaires. Soyez le premier!

Ajouter des commentaires