Container at War: Oltre il mito delle immagini Distroless

Togliere la shell e i tool di sistema rende un container inviolabile? Le immagini Distroless promettono una superficie d'attacco ridotta all'osso, convincendoci spesso di aver risolto i problemi di sicurezza alla radice. In questo talk smonteremo questa falsa illusione di invulnerabilità.

Guardando il problema con gli occhi di chi sviluppa e architetta i sistemi, vedremo all'atto pratico come vulnerabilità applicative (ad esempio in ambienti Node.js o Go) possano eseguire codice e aggirare i limiti del container senza aver alcun bisogno di una shell. Dimostreremo che la vera solidità non si ottiene semplicemente eliminando pacchetti, ma riprendendo il controllo tramite un hardening architetturale rigoroso: filesystem in sola lettura, policy restrittive e gestione consapevole. La sicurezza è ingegneria e design strutturale, non magia.

Struttura del Talk:

- L'illusione del minimalismo: Distroless e la riduzione della superficie d'attacco. Perché eliminare bash è un ottimo inizio, ma una pessima fine.

- Zero Trust Applicato: Più sicurezza non significa sicurezza totale. Smascheriamo il falso senso di protezione delegato al container.

- Vulnerabilità ereditate (Case Study): Analisi di CVE pubbliche note. Vedremo, dati alla mano, come l'assenza di tool di sistema non impedisca a un attaccante di colpire le librerie core.

- Il fattore umano e il runtime: Anche noi sviluppatori introduciamo bug. Esempi pratici di come vulnerabilità applicative vengano sfruttate aggirando totalmente i limiti fisici del container.

- Hardening architetturale (La vera difesa): Riprendere il controllo del sistema blindando il perimetro con filesystem in sola lettura e profilazione AppArmor.

- Dimostrazione di resilienza: Mettiamo alla prova l'hardening. Lo stesso exploit di prima si schianta contro le policy restrittive appena implementate.

- Takeaways: Non fidarsi mai ciecamente del "less is more". Il vero controllo si ottiene solo governando attivamente i propri sistemi.