[发明专利]一种基于区块链技术的容器镜像可信认证的系统与方法

说明书

本发明公开了一种基于区块链技术的容器镜像可信认证的系统与方法，系统包含镜像签名注册组件、去中心化的镜像可信认证组件、镜像签名验证组件、镜像仓库；方法包含：步骤1：原作者上传镜像至镜像签名注册组件，镜像签名注册组件根据镜像计算出镜像作者信息、数字签名、镜像名称、镜像ID并整合成可信认证信息后与镜像写入去中心化的镜像可信认证组件中后将镜像与可信认证信息组合成智能合约写入区块链网络中，将镜像上传至镜像仓库内；步骤2：下载者从镜像仓库下载镜像，对镜像进行数字签名计算，并从去中心化的镜像可信认证组件中获取镜像与数字签名；步骤3：将两个数字签名进行对比验证，若相同允许镜像被使用，若不相同拒绝镜像被使用。

技术领域

本发明涉及云原生领域中，具体涉及一种基于区块链技术的容器镜像可信认证的系统与方法。

背景技术

在云原生领域中，基于容器技术的应用开发和应用部署，都需要基于从远程下载的容器镜像，但是所下载的镜像的可信度认证就一个重要的安全问题，也是一个知识产权保护的问题，目前针对从镜像上传到服务器之后，到某用户下载使用该镜像之间，需要解决如何防止镜像被篡改的问题，因此本专利申请提出一种基于区块链的智能合约技术的去中心化技术，对容器镜像进行认证，该方法能够很好解决上述问题，同样的技术，同样可以对容器编排脚本也进行相应的可信认证；

Docker（应用容器引擎）镜像分发是通过远端仓库(registry)分发数据实现的，镜像发布者在本地计算机上构建容器镜像，然后将镜像推送到远程仓库，然后其他用户可以通过网络拉取镜像；

在现存的镜像仓库技术中，有如下几种安全机制来保证镜像不被篡改/进行可信认证：

1.镜像仓库提供商的镜像操作都需要用户名/密码登陆，避免镜像被人随意篡改；

2.容器镜像签名技术（Docker Content Trust），通过对镜像进行数字签名，并在镜像仓库保障镜像签名的认证；

3.镜像仓库提供商的上传/下载是通过HTTPS协议加密传输；

4.部分镜像仓库提供商也会提供基本的镜像安全扫描机制，在某种程度上能提前发现有非法植入安全风险的恶意镜像，并提示给用户；

5.镜像下载页面上，一般会有标注镜像上传的用户名，并按照例如下载量排序等，以保证最热门的镜像排列在前面；

但是现有技术方法并不是完全可靠的，对上述的安全机制，其缺点为：

1.用户名密码：弱用户名密码常容易被破解，并且仓库服务提供商的服务器也可能被恶意入侵，无法保证下载的镜像就是原始作者最开始时所上传的镜像；

2.镜像签名技术：镜像发布可以对其容器镜像进行数字签名，镜像使用者可以通过远程服务器来检验签名的完整性和发布者，首先该技术需要一个中心化的认证服务器（Docker Notary服务器）来验证，签名的公钥是被添加到Notary服务器（公证服务器），这个中心化的服务器地址有可能被恶意劫持或者被伪造，所以即使镜像内容被签名，也无法保证签名本身不被篡改；

3.HTTPS的协议在一些场景下会受到“中间人攻击”，也非绝对安全；

4.如果不被信任的、含有恶意代码的镜像被上传，虽然镜像仓库供应商有安全扫描功能，并且无法保证第一时间发现所有的恶意程序，也无法保障镜像内容的可信任和可靠性；

5.有些恶意攻击者，会上传一个与现有热门镜像同名的镜像，通过“鱼目混珠”的方式让使用者下载其镜像，因为仓库页面一般通过下载热门程度排序，剽窃者很容易通过伪造热门状况，将所剽窃的镜像排在前面位置，窃取镜像的冠名权；

关于安全信任问题：在云原生领域中，基于kubernetes或docker的应用开发和部署过程中，都需要去远端下载镜像，安全性非常重要，而镜像的可信度从根本上决定应用的安全性，但是基于容器的安全领域，在业界尚未成熟；