داکر: صفر CVE بهعنوان پیشفرض
خلاصهٔ کاملتر
به گفتهٔ داکر، حملات زنجیرهٔ تأمین دیگه اتفاقهای پراکنده نیستن و امسال حتی ابزارهای امنیتی مثل Trivy و KICS هم هدف قرار گرفتن. تو این مقاله اومده که بیشتر از یکچهارم کد پروداکشن رو الان هوش مصنوعی مینویسه و ایجنتها با سرعت ماشین دیپندنسی اضافه میکنن. نتیجهش اینه که حجم کدی که خودت ننوشتی ولی مسئولشی، هر هفته بیشتر میشه.
جواب داکر همون Docker Hardened Images ـه، یعنی ایمیجهایی که خود داکر از سورس میسازه و پچ میکنه. کل کاتالوگ برای هر توسعهدهندهای رایگانه، با آلپاین و دبیان سازگاره و رفتن سراغش فقط عوض کردن خط FROM ـه، نه یه پروژهٔ مهاجرت. هر ایمیج SBOM امضاشده (یعنی فهرست رسمی همهٔ اجزای داخل ایمیج) و provenance سطح SLSA Build Level 3 داره. کاتالوگ الان از ۴۰۰۰ ایمیج رد شده و هفتهای بیش از ۳٫۵ میلیون pull میخوره.
تازگی هاردنینگ یه لایه پایینتر هم رفته: Docker Hardened System Packages خود پکیجهای داخل ایمیج رو روی آلپاین و دبیان از سورس میسازه و پچ میکنه. مشتریهای Enterprise میتونن apt یا apk رو مستقیم به ریپازیتوری هاردنشدهٔ داکر وصل کنن و همون پکیجها رو تو ایمیجهای خودشون بیارن. مزیتش اینه که پکیجهای سیستمی معمولاً کند پچ میشن و باید منتظر ریلیز بعدی توزیع بمونی؛ اینجا یه موج بیلد، فیکس رو تو همهٔ ایمیجهایی که اون پکیج رو دارن پخش میکنه.
دو تا قابلیت دیگه هم هست. ELS نرمافزاری که به آخر عمرش رسیده رو تا پنج سال با SBOM و provenance پچ نگه میداره؛ تازهترین موردش MinIO ـه که آپاستریم فوریهٔ ۲۰۲۶ آرشیوش کرد ولی تو کاتالوگ زنده مونده. تو بخش customization هم اولین تغییری که میدی گارانتی رو از بین نمیبره: داکر ایمیج سفارشیت رو با هر پچ آپاستریم دوباره میسازه و SBOM و اتستیشن و SLA همراهش میمونه. برای اروپا هم customization میزبانیشده تو EU سپتامبر میاد.
حلقهٔ آخر Docker Scout ـه. به گفتهٔ نویسنده اسکن فقط میگه چی خرابه، ولی این پالیسیه که جلوی شیپشدنش رو میگیره. پالیسیها با Rego نوشته میشن، همونهاییان که داکر خودش برای تأیید ایمیجهای کاتالوگ استفاده میکنه، و مهمتر اینکه قابل حملن: همون قانونی که تو CI جلوی بیلد رو میگیره، رو لپتاپ توسعهدهنده هم اجرا میشه. گیتگذاشتن رو رجیستری خوبه ولی دور زدنش راحته.
نکات کلیدی:
- کاتالوگ DHI از ۴۰۰۰ ایمیج رد شده و هفتهای بیش از ۳٫۵ میلیون pull داره.
- کل کاتالوگ برای همهٔ توسعهدهندهها رایگانه و شروعش فقط عوض کردن خط FROM ـه.
- پکیجهای سیستمی هاردنشده روی آلپاین و دبیان از سورس ساخته میشن و مشتری Enterprise میتونه apt/apk رو به ریپوی داکر وصل کنه.
- ELS نرمافزار EOL رو تا ۵ سال پچ نگه میداره؛ MinIO بعد از آرشیو شدن در فوریهٔ ۲۰۲۶ اضافه شده.
- پالیسیهای Docker Scout با Rego نوشته میشن و از CI تا ماشین توسعهدهنده اجرا میشن.
- نسخهٔ میزبانیشده در اتحادیهٔ اروپا برای customization سپتامبر عرضه میشه.
