如何列出 docker 中所有已知的根密钥（Docker Content Trust）

Question

如何列出系统上的所有Docker Content Trust根密钥？

我正在设置一个 CI 进程，该进程将使用debian:stable-slim docker 映像在临时云实例中构建我的应用程序版本。 我想确保每次我的新构建系统执行docker pull debian:stable-slim ，它不会只是盲目地对用于签署 debian docker 映像的根公钥进行 TOFU 处理——从而破坏了 DCT 的整个安全模型。

在下载给定的 docker 镜像之前，如何检查系统是否已经拥有镜像的根公钥？

Answer 1

要查看您的系统上已有哪些密钥（通过 TOFU 快乐/盲目/悄悄地获得，除非您自己将它们放在那里），请检查$HOME/.docker/trust/tuf/docker.io/library

例如：

root@disp9131:~# export DOCKER_CONTENT_TRUST=1
root@disp9131:~#

root@disp9131:~# docker pull debian:stable-slim
Pull (1 of 1): debian:stable-slim@sha256:89ff9e144a438f6bdf89fba6a1fdcb614b6d03bc14433bbb937088ca7c7a7b6d
sha256:89ff9e144a438f6bdf89fba6a1fdcb614b6d03bc14433bbb937088ca7c7a7b6d: Pulling from library/debian
696098ac4087: Pull complete 
Digest: sha256:89ff9e144a438f6bdf89fba6a1fdcb614b6d03bc14433bbb937088ca7c7a7b6d
Status: Downloaded newer image for debian@sha256:89ff9e144a438f6bdf89fba6a1fdcb614b6d03bc14433bbb937088ca7c7a7b6d
Tagging debian@sha256:89ff9e144a438f6bdf89fba6a1fdcb614b6d03bc14433bbb937088ca7c7a7b6d as debian:stable-slim
root@disp9131:~# 

root@disp9131:~# ls $HOME/.docker/trust/tuf/docker.io/library
debian
root@disp9131:~# 

root@disp9131:~# docker pull ubuntu:latest
Pull (1 of 1): ubuntu:latest@sha256:bc2f7250f69267c9c6b66d7b6a81a54d3878bb85f1ebb5f951c896d13e6ba537
sha256:bc2f7250f69267c9c6b66d7b6a81a54d3878bb85f1ebb5f951c896d13e6ba537: Pulling from library/ubuntu
d72e567cc804: Pull complete 
0f3630e5ff08: Pull complete 
b6a83d81d1f4: Pull complete 
Digest: sha256:bc2f7250f69267c9c6b66d7b6a81a54d3878bb85f1ebb5f951c896d13e6ba537
Status: Downloaded newer image for ubuntu@sha256:bc2f7250f69267c9c6b66d7b6a81a54d3878bb85f1ebb5f951c896d13e6ba537
Tagging ubuntu@sha256:bc2f7250f69267c9c6b66d7b6a81a54d3878bb85f1ebb5f951c896d13e6ba537 as ubuntu:latest
root@disp9131:~# 

root@disp9131:~# ls $HOME/.docker/trust/tuf/docker.io/library
debian  ubuntu
root@disp9131:~# 

警告！ 请注意，默认情况下禁用 docker content trust。 即使在启用后，它也会默默地下载并愚蠢地信任它获得的任何根密钥。 因此，如果您在每次执行时都重新启动的临时构建系统上使用 Docker，那么DCT 完全是安全剧院，并且在每次运行时都容易受到 MITM 攻击。

也可以看看

1. https://docs-stage.docker.com/engine/security/trust/content_trust/
2. https://github.com/docker/cli/issues/2752
3. Docker 信任初始化
4. https://security.stackexchange.com/questions/238529/how-to-list-all-of-the-known-root-keys-in-docker-docker-content-trust