Blaskow David

Le FaaS (pour Function as a Service), le « serverless », c'est un peu la terre promise en ce moment, et pour cause. Jamais les petits gars des opérations n'ont autant pu se réjouir d'avoir une infrastructure aussi bien huilée : de belles machines HCI (Hyper-Converged Infrastructure), sur lesquelles apparaissent comme des pop-corns de jolies machines virtuelles, et par-dessus tout ça un beau et flambant neuf Kubernetes. Alors oui, ils sont fiers, et ils ont de quoi : ils sont parvenus à maîtriser tout ça. D'un autre côté, ça arrange les petits gars du dev : puisque les ops sont si épanouis, qu'ils nous donnent l'occasion de nous épanouir à notre tour, et de ne nous consacrer qu'à notre code, pas au build, pas au pipeline, pas au déploiement, que le code ! Et c'est clairement la promesse que nous fait le serverless, mais Knative est-il en mesure de la tenir ?

Qu'est-ce qui vous garanti que vous êtes à l'abri ? Ces dernières années, nous avons vu passer pas mal de failles critiques telles que la CVE-2016-5195 [1] si joliment surnommée dirtycow ou la CVE-2017-5123 [2][3] qui utilise waitid(). Toutes les deux ont deux points communs : 1) de permettre de s'échapper d'un conteneur et devenir root de l'hôte 2) le hack se fait par le biais d'un appel système. Si ces failles sont aujourd'hui corrigées, comment allez-vous vous mettre à l'abri de la prochaine ? Êtes-vous en sécurité ?

Cela ne vous frappe pas que tout le secteur informatique ait les yeux rivés sur Kubernetes ? Moi, ça me donne à réfléchir. En quoi est-ce qu'un chroot ne ferait pas aussi bien le travail ? Les machines virtuelles seraient donc en fin de vie ? Quels sont les cas d'usage des conteneurs, et aussi quand ne pas les utiliser ? Je peux sûrement amener ici quelques éléments de réponse.