Istio 产品安全工作组
工作组概述
Istio 产品安全工作组（Product Security Working Group）成立于 2020 年 3 月，旨在识别、解决和预防 Istio 中的漏洞。其目标包括：
- 处理漏洞披露报告，并向社区和用户透明通报。
- 在 Istio 开发生命周期中提供新的安全指南。
- 确定 Istio 产品的安全威胁，如依赖项、附加组件和反模式，以推荐最佳安全实践。
工作组历史
- 早期由产品安全委员会（Product Security Committee）负责 CVE 修复，但协调困难。
- 2020 年 3 月成立产品安全工作组，以改进流程协调。
工作组成员
- 成员包括 TOC 代表（如 Google 的 Josh Blatt 和 Aspen Mesh 的 Neeraj Poddar）等 15 人。
- 代表公司包括 Aspen Mesh、Google、IBM、Invitae 和 Red Hat 等。
产品安全 vs 安全工作组
- 产品安全：关注 Istio 本身的安全，如修复漏洞和预防新问题。
- 安全：关注如何使用 Istio 功能来保护环境。
漏洞评分
- 使用 CVSS（Common Vulnerability Scoring System）评分系统，根据机密性、可用性、完整性和利用难度评分（0-10）。
- 评分越高，越容易利用。
漏洞处理目标
- 评估报告是否可复现、利用难度、控制平面和数据平面是否可利用。
漏洞处理流程
- 严重性评估：创建 CVSS 评分，并根据评分分配修复负责人。
- 组织修复：确定 SME、协调 embargo、找到测试和沟通负责人。
- 披露组织：通知早期披露列表和用户，并在 2 周内发布 CVE 补丁。
- 发布：构建版本、运行测试、发布到 istio.io 并披露 CVE。
- 事后分析：讨论流程改进，以提升未来 CVE 处理效率。
透明度措施
- 在多个渠道提前和发布漏洞修复信息。
- 提供 https://istio.io/latest/news/security/ 漏洞列表页面。
- 发布公共事后分析报告。
- 定期召开 Istio 社区产品安全会议。
主动措施
- 镜像漏洞扫描：使用 IBM 扫描器检查 Docker 镜像中的已知漏洞，确保发布前无漏洞。
- 第三方审计：进行 Istio 代码的第三方审计。
- 与 Envoy 安全团队合作：2/3 的 CVE 来自 Envoy，并共同负责披露。
- 依赖项集成：加强与其他依赖项的集成。
安全指南
- 提供 https://istio.io/latest/docs/ops/best-practices/security/ 安全部署指南，建议启用 mTLS、使用授权策略和禁用自动协议检测。
2021 年路线图
- 依赖项扫描：扫描过时代码依赖项。
- 代码扫描：在代码合并前扫描常见漏洞模式。
- 威胁建模：为 Istio 建立威胁模型，以更具体地评估和优先处理漏洞。
如何获取信息
- 加入早期披露列表：https://tinyurl.com/istioearlydisclosure
- 关注发布公告：RSS、Discuss、Twitter、Slack（即将推出 Google Group）
如何参与
- 参加每月社区会议：https://meet.google.com/vao-otzc-hvx
- 私密报告漏洞：istio-security-vulnerability-reports@googlegroups.com
如何处理安全 concern
- 遇到控制平面或数据平面崩溃、发现潜在漏洞、不确定漏洞影响或发现依赖项漏洞时，请联系 istio-security-vulnerability-reports@googlegroups.com。
数据统计
- 2020 年发布 11 个安全公告，涉及 17 个 CVE。
- 受支持的 Istio 版本：1.8 和 1.9。
