Механізм безпечного оновлення контейнерів із застосуванням криптографії

Abstract

У кваліфікаційній роботі магістра досліджено та реалізовано механізм безпечного оновлення контейнеризованих застосунків із використанням криптографічних методів перевірки автентичності та цілісності програмного забезпечення. Запропоноване рішення базується на побудові захищеного CI/CD-конвеєра з наскрізним ланцюжком довіри, що охоплює всі етапи життєвого циклу контейнерного застосунку, від формування релізу до автоматичного розгортання на кінцевому пристрої. У першому розділі виконано огляд контейнерних технологій і процесів безперервної інтеграції та доставки, а також проаналізовано загрози безпеці, пов’язані з атаками на ланцюжок постачання програмного забезпечення. Розглянуто криптографічні основи захищених оновлень і існуючі рішення для перевірки автентичності контейнерних образів. У другому розділі спроєктовано архітектуру захищеного CI/CD-конвеєра з використанням GitHub Actions, приватного контейнерного реєстру та технологій Sigstore Cosign, описано механізми keyless-підпису та формування атестацій походження збірки. У третьому розділі реалізовано прототип системи безпечного оновлення контейнерів на сервері Raspberry Pi з автоматизованою перевіркою цифрових підписів, атестацій походження та коректності версій перед розгортанням застосунків. Результати тестування підтвердили ефективність запропонованого підходу та можливість його практичного використання в DevOps-, IoT- та edge-середовищах для підвищення рівня інформаційної безпеки.

The master's thesis explores and implements a mechanism for securely updating containerized applications using cryptographic methods to verify the authenticity and integrity of software. The proposed solution is based on the construction of a secure CI/CD pipeline with an end-to-end chain of trust covering all stages of the container application lifecycle, from release formation to automatic deployment on the end device. The first chapter provides an overview of container technologies and continuous integration and delivery processes, as well as an analysis of security threats associated with attacks on the software supply chain. The cryptographic foundations of secure updates and existing solutions for authenticating container images are discussed. The second chapter designs the architecture of a secure CI/CD pipeline using GitHub Actions, a private container registry, and Sigstore Cosign technologies, and describes the mechanisms of keyless signing and the formation of build origin attestations. The third section implements a prototype of a secure container update system on a Raspberry Pi server with automated verification of digital signatures, attestations of origin, and version correctness before application deployment. Testing results confirmed the effectiveness of the proposed approach and its practical applicability in DevOps, IoT, and edge environments to improve information security.