开源SPIFFE/SPIRE的安全审计报告

几年前，CNCF 开始为项目执行和开源第三方安全审计，以提高我们生态系统的整体安全性。这些审计有助于识别安全问题，从一般的弱点到关键的漏洞，并为项目维护者提供了解决已识别的漏洞并添加文档以帮助用户的路线图。

最近，Cure53 完成了SPIRE 的审计[1]，SPIRE 是 SPIFFE 项目的一部分。SPIRE（SPIFFE Runtime Environment）是一个 API 工具链，用于跨各种托管平台在软件系统之间建立信任。该审计于 2021 年初完成，并于 2021 年年中开放源代码。

审计集中在三个方面：SPIRE 项目和软件综合体的安全态势、SPIRE 代码库的源代码审计，以及针对 SPIRE 部署的渗透测试。

审计发现，SPIRE 是一个考虑到安全性而创建的安全项目。Cure53 团队在项目中没有发现任何严重的（或关键的）安全缺陷。它确实发现了一些值得修复的小漏洞和实现问题，范围从中等到高，包括：

• CVE-2021-27099：Spiffe ID 路径规范化允许冒充（中）
• CVE-2021-27098：通过遗留节点 API 进行服务器冒充（高）

根据 Cure53 团队的说法，“代码库及其广泛的文档非常干净，结构良好，易于理解。尽管存在一些缺陷，如过时的第三方库（参见 SPI-01-005），或缺乏输入验证（如 CVE-2021-27099），但整个项目的总体质量可以被判断为相当成熟。”

“总的来说，我们对审计的过程和结果都非常满意。”SPIRE 项目维护者 Evan Gilman 说：“我们不仅获得了有价值的反馈，帮助我们提高了 SPIRE 软件和流程的质量，而且我们还能够验证我们解决这一困难和安全关键问题的方法是可靠的，经得起仔细审查。”

请在此[2]完整阅读审计报告。然后，了解更多[3]关于 SPIRE 项目和参与[4]！

参考资料

[1]

SPIRE 的审计: https://github.com/spiffe/spire/blob/main/doc/cure53-report.pdf

[2]

此: https://github.com/spiffe/spire/blob/main/doc/cure53-report.pdf

[3]

了解更多: https://github.com/spiffe/spire#learn-about-spire

[4]

参与: https://github.com/spiffe/spire#contribute-to-spire