seccomp

Définition

Seccomp (Secure Computing Mode) est un mécanisme de sécurité du noyau Linux permettant de restreindre les appels système (syscalls) qu'un processus peut effectuer. En Kubernetes, les profils seccomp limitent les syscalls disponibles pour les conteneurs, réduisant drastiquement la surface d'attaque en empêchant l'exploitation de vulnérabilités noyau via des syscalls non nécessaires. Seccomp fonctionne en mode filtre : un programme BPF (Berkeley Packet Filter) définit quels syscalls sont autorisés, refusés (avec SIGSYS ou retour EPERM), ou tracés. Les profils seccomp en Kubernetes sont des fichiers JSON listant les syscalls autorisés (whitelist) ou refusés (blacklist). Le profil RuntimeDefault (fourni par le container runtime comme containerd) autorise les syscalls nécessaires à la plupart des applications conteneurisées et est activé par défaut dans Kubernetes 1.27+. Les profils seccomp dans Kubernetes se configurent via le champ securityContext.seccompProfile dans les PodSpec. Trois valeurs sont possibles : RuntimeDefault (profil du container runtime, recommandé comme minimum), Localhost (profil personnalisé stocké sur le nœud dans /var/lib/kubelet/seccomp/), et Unconfined (aucun filtrage - déconseillé). Les Pod Security Standards Kubernetes imposent RuntimeDefault ou Localhost pour le profil Restricted. La création de profils seccomp personnalisés pour une application spécifique nécessite d'identifier les syscalls réellement utilisés. L'outil SeccompProfilerOperator Kubernetes automatise ce processus : il enregistre les syscalls utilisés par une application pendant son exécution, puis génère un profil minimal. Des outils comme inspektor-gadget et Tetragon permettent aussi cette découverte de syscalls. Les attaques Kubernetes ciblant les vulnérabilités du noyau (container escape via kernel exploits) utilisent souvent des syscalls qui ne sont pas nécessaires pour les applications normales : ptrace pour le debugging de processus, pivot_root ou clone pour la manipulation des namespaces, et mount pour monter des filesystems. Un profil seccomp restrictif bloque ces syscalls, rendant ces attaques beaucoup plus difficiles même si le conteneur est compromis.