追求真正的零CVE容器镜像
💡
原文英文，约1400词，阅读约需5分钟。
📝
内容提要
追求“零CVE”容器镜像的供应商面临传统Linux发行版的结构性限制。尽管CVE是安全性的重要指标，创建安全镜像仍然具有挑战性。Chainguard等公司通过直接从源代码重建容器，力求实现零CVE状态，但依赖上游发行版的修复可能导致漏洞修复滞后，影响安全性。
🎯
关键要点
- 追求零CVE容器镜像的供应商面临传统Linux发行版的结构性限制。
- CVE是安全性的重要指标，但创建安全镜像仍然具有挑战性。
- Chainguard通过直接从源代码重建容器，力求实现零CVE状态。
- 依赖上游发行版的修复可能导致漏洞修复滞后，影响安全性。
- DHI的图像继承Debian的包集和安全策略，可能导致未修复的漏洞被标记为“未受影响”。
- Debian的“no-DSA”标记可能会误导下游用户，导致未修复的CVE被忽视。
- Chainguard的模型允许直接从源到镜像进行CVE处理，而不依赖上游发行版的时间表。
- CVE系统本身存在问题，许多CVE可能并不适用于特定环境。
- CVE计数并不足以确保镜像完全安全，零CVE并不意味着绝对安全。
❓
延伸问答
什么是零CVE容器镜像？
零CVE容器镜像是指没有已知安全漏洞（CVE）的容器镜像，旨在提高安全性。
Chainguard是如何实现零CVE状态的？
Chainguard通过直接从源代码重建容器，使用其软件Factory 2.0和开源方法DriftlessAF来实现零CVE状态。
依赖上游发行版的修复有什么风险？
依赖上游发行版的修复可能导致漏洞修复滞后，从而影响容器镜像的安全性。
Debian的“no-DSA”标记有什么影响？
Debian的“no-DSA”标记可能会误导用户，导致未修复的CVE被标记为“未受影响”，从而忽视实际风险。
CVE系统本身存在哪些问题？
CVE系统存在环境无关性和有效性问题，许多CVE可能并不适用于特定环境，且部分CVE的有效性存疑。
为什么零CVE并不意味着绝对安全？
零CVE并不意味着绝对安全，因为CVE计数不足以确保镜像完全安全，仍需考虑其他安全因素。
➡️
