Sicherheit bei runnerhut

Isolation

• Ein Job, eine microVM mit eigenem Kernel – niemals ein Container auf einem gemeinsam genutzten Kernel
• Die VM wird am Jobende zerstört; Festplatten werden kryptografisch gelöscht und nicht wiederverwendet
• Cache-Objekte werden verschlüsselt und pro Repository festgelegt
• Kein Operator-Shell-Zugriff auf laufende Job-VMs

Compliance

• SOC 2 Typ 2, jährlich geprüft, Bericht verfügbar unter NDA
• Jährlicher Penetrationstest durch Dritte
• DSGVO-DPA mit veröffentlichten Unterauftragsverarbeitern und 30-tägiger Änderungsmitteilung
• Datenresidenz in der EU und den USA für Rechenleistung, Cache, Protokolle und Metriken

Zugang und Identität

• Integriert sich als GitHub App mit bereichsbezogenen Installationstokens – niemals einem persönlichen Zugriffstoken
• SAML- und OIDC-SSO mit SCIM-Bereitstellung
• Nur anfügbares Audit-Log mit SIEM-Export
• Pro Läufergruppe ist standardmäßig eine Richtlinie zum Verweigern von ausgehendem Datenverkehr verfügbar

Was ein kompromittierter Job erreichen konnte und was nicht

Es lohnt sich, es deutlich zu sagen, denn es ist die Frage, die ein Rezensent tatsächlich stellt. Ein Job wird in seiner eigenen Mikro-VM mit eigenem Kernel ausgeführt, sodass die Flucht zum Host die harte Grenze und nicht ein Container-Namespace darstellt. Es kann das Netzwerk erreichen, es sei denn, eine Ausgangsrichtlinie schränkt es ein. Aus diesem Grund ist die Standardverweigerung des Ausgangs wichtiger als die meisten Kontrollen. Der Cache eines anderen Mandanten kann nicht gelesen werden, da Cache-Objekte pro Repository verschlüsselt werden. Es kann nicht bestehen bleiben, da die VM und ihre Festplatte am Ende des Auftrags zerstört werden.

Wo tatsächlich das Restrisiko liegt

• Ihr Workflow: überberechtigtes GITHUB_TOKEN, nicht angepinnte Aktionen von Drittanbietern, pull_request_target mit einem Checkout des PR-Chefs
• Ihre Abhängigkeiten: Ein kompromittiertes Postinstallationsskript wird mit jedem Netzwerkzugriff ausgeführt, über den der Läufer verfügt
• Ihre Geheimnisse: Alles, was in einen Job entschlüsselt wird, ist für den in diesem Job ausgeführten Code sichtbar, einschließlich des Codes, den eine eingezogene Abhängigkeit enthält

Wir können die zweite und dritte Möglichkeit mit Ausgangsrichtlinien und kurzlebigen Anmeldeinformationen einschränken. Die erste gehört Ihnen und die Sicherheitscheckliste GitHub Actions deckt sie in fünf Änderungen ab.