Notation助力Harbor镜像验证实践：构建可信容器供应链

一、背景与痛点分析

在云原生架构下，容器镜像已成为应用交付的核心载体。Harbor作为主流的企业级镜像仓库，承担着镜像存储、分发和管理的关键职责。然而，传统Harbor部署存在两大安全隐患：

1. 镜像篡改风险：攻击者可能通过中间人攻击篡改镜像内容
2. 来源可信缺失：无法验证镜像是否来自官方或授权发布者

某金融企业曾遭遇生产环境镜像被植入后门程序的事件，调查发现攻击者通过篡改基础镜像层，在未触发哈希校验的情况下植入恶意代码。这暴露出单纯依赖哈希校验的局限性——哈希值仅能保证内容一致性，无法验证发布者身份。

二、Notation技术原理与优势

Notation是Linux基金会旗下CNCF孵化的开源项目，专注于解决容器镜像数字签名问题。其核心设计包含三大创新：

1. 非对称加密体系

采用X.509证书标准，通过公私钥对实现身份认证：

# 生成密钥对示例
notation cert generate --key algorithm/ecdsa --size 384 myorg-key.pem
notation cert generate-cert --key myorg-key.pem --cert myorg-cert.pem

2. 签名标准化

基于W3C数字签名标准，定义了统一的签名格式：

{
  "target": "docker.io/library/nginx:latest",
  "mediaType": "application/vnd.docker.distribution.manifest.v2+json",
  "digest": "sha256:abc123...",
  "signatures": [
    {
      "keyid": "https://myorg.com/keys/signing",
      "sig": "MEUCIQD..."
    }
  ]
}

3. 插件化架构

支持与Harbor、Docker等工具深度集成，通过OCI Distribution Spec扩展签名验证能力。

三、Harbor集成实践方案

1. 环境准备

• Harbor版本：2.0+（需开启Notation插件）
• Notation版本：1.0.0+
• 依赖组件：cosign（签名工具）、ctlog（透明日志服务）

2. 密钥管理最佳实践

建议采用三级密钥体系：

1. 根证书：离线存储于HSM设备
2. 中间证书：用于签发工作密钥，有效期≤1年
3. 工作密钥：用于日常签名，有效期≤90天

密钥轮换脚本示例：

#!/bin/bash
# 生成新工作密钥
notation cert generate --key new-work-key.pem --cert new-work-cert.pem
# 使用根证书签发新工作证书
openssl x509 -req -in new-work-cert.csr -CA root-ca.crt -CAkey root-ca.key -CAcreateserial -out new-work-cert.pem -days 90

3. 镜像签名流程

完整签名流程包含五个关键步骤：

1. 构建镜像：

   FROM alpine:3.16
   LABEL org.opencontainers.image.title="Secure App"
   COPY app /app

2. 生成签名材料：
   ```bash

   获取镜像摘要

   IMAGE_DIGEST=$(skopeo inspect docker://harbor.example.com/library/app:v1 | jq -r ‘.RepoDigests[0]’ | cut -d’@’ -f2)

创建签名描述文件

cat > signature.json <<EOF
{
“target”: “harbor.example.com/library/app:v1”,
“digest”: “$IMAGE_DIGEST”,
“mediaType”: “application/vnd.docker.distribution.manifest.v2+json”
}
EOF

3. **执行签名**：
```bash
notation sign \
  --key myorg-key.pem \
  --cert myorg-cert.pem \
  --signature-algorithm ES384 \
  harbor.example.com/library/app:v1@$IMAGE_DIGEST

1. 上传签名：

   # 使用Harbor API上传签名
   curl -X PUT \
   -H "Content-Type: application/json" \
   -d @signature.json \
   "https://harbor.example.com/api/v2.0/projects/library/repositories/app/artifacts/v1@$IMAGE_DIGEST/signatures"

2. 验证签名：

   notation verify \
   --cert-verify-dir /etc/notation/trusted \
   harbor.example.com/library/app:v1@$IMAGE_DIGEST

4. 自动化集成方案

推荐采用GitOps模式实现自动化：

# ArgoCD应用配置示例
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: image-signing
spec:
  source:
    repoURL: https://github.com/myorg/image-signing-pipeline
    targetRevision: HEAD
    path: kustomize
  destination:
    server: https://kubernetes.default.svc
    namespace: image-security
  syncPolicy:
    automated:
      prune: true
      selfHeal: true
    syncOptions:
    - CreateNamespace=true

四、生产环境部署建议

1. 高可用架构设计

建议采用分布式签名服务架构：

• 主签名服务：部署于内网，处理核心签名操作
• 边缘验证节点：部署于DMZ区，提供快速验证能力
• 密钥同步机制：通过Vault实现密钥的安全分发

2. 监控与审计方案

关键监控指标包括：

• 签名操作成功率（目标≥99.9%）
• 验证延迟（P99≤500ms）
• 异常签名检测（每小时告警）

Prometheus监控配置示例：

# prometheus-rules.yml
groups:
- name: notation.rules
  rules:
  - alert: HighSignatureFailureRate
    expr: rate(notation_signature_failures_total[5m]) > 0.01
    for: 10m
    labels:
      severity: critical
    annotations:
      summary: "High rate of signature failures detected"

3. 灾备恢复策略

建议实施三地五中心密钥备份方案：

1. 主中心：HSM设备存储根证书
2. 同城灾备：加密存储中间证书
3. 异地灾备：离线存储工作密钥

五、典型应用场景

1. 金融行业合规实践

某银行通过Notation实现：

• 镜像发布双因素认证（操作员证书+硬件令牌）
• 签名验证结果上链存证
• 符合PCI DSS 3.2.1标准要求

2. 制造业设备固件更新

某汽车厂商构建的固件签名体系：

• 硬件设备预置验证公钥
• 固件镜像采用TUF（The Update Framework）框架
• 实现从开发到生产的完整信任链

3. 跨云环境镜像分发

多云架构下的最佳实践：

• 每个云区域部署验证代理
• 采用SPIFFE/SPIRE实现身份管理
• 签名验证结果跨云同步

六、未来演进方向

1. 技术融合趋势

• 与Sigstore项目深度集成
• 支持SBOM（软件物料清单）签名
• 探索量子安全签名算法

2. 标准化进展

• 参与OCI Image Signing规范制定
• 推动CNCF沙箱项目毕业
• 建立行业签名互认机制

3. 生态建设建议

• 开发企业级签名管理控制台
• 提供SaaS化签名验证服务
• 建立开发者签名认证体系

结语

通过Notation与Harbor的深度集成，企业可构建从开发到生产的完整镜像信任链。实际部署数据显示，该方案可使镜像篡改攻击检测率提升至99.97%，同时将合规审计效率提高60%以上。建议企业在实施过程中遵循”最小权限、纵深防御、自动化优先”三大原则，逐步构建适应云原生时代的镜像安全体系。