Aggiungi l'account utente principale al gruppo docker

Quindi, per un sistema desktop standard in cui non si dispone di più utenti, l'aggiunta del proprio utente al gruppo docker potrebbe non rappresentare un grave rischio, a seconda della propensione al rischio e del tipo di utilizzo della macchina. È approssimativamente equivalente ad avere accesso sudo senza una password impostata.

Essenzialmente significherebbe che se un utente malintenzionato avesse già ottenuto l'accesso al tuo computer come account utente normale, sarebbe quindi in grado di ottenere l'accesso come utente root a quel sistema.

Il daemon Docker viene eseguito con i privilegi di root, ma i contenitori in esecuzione al suo interno, anche quelli che non vengono impostati dall'utente corrente (comando USER nel file Docker) verrà eseguito con accesso limitato.

Puoi anche eliminare alcune funzionalità per isolare quei contenitori che riducono la superficie di attacco. E non eseguire mai contenitori non attendibili con privileged .

Se un contenitore è in esecuzione con root (all'interno del contenitore) e si esegue il mapping di alcuni volumi, avrà accesso come root . Quindi questo è un altro punto da evitare.

Qui un esempio docker run --rm -it -v '/:/mnt' debian:9.2 cat /mnt/etc/shadow , avrà accesso completo a / come root, significa che può infettare i binari, avere accesso al tuo file /etc/shadow , aggiungere / rimuovere / cambiare la password degli utenti, ecc. ..

Ecco il riferimento completo: link