柏林—如何在开源Kubernetes容器编排和管理系统中处理安全漏洞披露?在柏林举行的Kubecon / CloudNative欧盟会议上，这是一个仅在会议室举行的会议上详细回答的问题。尽管会议的标题有些古怪，但“带有安全释放过程的火山唇上的疯狂舞蹈”在标题后面有特殊含义。
CoreOS的首席技术官布兰登·菲利普斯(Brandon Phillips)表示：“我们一直在火山边缘徘徊，由于安全漏洞，我们可能会陷入其中。” “另一方面，我们可能会跌倒，因为我们没有处理安全漏洞的流程，而且我们一直担心火山另一侧的不稳定。”
但是，Kubernetes项目在最近几个月采取了多个步骤来改进其安全公开流程。与飞利浦共同出席会议的Google软件工程师Jessie Frazelle指出，错误是不可避免的，将来有可能在Kubernetes中发现更多错误。菲利普斯开玩笑说，已经发明了最安全的计算系统，它只是一个基本的计算器，没有与其他任何东西连接。他补充说，一旦计算能力连接到外部世界，通常就会有相关的风险。
Frazelle指出用户希望软件没有错误，但是当有错误时，他们想知道何时有可用的修补程序，以便他们可以更新其应用程序。当涉及到安全研究人员时，他们希望在提交错误后从供应商和项目中进行更新，并且还希望有明确的披露时间表。
对于某些类型的高严重性安全漏洞，通常最好在进行修复后才对安全信息进行禁运。Frazelle评论说，可能发生的最糟糕的情况是，漏洞在修复之前就已公开，并且该漏洞拥有自己的昵称和徽标。
她说：“每个软件错误都需要一个有趣的名字，除了我的任何错误之外。”
Kubernetes从中学到了许多处理其他公开源代码工作的安全披露的最佳实践。Phillips说，Linux内核开发人员的政策是不与安全研究人员就披露时间表进行协商。最好的做法通常是尽快修复一个错误，然后在修复后让用户知道。
其他开源项目已实施的另一种最佳实践是某种形式的漏洞预警系统。使用这种方法，即使没有在早期预警中提供有关bug的完整详细信息，仍会提前通知用户，以便他们在补丁可用后会为更新做好更充分的准备。Phillips和Frazelle都还强调，用户只需进行简单的Google搜索即可轻松找到该项目的安全披露文档。还需要一个专门的安全响应团队和某种形式的协调邮件列表。
从流程的角度来看，Phillips说，Kubernetes的工作方式目前是，安全修复响应团队通常会在24小时内响应安全漏洞报告。修复安全漏洞可能需要一到七天的时间。修复完成后，会向Kubernetes用户邮件列表发送“即将修复”通知。最终，完整的补丁程序公开信息和对发行版的可用性将在发出安全错误报告后的14天内完成。
虽然Kubernetes确实有安全披露流程和政策，但Frazelle和Philips表示仍有改进的空间，需要个人和供应商的更多参与。