Dr.-Ing. Mario Heiderich, Cure53 Bielefelder Str. 14 D 10709 Berlin cure53.de · mario@cure53.de Pentest-Report Dapr 06.2020 Cure53, Dr.-Ing. M. Heiderich, M. Wege, MSc. R Conclusions Cure53, Berlin · 07/01/20 1/19 Dr.-Ing. Mario Heiderich, Cure53 Bielefelder Str. 14 D 10709 Berlin cure53.de · mario@cure53.de Introduction by Cure53 in summer 2020, the project entailed comprehensive penetration test and source code audit of the Dapr scope. In terms of resources, the project was assigned to four members of the Cure53 team

Dr.-Ing. Mario Heiderich, Cure53 Bielefelder Str. 14 D 10709 Berlin cure53.de · mario@cure53.de Pentest- & Retest-Report Dapr 02.2021 Cure53, Dr.-Ing. M. Heiderich, Dipl.-Inf frameworks.” From https://dapr.io/#about This report continues a security-driven cooperation between Cure53 and Dapr, reporting on the findings of a penetration test and source code audit against the Dapr software features of Dapr, the report also highlights what has been done in terms of fixing the issues that Cure53 revealed on the scope back in June 2020. It should be clarified that Dapr is a distributed application

root root 4096 Jul 1 19:53 . drwxr-xr-x 4 root root 4096 Jul 1 19:53 .. -rw------- 1 root root 1679 Jul 1 19:53 kube-apiserver-key.pem -rw------- 1 root root 1679 Jul 1 19:53 kube-apiserver-proxy-client-key root root 1107 Jul 1 19:53 kube-apiserver-proxy-client.pem -rw------- 1 root root 1675 Jul 1 19:53 kube-apiserver-requestheader-ca-key.pem -rw-r--r-- 1 root root 1082 Jul 1 19:53 kube-apiserver-requestheader-ca 1285 Jul 1 19:53 kube-apiserver.pem -rw------- 1 root root 1675 Jul 1 19:53 kube-ca-key.pem -rw-r--r-- 1 root root 1017 Jul 1 19:53 kube-ca.pem -rw------- 1 root root 1679 Jul 1 19:53 kube-controller-manager-key

1NS/RT(1,2 UPDAT/{(1,2 )*(1,3 I 1NS/RT(3,5 D/2/T/(1,3 1NS/RT(2,5 1 (3,5 1 (2,5 S/2/CT * FR53 D;ABl=( 1NS/RT D/2/T/ d;E; >il=1 d;E; >il=1 d;E; >il=1 d;E; >il=1 d;E; >il=1 d;E; >il=1 =CF;liEy N1E02 (1,( 53t3 file1 53t3 file1 (file2, 0 positio; 5elete file1 , (1,3 , (1,4 , (1,3 , (1,4 , (1,( 53t3 file2 , (1,2 DE-E2E (1,( 53t3 file1 , (1,3 , (1,4 , (1,( 53t3 file2 , (1,2 DE-E2E (1,4 53t3 file1 , (1,3 , (1,4 (file2, 0 , (1,( 53t3 file2 positio; 5elete file1 (1, 4 equ3lity 5elete file1 方e：2iIed CoF-delete aAd eDualitJ-delete I (1,2 S-1-CT * FR42

AWS 上安装 OpenShift Container Platform 的方法 4.1.4. 后续步骤 4.2. 配置 AWS 帐户 4.2.1. 配置路由 53（Route 53） 4.2.1.1. AWS Route 53 的 Ingress Operator 端点配置 4.2.2. AWS 帐户限值 4.2.3. IAM 用户所需的 AWS 权限 50 50 51 52 52 临时 control plane 关机，并将控制权交给生产环境 control plane。 第 第 1 章 章 OPENSHIFT CONTAINER PLATFORM 安装概述 安装概述 53 7. bootstrap 机器将 OpenShift Container Platform 组件注入生产环境 control plane。 8. 安装程序关闭 bootstrap 机器。（如果自己配置基础架构，则需要人工干预） Amazon Web Services（AWS）帐户。 4.2.1. 配置路由 53（Route 53） 要安装 OpenShift Container Platform，您使用的 Amazon Web Services (AWS) 帐户必须在 Route 53 服 务中有一个专用的公共托管区。此区域必须对域具有权威。Route 53 服务为集群外部连接提供集群 DNS 解析和名称查询。 流程 流程 1

Amazon Web Services（AWS）帐户。 4.2.1. 配置路由 53（Route 53） 要安装 OpenShift Container Platform，您使用的 Amazon Web Services (AWS) 帐户必须在 Route 53 服 务中有一个专用的公共托管区。此区域必须对域具有权威。Route 53 服务为集群外部连接提供集群 DNS 解析和名称查询。 流程 流程 1 购买了一个新域，则需要一定时间来传播相关的 DNS 更改信 息。有关通过 AWS 购买域的更多信息，请参阅 AWS 文档中的使用 Amazon Route 53 注册域名。 2. 如果您使用现有的域和注册商，请将其 DNS 迁移到 AWS。请参阅 AWS 文档中的使 Amazon Route 53 成为现有域的 DNS 服务。 3. 为您的域或子域创建一个公共托管区。请参阅 AWS 文档中的创建公共托管区。 使用合适的根域（如 文档中的获取公共托管区的名称服务 器。 5. 更新域所用 AWS Route 53 名称服务器的注册商记录。例如，如果您将域注册到不同帐户中的 Route 53 服务，请参阅 AWS 文档中的以下主题：添加或更改名称服务器或粘附记录。 6. 如果使用子域，请将其委托记录添加到父域中。这为子域赋予 Amazon Route 53 责任。按照父域 第 第 4 章 章 在 在 AWS 上安装 上安装 33

cpuManagerPolicy: static 1 cpuManagerReconcilePeriod: 5s 2 第 第 5 章 章 使用 使用 CPU MANAGER 和拓扑管理器 和拓扑管理器 53 2 在创建 KubeletConfig CR 时，会定义 cpuManagerReconcilePeriod。 8. 创建请求一个或多个内核的 pod。限制和请求都必须将其 CPU 值设置为一个整数。这是专用于此 --hardlimit 1 --duration 10 --window 10000000us --width 950000us] F0210 17:08:56.815204 1 main.go:53] failed to run hwlatdetect command; out: hwlatdetect: test duration 10 seconds detector: tracer io/klog/klog.go:875 +0xb9 k8s.io/klog.(*loggingT).output(0x5bed00, 0xc000000003, 0xc0000121c0, 0x53ea81, 0x7, 0x35, 0x0) /remote-source/app/vendor/k8s.io/klog/klog.go:829 +0x1b0 k8s.io/klog

name: example-autodetect spec: nodeSelector: nodeSelectorTerms: 第 第 4 章 章 配置持久性存 配置持久性存储 储 53 1 2 决定为从发现的设备置备的持久性卷创建的存储类。如果不存在，Local Storage Operator 会自动创建存储类。确保使用唯一标识此本地卷的存储类。 当使用本地卷设置功能时，Local 0 53m azure-disk-csi-driver-node-2xjzm 3/3 Running 0 53m azure-disk-csi-driver-node-6wrgk 3/3 Running 0 53m azure-dis 0 53m azure-disk-csi-driver-node-lf5kb 3/3 Running 0 53m azure-disk-csi-driver-node-mqdhh 3/3 Running 0 53m azure-dis

University 2020 Snapshotting Protocols p1 p2 p3 m AB53icbVBNS8NAEJ34WetX1aOXxSJ4Kok I6q3oxWMLxhbaUDbSbt2swm7G6GE/gIvHlS8+pe8+W/ctjlo64OBx3szMwLU8G1cd1vZ2 Wp QoFGr/LV7Scsi1EaJqjWHc9NTZBTZTgTOCl3M40pZSM6wI6lksaog3x26IScWqVPokTZkobM1N8TOY21Hseh7YypGepFbyr+53UyE10FOZdpZlCy+aIoE8QkZPo16XOFzIixJZQpbm8lbEgVZcZmU7YheIsvLxP/vHZd85oX1fpNk UYJjuEzsCDS6jDHTABwYIz/ AKb86j8+K8Ox/z1hWnmDmCP3A+fwBD/ozF AB53icbVBNS8NAEJ34WetX1aOXxSJ4Kok I6q3oxWMLxhbaUDbSbt2swm7G6GE/gIvHlS8+pe8+W/ctjlo64OBx3szMwLU8G1cd1vZ2V